{"id":498408,"date":"2026-10-13T11:14:43","date_gmt":"2026-10-13T08:14:43","guid":{"rendered":"https:\/\/savepearlharbor.com\/?p=498408"},"modified":"2026-10-13T11:14:43","modified_gmt":"2026-10-13T08:14:43","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=498408","title":{"rendered":"Windows IR: \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u043f\u043e\u0434\u0445\u043e\u0434. \u0427\u0430\u0441\u0442\u044c 3 \u2014 \u0437\u0430\u0434\u0430\u0447\u0438, \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a, \u0443\u0447\u0451\u0442\u043d\u044b\u0435 \u0437\u0430\u043f\u0438\u0441\u0438, \u0436\u0443\u0440\u043d\u0430\u043b\u044b"},"content":{"rendered":"<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/5e\/89\/72\/5e89721f29a8a0a8372367b3189d1d0f.png\" width=\"780\" height=\"440\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/5e\/89\/72\/5e89721f29a8a0a8372367b3189d1d0f.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/5e\/89\/72\/5e89721f29a8a0a8372367b3189d1d0f.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u042d\u0442\u043e \u0442\u0440\u0435\u0442\u044c\u044f \u0447\u0430\u0441\u0442\u044c \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0430, \u043f\u043e\u0441\u0432\u044f\u0449\u0451\u043d\u043d\u043e\u0433\u043e Windows IR. <a href=\"https:\/\/habr.com\/ru\/companies\/first\/articles\/1087512\/\">\u0412\u0442\u043e\u0440\u0430\u044f <\/a>\u0447\u0430\u0441\u0442\u044c \u0431\u044b\u043b\u0430 \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u0430 \u0438\u0437\u043e\u043b\u044f\u0446\u0438\u0438 \u0445\u043e\u0441\u0442\u0430 \u0438 \u0440\u0430\u0437\u0431\u043e\u0440\u0443 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0438 \u0441\u043b\u0443\u0436\u0431. \u0412 \u044d\u0442\u043e\u0439 \u0447\u0430\u0441\u0442\u0438 \u2014 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u0435\u0449\u0451 \u0434\u0432\u0435 \u0447\u0430\u0441\u0442\u044b\u0435 \u0442\u043e\u0447\u043a\u0438 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f, \u0437\u0430\u0434\u0430\u0447\u0438 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430 \u0438 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a \u0447\u0435\u0440\u0435\u0437 \u0440\u0435\u0435\u0441\u0442\u0440, \u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043d\u0430 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0435 \u0443\u0447\u0451\u0442\u043d\u044b\u0435 \u0437\u0430\u043f\u0438\u0441\u0438 \u0438 \u0433\u0440\u0443\u043f\u043f\u044b, \u0438 \u043d\u0430\u043a\u043e\u043d\u0435\u0446 \u0441\u0430\u0434\u0438\u043c\u0441\u044f \u0437\u0430 \u0436\u0443\u0440\u043d\u0430\u043b\u044b \u0441\u043e\u0431\u044b\u0442\u0438\u0439, \u0447\u0442\u043e\u0431\u044b \u0441\u0432\u044f\u0437\u0430\u0442\u044c \u0440\u0430\u0437\u0440\u043e\u0437\u043d\u0435\u043d\u043d\u044b\u0435 \u043d\u0430\u0445\u043e\u0434\u043a\u0438 \u0432 \u0435\u0434\u0438\u043d\u0443\u044e \u0445\u0440\u043e\u043d\u043e\u043b\u043e\u0433\u0438\u044e. \u0417\u0434\u0435\u0441\u044c \u0436\u0435 \u0432\u044b\u0432\u043e\u0434\u044b \u0438\u0437 \u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u043b\u0430\u0431\u044b \u0441\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0432 \u0446\u0435\u043b\u044c\u043d\u0443\u044e \u043a\u0430\u0440\u0442\u0438\u043d\u0443 \u0430\u0442\u0430\u043a\u0438.<\/p>\n<h2>\u0428\u0430\u0433 7. \u0417\u0430\u0434\u0430\u0447\u0438 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430 <\/h2>\n<p>\u0417\u0430\u0434\u0430\u0447\u0430 \u0432 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0435 \u043e\u0442\u043b\u0438\u0447\u0430\u0435\u0442\u0441\u044f \u043e\u0442 \u0441\u043b\u0443\u0436\u0431\u044b \u0442\u0435\u043c, \u0447\u0442\u043e \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u043f\u043e \u0442\u0440\u0438\u0433\u0433\u0435\u0440\u0443: \u043f\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438, \u043f\u0440\u0438 \u0432\u0445\u043e\u0434\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u043f\u0440\u0438 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0435, \u043f\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u044e \u0432 \u0436\u0443\u0440\u043d\u0430\u043b\u0435.