Digital Forensics

detecting-rootkit-activity là một skill Phân tích Phần mềm độc hại giúp tìm các dấu hiệu rootkit như tiến trình ẩn, system call bị hook, cấu trúc kernel bị sửa đổi, module ẩn và các dấu vết mạng bí mật. Skill này dùng đối chiếu đa nguồn và kiểm tra tính toàn vẹn để hỗ trợ xác thực các máy chủ đáng ngờ khi các công cụ tiêu chuẩn cho kết quả không nhất quán.

analyzing-usb-device-connection-history giúp điều tra lịch sử kết nối thiết bị USB trên Windows bằng các hive registry, event log và `setupapi.dev.log` cho forensic số, điều tra mối đe doạ nội gián và ứng phó sự cố. Skill này hỗ trợ dựng lại timeline, đối chiếu thiết bị và phân tích bằng chứng từ thiết bị lưu trữ rời.

analyzing-browser-forensics-with-hindsight giúp các nhóm Digital Forensics phân tích các artifact của trình duyệt Chromium bằng Hindsight, bao gồm history, downloads, cookies, autofill, bookmarks, metadata thông tin đăng nhập đã lưu, cache và extensions. Dùng nó để tái dựng hoạt động web, xem lại timeline và điều tra các profile của Chrome, Edge, Brave và Opera.

analyzing-bootkit-and-rootkit-samples là một kỹ năng phân tích malware dành cho các cuộc điều tra MBR, VBR, UEFI và rootkit. Hãy dùng nó để kiểm tra boot sector, các mô-đun firmware và các dấu hiệu chống anti-rootkit khi sự xâm nhập vẫn tồn tại bên dưới lớp hệ điều hành. Kỹ năng này phù hợp với nhà phân tích cần một hướng dẫn thực dụng, quy trình rõ ràng và cách phân loại ưu tiên dựa trên bằng chứng cho Malware Analysis.

building-incident-timeline-with-timesketch giúp các đội DFIR xây dựng dòng thời gian sự cố cộng tác trong Timesketch bằng cách nạp dữ liệu bằng chứng Plaso, CSV hoặc JSONL, chuẩn hóa dấu thời gian, đối chiếu sự kiện và ghi lại chuỗi tấn công cho việc phân tích, xử lý ban đầu và báo cáo sự cố.

hunting-advanced-persistent-threats là một kỹ năng săn tìm mối đe dọa để phát hiện hoạt động kiểu APT trên telemetry từ endpoint, mạng và bộ nhớ. Kỹ năng này giúp nhà phân tích xây dựng các lượt săn dựa trên giả thuyết, ánh xạ phát hiện với MITRE ATT&CK, và biến threat intel thành các truy vấn cùng bước điều tra thực tế thay vì chỉ tìm kiếm rời rạc, tùy hứng.

extracting-windows-event-logs-artifacts giúp bạn trích xuất, phân tích cú pháp và phân tích Windows Event Logs (EVTX) cho điều tra số, ứng phó sự cố và săn tìm mối đe dọa. Skill này hỗ trợ rà soát có cấu trúc các sự kiện đăng nhập, tạo tiến trình, cài dịch vụ, tác vụ theo lịch, thay đổi đặc quyền và xóa log bằng Chainsaw, Hayabusa và EvtxECmd.

Hướng dẫn extracting-memory-artifacts-with-rekall để phân tích ảnh bộ nhớ Windows bằng Rekall. Tìm hiểu cách cài đặt và các mẫu sử dụng để phát hiện tiến trình ẩn, mã bị chèn, VAD đáng ngờ, DLL đã nạp và hoạt động mạng phục vụ Digital Forensics.

Kỹ năng extracting-credentials-from-memory-dump hỗ trợ phân tích các memory dump của Windows để tìm NTLM hash, LSA secret, dữ liệu Kerberos và token bằng quy trình Volatility 3 và pypykatz. Kỹ năng này phù hợp cho Digital Forensics và ứng phó sự cố khi bạn cần bằng chứng có thể bảo vệ được, đánh giá mức độ ảnh hưởng tới tài khoản và hướng dẫn khắc phục từ một dump hợp lệ.

Hướng dẫn skill extracting-iocs-from-malware-samples cho phân tích malware: trích xuất hash, IP, domain, URL, artifact trên host và tín hiệu xác thực từ mẫu để phục vụ threat intel và phát hiện.

Kỹ năng extracting-config-from-agent-tesla-rat dành cho Phân tích mã độc: trích xuất cấu hình Agent Tesla .NET, thông tin đăng nhập SMTP/FTP/Telegram, thiết lập keylogger và các endpoint C2 theo quy trình có thể lặp lại.

extracting-browser-history-artifacts là một kỹ năng Digital Forensics dùng để trích xuất lịch sử duyệt web, cookie, cache, lượt tải xuống và dấu trang từ Chrome, Firefox và Edge. Hãy dùng nó để chuyển các tệp hồ sơ trình duyệt thành chứng cứ sẵn sàng cho mốc thời gian, với quy trình hướng dẫn có thể lặp lại và bám sát từng vụ việc.

eradicating-malware-from-infected-systems là một kỹ năng ứng phó sự cố an ninh mạng để loại bỏ malware, backdoor và các cơ chế bám trụ sau khi đã cô lập. Kỹ năng này bao gồm hướng dẫn quy trình, các tệp tham chiếu và script cho việc dọn dẹp trên Windows và Linux, xoay vòng thông tin đăng nhập, khắc phục nguyên nhân gốc và xác minh kết quả.

