Analyse mémoire 2/5 - Origine de la menace

Description

Il y a bien un malware actif sur la machine. Nous aimerions comprendre comment l’attaquant a pu l’exécuter en mémoire. Retrouvez le processus qui a permis d’exécuter ce malware.

Le flag est au format FCSC{<process_name>:<process_id>} où :

• <process_name> est le nom du processus à l’orginie de l’exécution du malware et
• <process_id> est le numéro du processus (PID) à l’orginie de l’exécution du malwarel.

Par exemple : FCSC{malware.exe:42}.

Cette épreuve fait partie d’une série à faire dans l’ordre :

• Analyse mémoire 1/5 - Exfiltration
• Analyse mémoire 2/5 - Origine de la menace
• Analyse mémoire 3/5 - Où est le pansement ?
• Analyse mémoire 4/5 - Un échelon de plus dans la chaîne
• Analyse mémoire 5/5 - Le commencement