<\/p>\n<h3>\u041e\u0442\u0441\u0435\u044f\u0442\u044c \u0437\u0430\u0434\u0430\u0447\u0438 Microsoft<\/h3>\n<pre><code class=\"powershell\">Get-ScheduledTask |    Where-Object TaskPath -notlike '\\Microsoft\\*' |    Format-Table TaskPath,TaskName,State,Author -AutoSize<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper\"><\/span><\/a><\/div><\/pre>\n<p>\u0412\u0441\u0451, \u0447\u0442\u043e \u0441\u043e\u0437\u0434\u0430\u043d\u043e \u0432\u0440\u0443\u0447\u043d\u0443\u044e, \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442 \u0432 \u043a\u043e\u0440\u0435\u043d\u044c \\. \u0415\u0433\u043e \u043d\u0430\u0434\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 \u043f\u0435\u0440\u0432\u0443\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c. \u0417\u0430\u0434\u0430\u0447\u0438 Microsoft \u043e\u0442\u0441\u0435\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u043d\u0435 \u0441 \u043a\u043e\u043d\u0446\u0430\u043c\u0438, \u043a \u043d\u0438\u043c \u043d\u0430\u0434\u043b\u0435\u0436\u0438\u0442 \u0432\u0435\u0440\u043d\u0443\u0442\u044c\u0441\u044f \u043f\u043e\u0437\u0434\u043d\u0435\u0435. \u041d\u043e \u0432 \u043f\u0435\u0440\u0432\u043e\u043c \u043f\u0440\u0438\u0431\u043b\u0438\u0436\u0435\u043d\u0438\u0438 \u2013 \u043e\u0442\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u0435\u043c \u0438\u0445.<\/p>\n<h3>\u041e\u0442\u0444\u0438\u043b\u044c\u0442\u0440\u043e\u0432\u0430\u0442\u044c \u043f\u043e \u0442\u043e\u043c\u0443, \u0447\u0442\u043e \u0437\u0430\u0434\u0430\u0447\u0430 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442<\/h3>\n<pre><code class=\"powershell\">Get-ScheduledTask |    Where-Object {        $_.Actions.Execute -match 'powershell|cmd|wscript|cscript|mshta' -or        $_.Actions.Arguments -match 'ProgramData|AppData|\\\\Temp\\\\'    } |    Format-List TaskName,TaskPath,State,Actions,Triggers,Principal<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/d1\/28\/63\/d12863e9d577ba3f318bb87ef70e4f0e.png\" width=\"1602\" height=\"1144\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/d1\/28\/63\/d12863e9d577ba3f318bb87ef70e4f0e.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/d1\/28\/63\/d12863e9d577ba3f318bb87ef70e4f0e.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u041d\u0443 \u0432\u043e\u0442, \u043a\u0430\u043d\u0434\u0438\u0434\u0430\u0442\u043e\u0432 \u043d\u0430 \u043f\u0435\u0440\u0432\u043e\u043e\u0447\u0435\u0440\u0435\u0434\u043d\u043e\u0439 \u0430\u043d\u0430\u043b\u0438\u0437 \u043d\u0430\u0448\u043b\u0438. \u0423\u0436\u0435 \u0432\u0438\u0434\u043d\u044b \u0437\u0430\u0434\u0430\u0447\u0438 \u0441\u043e \u0441\u0442\u0440\u0430\u043d\u043d\u044b\u043c\u0438 \u0438\u043c\u0435\u043d\u0430\u043c\u0438, \u043d\u043e \u043d\u0435\u0442 \u043d\u0438\u043a\u0430\u043a\u043e\u0439 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u0438\u043a\u0438, \u043d\u0438 Actions, \u043d\u0438 Triggers \u0437\u0430\u0434\u0430\u0447. \u0427\u0442\u043e\u0431\u044b \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0438\u0445, \u043c\u043e\u0436\u043d\u043e \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c GUI \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430: <\/p>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/2a\/a1\/89\/2aa189cede686127e6c1bf76c5290ea0.png\" width=\"2017\" height=\"530\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/2a\/a1\/89\/2aa189cede686127e6c1bf76c5290ea0.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/2a\/a1\/89\/2aa189cede686127e6c1bf76c5290ea0.