Forensics

analyzing-usb-device-connection-history hilft dabei, den Verbindungsverlauf von USB-Geräten unter Windows mit Registry-Hives, Event Logs und setupapi.dev.log zu untersuchen – für Digital Forensics, Insider-Threat-Untersuchungen und Incident Response. Es unterstützt die Rekonstruktion von Zeitachsen, die Zuordnung von Geräten und die Analyse von Wechselmedien-Beweisen.

analyzing-browser-forensics-with-hindsight unterstützt Digital-Forensics-Teams dabei, Chromium-Browser-Artefakte mit Hindsight zu analysieren – darunter Verlauf, Downloads, Cookies, Autofill, Lesezeichen, Metadaten gespeicherter Anmeldedaten, Cache und Erweiterungen. Nutzen Sie es, um Webaktivitäten zu rekonstruieren, Zeitachsen auszuwerten und Profile aus Chrome, Edge, Brave und Opera zu untersuchen.

analyzing-bootkit-and-rootkit-samples ist ein Malware-Analyse-Skill für Untersuchungen von MBR, VBR, UEFI und Rootkits. Verwenden Sie ihn, um Bootsektoren, Firmware-Module und Anti-Rootkit-Indikatoren zu prüfen, wenn sich ein Kompromittierungsbefund unterhalb der Betriebssystemebene hartnäckig hält. Er eignet sich für Analysten, die einen praxisnahen Leitfaden, einen klaren Workflow und eine evidenzbasierte Triage für Malware Analysis benötigen.

building-incident-timeline-with-timesketch hilft DFIR-Teams dabei, in Timesketch kollaborative Incident-Timelines aufzubauen, indem Plaso-, CSV- oder JSONL-Beweise eingelesen, Zeitstempel normalisiert, Ereignisse miteinander korreliert und Angriffsketten für Triage und Reporting dokumentiert werden.

analyzing-supply-chain-malware-artifacts ist eine Malware-Analyse-Skill für das Nachverfolgen von trojanisierten Updates, kompromittierten Abhängigkeiten und Manipulationen in Build-Pipelines. Nutzen Sie sie, um vertrauenswürdige und unzuverlässige Artefakte zu vergleichen, Indikatoren zu extrahieren, den Umfang einer Kompromittierung einzuschätzen und Ergebnisse mit weniger Rätselraten zu berichten.

analyzing-ransomware-payment-wallets ist eine Read-only-Blockchain-Forensik-Fähigkeit zum Nachverfolgen von Ransomware-Zahlungs-Wallets, zum Verfolgen von Geldflüssen und zum Clustern zusammengehöriger Adressen für Security Audits und Incident Response. Verwenden Sie sie, wenn Sie eine BTC-Adresse, einen Tx-Hash oder eine verdächtige Wallet haben und belastbare Attribution als Beleg benötigen.

Skill zu analyzing-ransomware-encryption-mechanisms für Malware-Analyse mit Fokus auf die Erkennung von Ransomware-Verschlüsselung, Schlüsselverwaltung und der Frage, ob eine Entschlüsselung möglich ist. Geeignet, um AES-, RSA-, ChaCha20- und hybride Verfahren sowie Implementierungsfehler zu untersuchen, die eine Wiederherstellung unterstützen können.

analyzing-ransomware-leak-site-intelligence hilft dabei, Ransomware-Datenleakseiten zu überwachen, Opfer- und Gruppen-Signale zu extrahieren und strukturierte Threat Intelligence für Incident Response, Risikoanalysen in Branchen und Gegner-Tracking zu erstellen.

extracting-windows-event-logs-artifacts hilft Ihnen beim Extrahieren, Parsen und Analysieren von Windows Event Logs (EVTX) für Digital Forensics, Incident Response und Threat Hunting. Der Skill unterstützt die strukturierte Auswertung von Anmeldungen, Prozessstarts, Dienstinstallationen, geplanten Tasks, Rechtesänderungen und dem Löschen von Logs mit Chainsaw, Hayabusa und EvtxECmd.

Leitfaden zu extracting-memory-artifacts-with-rekall für die Analyse von Windows-Speicherabbildern mit Rekall. Er zeigt Installations- und Nutzungsmuster, um versteckte Prozesse, injizierten Code, verdächtige VADs, geladene DLLs und Netzwerkaktivitäten für die Digitale Forensik zu finden.

Die Fähigkeit „extracting-credentials-from-memory-dump“ unterstützt die Analyse von Windows-Memory-Dumps auf NTLM-Hashes, LSA-Secrets, Kerberos-Material und Tokens mithilfe von Workflows mit Volatility 3 und pypykatz. Sie ist für Digital Forensics und Incident Response gedacht, wenn Sie aus einem validen Dump belastbare Beweise, Auswirkungen auf Konten und Hinweise zur Remediation benötigen.

extracting-browser-history-artifacts ist ein Digital-Forensics-Skill zum Extrahieren von Browserverlauf, Cookies, Cache, Downloads und Lesezeichen aus Chrome, Firefox und Edge. Nutzen Sie ihn, um Browser-Profildateien mit einem wiederholbaren, fallorientierten Workflow in zeitleistenfähige Beweise zu überführen.

