實作

參考https://samsclass.info/152/proj/IR372.htm

Windows
於虛擬機下載模擬惡意程式pup4.zip
安裝 Microsoft Visual C++ 2015 Redistributable Update 3 RC X86

以管理員身份運行 pup4.exe
將 pup4message.exe 移動到 C:
刪除 pup4.zip 和 pup4 文件夾。清空資源回收桶。
重開機後看到視窗跳出Your Machine is pwned!

Velociraptor Web
搜尋all後，挑選主機點collected

點選左上加號，跳出一個頁面(New Collection: Select Artifacts to collect)

輸入Windows.Sysinternals.Autoruns後，點下面Launch

Server 要能連外網，不然再下載程式會失敗
Error: Get "https://live.sysinternals.com/tools/autorunsc.exe": dial tcp: lookup live.sysinternals.com: Temporary failure in name resolution

遇到一些問題資料跑不出來，就先用手動方式，用Autoruns開啟來看，這步驟是在查開機啟動是否被駭客加進他的惡意程式

C:\autorunsc64.exe -nobanner -accepteula -t -a * -c *

REF

https://samsclass.info/152/proj/IR372.htm