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u0418\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c Autorunsc. <\/p>\n<h3>Autorunsc \u043f\u043e \u0437\u0430\u0434\u0430\u0447\u0430\u043c<\/h3>\n<pre><code class=\"powershell\">C:\\Kit\\SysinternalsSuite\\Autorunsc64.exe -accepteula -a t -h<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0424\u043b\u0430\u0433 -a t \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0432\u0430\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u0437\u0430\u0434\u0430\u0447\u0430\u043c\u0438 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430, -h \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u0445\u0435\u0448\u0438. <\/p>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/d2\/7c\/f5\/d27cf532b51e867b80dc9ba93b832b6d.png\" width=\"1811\" height=\"109\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/d2\/7c\/f5\/d27cf532b51e867b80dc9ba93b832b6d.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/d2\/7c\/f5\/d27cf532b51e867b80dc9ba93b832b6d.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<h3>\u0417\u0430\u0434\u0430\u0447\u0438 \u043a\u0430\u043a \u0444\u0430\u0439\u043b\u044b<\/h3>\n<p>\u041f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a \u0445\u0440\u0430\u043d\u0438\u0442 \u0437\u0430\u0434\u0430\u0447\u0438 \u0432 \u0432\u0438\u0434\u0435 XML \u0432 C:\\Windows\\System32\\Tasks, \u0438 \u043c\u043e\u0436\u043d\u043e \u0447\u0438\u0442\u0430\u0442\u044c \u0438\u0445 \u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e \u043e\u0442\u0442\u0443\u0434\u0430. \u0417\u0434\u0435\u0441\u044c \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u043f\u043e\u043b\u0435\u0437\u0435\u043d \u0441\u0442\u043e\u043b\u0431\u0435\u0446 LastWriteTime \u2013 \u0437\u0430\u0434\u0430\u0447\u0438, \u0441\u043e\u0437\u0434\u0430\u043d\u043d\u044b\u0435 \u0432 \u043e\u043a\u043d\u043e \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430, \u0431\u0443\u0434\u0443\u0442 \u0432\u0438\u0434\u043d\u044b \u0441\u0440\u0430\u0437\u0443.<\/p>\n<pre><code class=\"powershell\">Get-ChildItem C:\\Windows\\System32\\Tasks\\Get-Content 'C:\\Windows\\System32\\Tasks\\Windows Health Telemetry'<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/61\/ea\/1a\/61ea1a4d8d13f06168ef8da02c0087ba.png\" width=\"1144\" height=\"829\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/61\/ea\/1a\/61ea1a4d8d13f06168ef8da02c0087ba.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/61\/ea\/1a\/61ea1a4d8d13f06168ef8da02c0087ba.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u0412 \u0438\u0442\u043e\u0433\u0435 \u0443 \u043d\u0430\u0441 \u0435\u0441\u0442\u044c \u0434\u0432\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u0437\u0430\u0434\u0430\u0447\u0438, \u0441\u043a\u0440\u044b\u0442\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e\u0449\u0438\u0435 \u0441\u043a\u0440\u0438\u043f\u0442\u044b. \u041e\u0434\u0438\u043d \u0438\u0437 \u044d\u0442\u0438\u0445 \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432 \u0443\u0436\u0435 \u0431\u044b\u043b \u043f\u043e\u0439\u043c\u0430\u043d \u0432 \u0446\u0435\u043f\u043a\u0438\u0435 \u043b\u0430\u043f\u044b \u0432\u044b\u0448\u0435, \u0430 \u0432\u0442\u043e\u0440\u043e\u0439 \u043c\u044b \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u0435\u043c \u0432\u043f\u0435\u0440\u0432\u044b\u0435. \u0421\u043c\u043e\u0442\u0440\u0438\u043c \u0435\u0433\u043e \u0431\u043b\u0438\u0436\u0435, \u0441\u043d\u0438\u043c\u0430\u0435\u043c \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0435, \u0445\u044d\u0448 \u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435: <\/p>\n<pre><code class=\"powershell\">Get-Item 'C:\\Users\\a.sokolova\\AppData\\Roaming\\SecureDocumentViewer\\UpdateCheck.ps1'| Format-List FullName,Length,CreationTime,LastWriteTimeGet-FileHash 'C:\\Users\\a.sokolova\\AppData\\Roaming\\SecureDocumentViewer\\UpdateCheck.ps1'Get-Content 'C:\\Users\\a.sokolova\\AppData\\Roaming\\SecureDocumentViewer\\UpdateCheck.ps1'<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/f9\/d0\/ac\/f9d0ac9000ad4fd2c1e6a0ab39422803.png\" width=\"2130\" height=\"694\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/f9\/d0\/ac\/f9d0ac9000ad4fd2c1e6a0ab39422803.