eradicating-malware-from-infected-systems ist eine Skill für die Cybersecurity-Vorfallsreaktion zur Entfernung von Malware, Backdoors und Persistenzmechanismen nach der Eindämmung. Sie bietet Workflow-Hinweise, Referenzdateien und Skripte für die Bereinigung von Windows- und Linux-Systemen, das Rotieren von Anmeldedaten, die Behebung der Ursache und die Validierung.

analyzing-linux-kernel-rootkits unterstützt DFIR- und Threat-Hunting-Workflows dabei, Linux-Kernel-Rootkits mit Volatility3 Cross-View-Prüfungen, rkhunter-Scans und /proc-vs-/sys-Analysen aufzudecken – etwa versteckte Module, gehookte Syscalls und manipulierte Kernel-Strukturen. Es ist ein praxisnaher Leitfaden zu analyzing-linux-kernel-rootkits für die forensische Triage.

analyzing-linux-elf-malware hilft bei der Analyse verdächtiger Linux-ELF-Binaries für Malware-Untersuchungen – mit Hinweisen zu Architekturprüfungen, Strings, Imports, statischem Triage, sowie frühen Indikatoren für Botnets, Miner, Rootkits, Ransomware und Container-Bedrohungen.

conducting-memory-forensics-with-volatility hilft dir, RAM-Dumps mit Volatility 3 zu analysieren, um eingeschleusten Code, verdächtige Prozesse, Netzwerkverbindungen, Credential-Diebstahl und versteckte Kernel-Aktivität zu finden. Es ist ein praktischer conducting-memory-forensics-with-volatility-Skill für Digital Forensics und Incident-Response-Triage.

conducting-malware-incident-response unterstützt IR-Teams dabei, verdächtige Malware zu priorisieren, Infektionen zu bestätigen, die Ausbreitung einzugrenzen, Endpunkte zu isolieren und Bereinigung sowie Wiederherstellung zu unterstützen. Es ist für conducting-malware-incident-response in Incident-Response-Workflows konzipiert und verbindet evidenzbasierte Schritte, telemetriegestützte Entscheidungen und praxisnahe Anleitungen zur Eindämmung.

conducting-cloud-incident-response ist ein Skill für Cloud Incident Response in AWS, Azure und GCP. Der Schwerpunkt liegt auf identitätsbasierter Eindämmung, Log-Prüfung, Isolierung von Ressourcen und der Sicherung forensischer Beweise. Nutzen Sie ihn bei verdächtigen API-Aktivitäten, kompromittierten Zugriffsschlüsseln oder Angriffen auf Cloud-Workloads, wenn Sie einen praxisnahen Guide für conducting-cloud-incident-response brauchen.

analyzing-windows-registry-for-artifacts hilft Analysten, Beweise aus Windows-Registry-Hives zu extrahieren, um Benutzeraktivitäten, installierte Software, Autostarts, USB-Verläufe und Kompromittierungsindikatoren für Incident Response oder Security-Audit-Workflows zu identifizieren.

Das Skill „analyzing-windows-amcache-artifacts“ wertet Windows-Amcache.hve-Daten aus, um Hinweise auf Programmausführung, installierte Software, Geräteaktivität und das Laden von Treibern für DFIR- und Security-Audit-Workflows zu gewinnen. Es nutzt AmcacheParser sowie regipy-basierte Hinweise, um die Extraktion von Artefakten, die SHA-1-Korrelation und die Auswertung von Zeitachsen zu unterstützen.

analyzing-uefi-bootkit-persistence hilft bei der Untersuchung von Persistenz auf UEFI-Ebene, einschließlich SPI-Flash-Implants, Manipulationen am ESP, Secure-Boot-Bypasses und verdächtigen Änderungen an UEFI-Variablen. Es ist für Firmware-Triage, Incident Response und Analyzing-UEFI-Bootkit-Persistence im Rahmen von Security-Audit-Arbeiten konzipiert und liefert praxisnahe, evidenzbasierte Orientierung.

Die Fähigkeit analyzing-powershell-empire-artifacts unterstützt Security-Audit-Teams dabei, PowerShell-Empire-Artefakte in Windows-Protokollen zu erkennen – mit Script Block Logging, Base64-Launcher-Mustern, Stager-IOCs, Modulsignaturen und Erkennungsreferenzen für Triage und Regelentwicklung.

Das Skill „analyzing-powershell-script-block-logging“ dient dazu, Windows PowerShell Script Block Logging Ereignis-ID 4104 aus EVTX-Dateien zu parsen, aufgespaltene Script Blocks wieder zusammenzuführen und obfuskierte Befehle, kodierte Payloads, Missbrauch von Invoke-Expression, Download-Cradles sowie Versuche zur AMSI-Umgehung für Security-Audit-Aufgaben zu markieren.

analyzing-pdf-malware-with-pdfid ist ein Skill für die Triage von PDF-Malware, um eingebettetes JavaScript, Exploit-Indikatoren, Objektströme, Anhänge und verdächtige Aktionen vor dem Öffnen einer Datei zu erkennen. Er unterstützt die statische Analyse für die Untersuchung bösartiger PDFs, Incident Response und Analyzing-PDF-Malware-with-pdfid für Security-Audit-Workflows.