Si usas una máquina virtual, haga una instantánea a la que poder volver al terminar esta simulación.
- Abra Terminal y ejecute estos comandos en el orden indicado.
# copy the native whoami binary to create an executable disguised as a PDF cp /usr/bin/whoami ~/Desktop/jptest.pdf - Acceda a su escritorio y localiza el archivo jptest.pdf recién creado. Fíjate en el icono de previsualización que indica que es un archivo PDF.
- Abra Terminal y ejecute el siguiente comando:
~/Desktop/jptest.pdfTras completar los pasos de prueba anteriores, se ofrece en Jamf Protect Cloud una nueva alerta llamada DisguisedExecution. - Abra y revise la alerta DisguisedExecution. Los puntos de datos más interesantes al analizar esta alerta son:
Summary (Resumen) > Name (Nombre): El nombre del demonio de lanzamiento o agente sospechoso que se creó.
Summary (Resumen) > itemBinary: La ruta del ítem persistente que se ejecutará en el arranque del sistema. Este es el archivo más útil que investigar para dar respuesta a este incidente.
Processes (Procesos) > Process Tree (Árbol de procesos): Los binarios y la información de firma de código de cada proceso que dio origen al evento.
En una situación real, la investigación de esta alerta comienzaría por examinar el contenido y propósito del archivo que persiste debido al demonio de lanzamiento o agente (proporcionado por el itemBinary), así como el método de creación del demonio de lanzamiento o agente propiamente dicho.
- Si se hizo una instantánea de la máquina virtual antes de completar esta situación de prueba, el método de limpieza más sencillo consiste en revertir a la instantánea. De lo contrario, ejecute estos comandos en Terminal para eliminar los archivos de prueba creados.
# delete the executable disguised as a PDF rm ~/Desktop/jptest.pdf # delete the testing file rm /Users/Shared/jptest