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/f9\/d0\/ac\/f9d0ac9000ad4fd2c1e6a0ab39422803.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<h3>\u0416\u0443\u0440\u043d\u0430\u043b \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430<\/h3>\n<pre><code class=\"powershell\">$log = 'Microsoft-Windows-TaskScheduler\/Operational'Get-WinEvent -ListLog $log | Format-List LogName,IsEnabled,RecordCount<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u041f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u0441\u043d\u0430\u0447\u0430\u043b\u0430, \u0432\u043a\u043b\u044e\u0447\u0435\u043d \u043b\u0438 \u0436\u0443\u0440\u043d\u0430\u043b. \u0415\u0441\u043b\u0438 \u0432\u043a\u043b\u044e\u0447\u0451\u043d \u2014 \u043e\u0442\u0442\u0443\u0434\u0430 \u043c\u043e\u0436\u043d\u043e \u0432\u0437\u044f\u0442\u044c \u0444\u0430\u043a\u0442\u044b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u0437\u0430\u0434\u0430\u0447\u0438 (\u0441\u043e\u0431\u044b\u0442\u0438\u0435 106) \u0438 \u0435\u0451 \u0444\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u0437\u0430\u043f\u0443\u0441\u043a\u043e\u0432 (129, 200, 201). <\/p>\n<pre><code class=\"powershell\">Get-WinEvent -FilterHashtable @{    LogName   = $log    StartTime = (Get-Date).Date} | Where-Object {    $_.Message -match 'Secure Document Viewer Update|Windows Health Telemetry'} | Format-List TimeCreated,Id,Message<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/97\/5c\/86\/975c86367370d30dd33b0c89e4f7f53c.png\" width=\"1941\" height=\"461\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/97\/5c\/86\/975c86367370d30dd33b0c89e4f7f53c.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/97\/5c\/86\/975c86367370d30dd33b0c89e4f7f53c.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<h3>\u0427\u0442\u043e \u043c\u044b \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438<\/h3>\n<p>Windows Health Telemetry \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 HealthCheck.ps1 \u2014 \u0442\u043e\u0442 \u0441\u0430\u043c\u044b\u0439 \u0441\u043a\u0440\u0438\u043f\u0442 \u0438\u0437 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430 \u0441\u043b\u0443\u0436\u0431\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u0442\u0443\u0447\u0438\u0442 \u043d\u0430 192.168.100.11:8080. \u0422\u043e \u0435\u0441\u0442\u044c \u0435\u0441\u0442\u044c \u0434\u0432\u0430 \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u044b\u0445 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430: \u0441\u043b\u0443\u0436\u0431\u0430 \u0438 \u0437\u0430\u0434\u0430\u0447\u0430.<\/p>\n<p>Secure Document Viewer Update \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0434\u0440\u0443\u0433\u043e\u0439 \u0441\u043a\u0440\u0438\u043f\u0442, \u0438\u0437 \u043f\u0440\u043e\u0444\u0438\u043b\u044f a.sokolova. \u0415\u0433\u043e \u043c\u044b \u0440\u0430\u043d\u044c\u0448\u0435 \u043d\u0435 \u0432\u0438\u0434\u0435\u043b\u0438. \u041c\u044b \u0437\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0432\u0440\u0435\u043c\u044f \u0435\u0433\u043e \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f, \u0445\u044d\u0448 \u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435. \u041e\u043d \u0442\u043e\u0436\u0435 \u0448\u043b\u0435\u0442 \u043f\u0430\u043a\u0435\u0442\u044b \u043d\u0430 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0439 \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0430\u0434\u0440\u0435\u0441. <\/p>\n<p>\u0412 \u0441\u043e\u0431\u044b\u0442\u0438\u0438 129 \u0436\u0443\u0440\u043d\u0430\u043b\u0430 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430 \u0435\u0441\u0442\u044c PID \u0437\u0430\u043f\u0443\u0449\u0435\u043d\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430. \u042d\u0442\u043e \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0435 \u043c\u0435\u0441\u0442\u043e, \u0433\u0434\u0435 \u0437\u0430\u0434\u0430\u0447\u0430 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430 \u0441\u0432\u044f\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0441 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u043c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u043c, \u0430 \u0437\u043d\u0430\u0447\u0438\u0442 \u2014 \u0441 \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u043c\u0438 4688 \u0432 \u0436\u0443\u0440\u043d\u0430\u043b\u0435 Security. <\/p>\n<p>\u041a\u043e\u043c\u0430\u043d\u0434\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 \u0443 \u0437\u0430\u0434\u0430\u0447 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u0430\u044f, \u0438 \u0432 \u043d\u0435\u0439 \u0447\u0435\u0442\u044b\u0440\u0435 \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u044b\u0445 \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u0430:<\/p>\n<p><code>-WindowStyle Hidden<\/code> \u2014 \u043e\u043a\u043d\u043e PowerShell \u043d\u0435 \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0430\u0435\u0442\u0441\u044f;<\/p>\n<p><code>-ExecutionPolicy Bypass<\/code> \u2014 \u043e\u0431\u0445\u043e\u0434 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432;<\/p>\n<p><code>-NoProfile<\/code> \u2014 \u043d\u0435 \u0433\u0440\u0443\u0437\u0438\u0442\u044c \u043f\u0440\u043e\u0444\u0438\u043b\u044c, \u0447\u0442\u043e\u0431\u044b \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0441\u043b\u043e\u043c\u0430\u043b\u043e \u0437\u0430\u043f\u0443\u0441\u043a;<\/p>\n<p><code>-File<\/code> \u0441 \u043f\u0443\u0442\u0451\u043c \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435, \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e\u043c \u043d\u0430 \u0437\u0430\u043f\u0438\u0441\u044c.<\/p>\n<p>\u0421\u043e\u0447\u0435\u0442\u0430\u043d\u0438\u0435 Hidden + Bypass \u043e\u0447\u0435\u043d\u044c \u0445\u043e\u0440\u043e\u0448\u0430\u044f \u0441\u0432\u044f\u0437\u043a\u0430 \u0434\u043b\u044f \u043a\u043e\u0440\u0440\u0435\u043b\u044f\u0446\u0438\u043e\u043d\u043d\u043e\u0433\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430 SIEM \u043f\u0440\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0438 \u0437\u0430\u0434\u0430\u0447\u0438 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430. <\/p>\n<h2>\u0428\u0430\u0433 8. \u0410\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a<\/h2>\n<p>\u0414\u043b\u044f \u0431\u044b\u0441\u0442\u0440\u043e\u0433\u043e \u0438\u0437\u0443\u0447\u0435\u043d\u0438\u044f \u0442\u043e\u0447\u0435\u043a \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0447\u0435\u0440\u0435\u0437 \u0440\u0435\u0435\u0441\u0442\u0440 (\u0438 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e) \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c Autorunsc, \u0443\u0436\u0435 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0432\u0448\u0443\u044e\u0441\u044f \u0440\u0430\u043d\u0435\u0435. \u041a\u0441\u0442\u0430\u0442\u0438, \u043c\u044b \u0437\u0434\u0435\u0441\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0434\u043b\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438, \u043d\u043e \u0435\u0441\u0442\u044c \u0438 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0441 GUI. <\/p>\n<pre><code class=\"powershell\">C:\\Kit\\SysinternalsSuite\\Autorunsc64.exe `    -accepteula -a * -m -h<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u041f\u0440\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435 <code>-a * <\/code>\u0443\u0442\u0438\u043b\u0438\u0442\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442 \u0432\u043e\u043e\u0431\u0449\u0435 \u0432\u0441\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0435 \u0442\u043e\u0447\u043a\u0438 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430, \u0442\u0430\u043a \u0447\u0442\u043e \u0432 \u0432\u044b\u0432\u043e\u0434\u0435 \u043c\u043e\u0436\u0435\u0442 \u043e\u043a\u0430\u0437\u0430\u0442\u044c\u0441\u044f \u0438 \u0442\u043e, \u0447\u0442\u043e \u043c\u044b \u0443\u0436\u0435 \u0432\u0438\u0434\u0435\u043b\u0438 \u0440\u0430\u043d\u044c\u0448\u0435: \u0441\u043b\u0443\u0436\u0431\u044b \u0438 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a. \u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440<code> -m <\/code>\u0441\u043e\u043a\u0440\u0430\u0442\u0438\u0442 \u0432\u044b\u0432\u043e\u0434, \u043e\u0442\u0441\u0435\u0438\u0432 \u043f\u043e \u043f\u043e\u0434\u043f\u0438\u0441\u0438 \u0432\u0441\u0435 \u0442\u043e, \u0447\u0442\u043e \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a Microsoft, \u043d\u043e \u0432\u0441\u0435 \u0440\u0430\u0432\u043d\u043e \u043c\u043e\u0436\u0435\u0442 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c\u0441\u044f \u043c\u043d\u043e\u0433\u043e.<code> -h<\/code> \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u0445\u044d\u0448\u0438 \u043a \u043d\u0430\u0439\u0434\u0435\u043d\u043d\u043e\u043c\u0443. <\/p>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/0c\/7f\/55\/0c7f55f10f2e62982e960d7dbbaf26f2.png\" width=\"2106\" height=\"192\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/0c\/7f\/55\/0c7f55f10f2e62982e960d7dbbaf26f2.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/0c\/7f\/55\/0c7f55f10f2e62982e960d7dbbaf26f2.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u0414\u043b\u044f \u043f\u0435\u0440\u0435\u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438, \u0438\u043b\u0438 \u0435\u0441\u0442\u044c autorunsc \u043d\u0435\u0442, \u043d\u0438\u0436\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u0432\u0440\u0443\u0447\u043d\u0443\u044e. <\/p>\n<p>\u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c \u043f\u0440\u0438 \u0432\u0445\u043e\u0434\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0438\u043b\u0438 \u0441\u0442\u0430\u0440\u0442\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u0432 \u0432\u0435\u0442\u043a\u0430\u0445 Run \u0438 RunOnce. \u041f\u0440\u0438\u0447\u0435\u043c \u044d\u0442\u0438 \u0432\u0435\u0442\u043a\u0438 \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u043a\u0430\u043a \u0432 HKLM (\u0434\u043b\u044f \u0432\u0441\u0435\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u044b), \u0442\u0430\u043a \u0438 \u0432 HKCU (\u0434\u043b\u044f \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f) \u0438 \u0432 HKEY_USERS. \u041d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0432\u0441\u0435 \u044d\u0442\u0438 \u043c\u0435\u0441\u0442\u0430. <\/p>\n<h3>\u041a\u043b\u044e\u0447\u0438 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0434\u043b\u044f \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f<\/h3>\n<pre><code class=\"powershell\">reg.exe query \"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\"reg.exe query \"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce\"<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<h3>\u041a\u043b\u044e\u0447\u0438 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0434\u043b\u044f \u0434\u0440\u0443\u0433\u0438\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439<\/h3>\n<p>\u041e\u043d\u0438 \u043b\u0435\u0436\u0430\u0442 \u0432 HKEY_USERS \u043f\u043e\u0434 \u0441\u0432\u043e\u0438\u043c\u0438 SID. \u0421\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u0442\u0430\u043c \u043d\u0430\u0434\u043e \u0441\u0432\u044f\u0437\u0430\u0442\u044c SID \u0441 \u043a\u0430\u0436\u0434\u044b\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c, \u0432 \u043f\u0435\u0440\u0432\u0443\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c \u0441 \u0442\u0435\u043c, \u043a\u0442\u043e, \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443. \u041d\u043e \u0441 \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u043c\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u043d\u0435\u043b\u044c\u0437\u044f, \u043e\u043d\u0430 \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0430.<\/p>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/e0\/f7\/ca\/e0f7cafe2ab1c5f6444e38a889efd9b8.png\" width=\"1566\" height=\"936\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/e0\/f7\/ca\/e0f7cafe2ab1c5f6444e38a889efd9b8.