Loglamayı komut satırından kapatma
Bir saldırgan, saldırıdan önce ya da sonra makinenin kendi kaydını zayıflatır. Kayıtlarda auditpol.exe ile denetim politikasını temizleyip devre dışı bırakıyor, wevtutil ile Security logunu bir çöp dosyaya yönlendiriyor ve MiniNt registry anahtarını oluşturuyor; bu anahtar Windows'a makineyi bir kurulum ortamı gibi gösterir ve Security logunu yazmayı durdurur. Birkaç makinede on böyle komut çalışıyor. Kayıtlarda ayrıca bir SAM kovanı kopyası ve bir sürüm numarası için registry okuması da var; bu challenge onları istemiyor. Loglamayı kapatan ya da zayıflatan on komutu bulun.
İpucu 1
Burada işi üç araç yapıyor: auditpol.exe, wevtutil.exe ve reg.exe. reg.exe için hedef, sıradan bir okuma değil, EventLog servis anahtarı ya da MiniNt anahtarıdır.
İpucu 2
auditpol'un /clear, /remove ya da :disable ile kullanımı denetimi zayıflatır; wevtutil'in set-log kullanımı bir logu değiştirir; ...\Control\MiniNt üzerine reg add anahtarı oluşturur.
Kural bu tarayıcıda çalışır; geri döndüğünüzde bulmanız için burada saklanır.
Olaylar
2.311 olay. Arama yalnızca tabloyu süzer, sonucu etkilemez.