What is the name of the USB key inserted by Bob Smith?
Bob Smith가 삽입한 USB 키의 이름은 무엇입니까?
우리는 시나리오에서 Miranda_Tate_unveiled.dotm 파일을 USB에서 연 사실을 알고 있다.
index=botsv1 host="we8105desk" "Miranda_Tate_unveiled.dotm"
SQL
복사
단 5개의 이벤트만 나온다.
osk.exe 파일이 생성된 것도 사전에 알게 됐고
dotm파일이 C:\\Windows\splwow64.exe 8192 를 실행한 사실도 확인했다.
그리고 연결된 USB는 D드라이브인걸 확인했다.
여기서는 드라이브 이름이 나오지 않는다.
연결됐던 USB 이름 정보들은 보통 레지스트리 friendlyname 에 위치해있다.
이름을 설정해주지 않으면 드라이브 경로가, 이름을 설정해줬다면 이름이 저장된다.
소스타입에는 Registry가 있다.
index=botsv1 host="we8105desk" sourcetype=WinRegistry "friendlyname"
SQL
복사
해당 레지스트리에 들어가있는 데이터
이후 문제 참조사항
D드라이브에서 발생한 커맨드라인들