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/e0\/f7\/ca\/e0f7cafe2ab1c5f6444e38a889efd9b8.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u041a\u043e\u043c\u0430\u043d\u0434\u0430 <\/p>\n<pre><code class=\"powershell\">(Get-ADUser a.sokolova).SID.Value<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u043e\u0448\u0438\u0431\u043a\u0443 \u043f\u043e \u043f\u0440\u0438\u0447\u0438\u043d\u0435 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u043d\u0435 \u043c\u043e\u0436\u0435\u0442 \u0434\u043e\u0441\u0442\u0443\u0447\u0430\u0442\u044c\u0441\u044f \u0434\u043e AD \u2013 \u0441\u0435\u0440\u0432\u0435\u0440 \u0432 \u0438\u0437\u043e\u043b\u044f\u0446\u0438\u0438. <\/p>\n<p>\u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043a\u043e\u043c\u0430\u043d\u0434\u0443<\/p>\n<pre><code class=\"powershell\">Get-CimInstance Win32_UserProfile | Select-Object LocalPath,SID,Loaded<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u041e\u043d\u0430 \u043e\u0442\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0438 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e. <\/p>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/5f\/ef\/bc\/5fefbc08ec82f3a2bea389606a5c3c56.png\" width=\"1291\" height=\"330\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/5f\/ef\/bc\/5fefbc08ec82f3a2bea389606a5c3c56.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/5f\/ef\/bc\/5fefbc08ec82f3a2bea389606a5c3c56.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0441 \u044d\u0442\u0438\u043c SID. \u0412\u0430\u0436\u043d\u043e, \u0447\u0442\u043e\u0431\u044b Loaded \u0431\u044b\u043b \u0432 \u0441\u0442\u0430\u0442\u0443\u0441\u0435 True \u2014 \u043a\u0443\u0441\u0442 \u0434\u043e\u0441\u0442\u0443\u043f\u0435\u043d, \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u043e\u0433\u0434\u0430 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d, \u0442\u043e \u0435\u0441\u0442\u044c \u043f\u043e\u043a\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435. \u0423 \u043d\u0430\u0448\u0435\u0439 a.sokolova \u0441\u0435\u0430\u043d\u0441 \u0432\u0438\u0441\u0438\u0442 \u2013 \u0442\u043e \u0435\u0441\u0442\u044c \u043e\u043d \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442, \u044e\u0437\u0435\u0440 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435, \u043f\u0440\u043e\u0441\u0442\u043e \u0432 \u0434\u0438\u0441\u043a\u043e\u043d\u043d\u0435\u043a\u0442\u0435. \u0415\u0441\u043b\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0432\u044b\u0448\u0435\u043b, \u0442\u043e \u043a\u0443\u0441\u0442 \u0432\u044b\u0433\u0440\u0443\u0437\u0438\u0442\u0441\u044f, \u0438 \u043f\u0440\u0438\u0434\u0435\u0442\u0441\u044f \u0447\u0438\u0442\u0430\u0442\u044c NTUSER.dat \u0441 \u0434\u0438\u0441\u043a\u0430. <\/p>\n<pre><code class=\"powershell\">reg.exe query \"HKU\\S-1-5-21-3589890344-2565197468-317303098-1113\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\"reg.exe query \"HKU\\S-1-5-21-3589890344-2565197468-317303098-1113\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce\"<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<h3>\u041a\u043b\u044e\u0447\u0438 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0434\u043b\u044f \u0432\u0441\u0435\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 <\/h3>\n<pre><code class=\"powershell\">reg.exe query \"HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\"reg.exe query \"HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce\"<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/36\/6d\/2d\/366d2dc02134ada7b2e33ee9ef5dafba.png\" width=\"2966\" height=\"750\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/36\/6d\/2d\/366d2dc02134ada7b2e33ee9ef5dafba.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/36\/6d\/2d\/366d2dc02134ada7b2e33ee9ef5dafba.