#رمضانيات_DFIR
10 رمضان - Schedule Tasks ⏱️
ال Schedule Tasks يوفر طريقة أنه يشغل برامج بشكل دوري. يستخدم من قبل البرامج لتشغيل المهام الدورية مثل تحديث البرامج. المخترق يستخدمها عشان يتأكد أن ال backdoor الخاص فيه يبقى شغال على النظام حتى بعد أعادة تشغيل الجهاز
#DFIR #BlueTeam
10 رمضان - Schedule Tasks ⏱️
ال Schedule Tasks يوفر طريقة أنه يشغل برامج بشكل دوري. يستخدم من قبل البرامج لتشغيل المهام الدورية مثل تحديث البرامج. المخترق يستخدمها عشان يتأكد أن ال backdoor الخاص فيه يبقى شغال على النظام حتى بعد أعادة تشغيل الجهاز
#DFIR #BlueTeam
هذا ال artifact يعتبر من نوع persistence و ممكن تلقى ملفاته في هذا المجلد
C:\Windows\System32\Tasks
C:\Windows\System32\Tasks
تقدر تستخدم Tasks Scheduler وهو برنامج GUI تقدر منه تسوي task بسهولة. برضوا تقدر تستخدم ال أمر schtasks و هو المستخدم بشكل أكبر من قبل المخترقين
لو نروح للمجلد الي فيه ال tasks بنلقى ملف أسمه نفس أسم ال task. ملفات ال Schedule Task تكون بصيغة XML فنقدر نفتحها بأي text editor
ال Schadule Task مستخدم بكثرة لل persistence, بالأضافة المخترق قد يستخدمة لل lateral movement بحيث أنه يقدر يسو task على جهاز ثاني (Remote Execution).
جاري تحميل الاقتراحات...