The SOC team alerted us about unusual activity detected on one of our workstations. They tried to handle the incident, but your expertise is now needed for a deeper analysis.
The initial investigation of the environment showed that the user conducted suspicious web searches, followed by attempts to exfiltrate data.
The SOC team suggests that the user executed several sensitive commands quickly and repeatedly.
Challenge made by:
Solution
Ici, on a besoin uniquement de ActivitiesCache.db. On peut soit l'ouvrir avec VSCode avec une extension comme SQLite Viewer, ou utiliser du Python etc...
Dans la table ActivityOperation, on trouve la colonne ClipboardPayload. Elle contient ce qui a été dans le presse-papier. Voici en python un script qui permet d'afficher le contenu :
C'est un script PowerShell malveillant. On va le rendre plus lisible, soit avec un LLM, soit à la main.
from base64 import b64decode
import json
import sqlite3
con = sqlite3.connect('ActivitiesCache.db')
cur = con.cursor()
for id, clipboard in cur.execute("SELECT id, ClipboardPayload FROM ActivityOperation WHERE ClipboardPayload NOT NULL"):
data = json.loads(clipboard)[0]
decoded = b64decode(data.get("content"))
print(f"# {id.hex()}\n{decoded}\n\n")