Skill detecting-wmi-persistence giúp các chuyên gia săn tìm mối đe doạ và analyst DFIR phát hiện cơ chế tồn tại bền bỉ qua WMI event subscription trong telemetry Windows bằng Sysmon Event IDs 19, 20 và 21. Dùng nó để nhận diện hoạt động độc hại của EventFilter, EventConsumer và FilterToConsumerBinding, xác thực phát hiện và phân tách persistence của kẻ tấn công với tự động hoá quản trị hợp lệ.

Skill detecting-stuxnet-style-attacks giúp đội phòng thủ phát hiện các mẫu xâm nhập OT và ICS kiểu Stuxnet, bao gồm sửa đổi logic PLC, giả mạo dữ liệu cảm biến, chiếm quyền máy trạm kỹ sư và di chuyển ngang từ IT sang OT. Hãy dùng skill này cho săn lùng mối đe dọa, phân loại sự cố và giám sát tính toàn vẹn quy trình bằng bằng chứng từ giao thức, máy chủ và tiến trình.

detecting-process-injection-techniques giúp phân tích hoạt động bất thường trong bộ nhớ, xác thực cảnh báo EDR, và nhận diện process hollowing, APC injection, thread hijacking, reflective loading, cùng DLL injection cổ điển cho kiểm toán bảo mật và sàng lọc malware.

detecting-arp-poisoning-in-network-traffic giúp phát hiện ARP spoofing trong lưu lượng trực tiếp hoặc PCAP bằng ARPWatch, Dynamic ARP Inspection, Wireshark và các kiểm tra bằng Python. Phù hợp cho ứng phó sự cố, sàng lọc SOC và phân tích lặp lại các thay đổi IP-to-MAC, gratuitous ARP và dấu hiệu MITM.

analyzing-outlook-pst-for-email-forensics là một kỹ năng điều tra số dùng để بررسی tệp Outlook PST và OST, bao gồm nội dung thư, tiêu đề, tệp đính kèm, mục đã xóa, dấu thời gian và siêu dữ liệu. Kỹ năng này hỗ trợ rà soát bằng chứng email, dựng lại dòng thời gian và thực hiện quy trình điều tra có thể bảo vệ được trong ứng phó sự cố và các vụ việc pháp lý.

analyzing-packed-malware-with-upx-unpacker là một kỹ năng phân tích malware để nhận diện mẫu được đóng gói bằng UPX, xử lý các header UPX đã bị sửa đổi, và khôi phục tệp thực thi gốc để xem xét tĩnh trong Ghidra hoặc IDA. Hãy dùng khi `upx -d` thất bại hoặc khi bạn cần một quy trình kiểm tra packer UPX và giải nén nhanh hơn.

analyzing-network-traffic-for-incidents giúp người xử lý sự cố phân tích PCAP, flow log và bản bắt gói để xác nhận C2, di chuyển ngang, exfiltration và các nỗ lực khai thác lỗ hổng. Skill này được xây dựng cho phân tích lưu lượng mạng khi Incident Response, với Wireshark, Zeek và điều tra theo kiểu NetFlow.

analyzing-memory-dumps-with-volatility là một skill Volatility 3 dành cho phân tích bộ nhớ (memory forensics), sàng lọc mã độc, rà soát process ẩn, injection, hoạt động mạng và thông tin đăng nhập trong RAM dump trên Windows, Linux hoặc macOS. Hãy dùng nó khi bạn cần một hướng dẫn phân tích memory dumps với Volatility có thể lặp lại cho ứng phó sự cố và phân tích mã độc.

analyzing-malicious-pdf-with-peepdf là một kỹ năng phân tích mã độc tĩnh dành cho các tệp PDF đáng ngờ. Dùng peepdf, pdfid và pdf-parser để sàng lọc tệp đính kèm phishing, kiểm tra các đối tượng, trích xuất JavaScript hoặc shellcode nhúng, và xem xét an toàn các luồng dữ liệu đáng ngờ mà không cần thực thi.

analyzing-macro-malware-in-office-documents giúp nhà phân tích mã độc kiểm tra VBA độc hại trong các tệp Word, Excel và PowerPoint, giải mã lớp che giấu, và trích xuất IOC, đường thực thi, cùng logic chuẩn bị payload cho sàng lọc phishing, ứng phó sự cố và phân tích malware tài liệu.

analyzing-linux-kernel-rootkits giúp các quy trình DFIR và săn lùng mối đe dọa phát hiện rootkit kernel Linux bằng các kiểm tra cross-view với Volatility3, quét rkhunter, và phân tích /proc so với /sys để tìm module ẩn, syscall bị hook, và cấu trúc kernel bị can thiệp. Đây là một hướng dẫn phân tích analyzing-linux-kernel-rootkits thực dụng cho sàng lọc pháp chứng ban đầu.