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u0412 \u043d\u0430\u0448\u0435\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u043e\u043c\u0438\u043c\u043e \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0445 Vboxtray \u0435\u0441\u0442\u044c \u0435\u0449\u0435 \u0434\u0432\u0430 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f: <\/p>\n<p>&#8212;\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 \u0432 Run \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0441\u043a\u0440\u0438\u043f\u0442 <a href=\"http:\/\/UpdateCheck.ps\">UpdateCheck.ps<\/a>1 \u2014 \u0442\u043e\u0442 \u0436\u0435, \u0447\u0442\u043e \u0438 \u0437\u0430\u0434\u0430\u0447\u0430 Secure Document Viewer. \u041e\u043d \u0431\u0443\u0434\u0435\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c\u0441\u044f \u043f\u0440\u0438 \u043a\u0430\u0436\u0434\u043e\u043c \u0432\u0445\u043e\u0434\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0443. <\/p>\n<p>&#8212;\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 \u0412 RunOnce HKLM, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e\u0449\u0438\u0439 <a href=\"http:\/\/HealthCheck.ps\">HealthCheck.ps<\/a>1 \u2013 \u043c\u044b \u0442\u043e\u0436\u0435 \u0432\u0438\u0434\u0435\u043b\u0438 \u0435\u0433\u043e \u0440\u0430\u043d\u044c\u0448\u0435. <\/p>\n<p>RunOnce \u043e\u0442\u043b\u0438\u0447\u0430\u0435\u0442\u0441\u044f \u043e\u0442 Run \u0442\u0435\u043c, \u0447\u0442\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0443\u0434\u0430\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u043b\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u044f. <\/p>\n<h3>\u041a\u043b\u044e\u0447\u0438 WOW6432Node<\/h3>\n<p>\u042d\u0442\u0438 \u043a\u043b\u044e\u0447\u0438 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u044b \u0434\u043b\u044f \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 32-\u0431\u0438\u0442\u043d\u044b\u0445 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c, \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u0445 \u0432 64-\u0431\u0438\u0442\u043d\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 Windows. <\/p>\n<pre><code class=\"powershell\">reg.exe query \"HKEY_LOCAL_MACHINE\\SOFTWARE\\Wow6432Node\\Microsoft\\Windows\\CurrentVersion\\Run\"reg.exe query \"HKEY_LOCAL_MACHINE\\SOFTWARE\\Wow6432Node\\Microsoft\\Windows\\CurrentVersion\\RunOnce\"<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<h3>\u041a\u043b\u044e\u0447\u0438 Winlogon<\/h3>\n<p>\u0415\u0449\u0435 \u043e\u0434\u0438\u043d \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0432 Windows, \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e\u0449\u0438\u0439 \u043d\u0430 \u044d\u0442\u0430\u043f\u0435 \u0438\u043d\u0438\u0446\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u043e\u0439 \u0441\u0435\u0441\u0441\u0438\u0438. \u041d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u043a\u043b\u044e\u0447\u0438 Shell (\u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 explorer.exe) \u0438 Userinit (C:\\Windows\\system32\\userinit.exe,). <\/p>\n<pre><code class=\"powershell\">reg.exe query \"HKLM\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\" \/v Shellreg.exe query \"HKLM\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\" \/v Userinitreg.exe query \"HKLM\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Notify\"reg.exe query \"HKLM\\Software\\Wow6432Node\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Notify\"<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0412 \u0432\u0435\u0442\u043a\u0435 Winlogon \u0434\u043b\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u043d\u0435 \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432. <\/p>\n<pre><code class=\"powershell\">reg.exe query \"HKU\\S-1-5-21-3589890344-2565197468-317303098-1113\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\"<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/4d\/e7\/b1\/4de7b174bead247af3131fa391c1eee9.png\" width=\"2059\" height=\"510\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/4d\/e7\/b1\/4de7b174bead247af3131fa391c1eee9.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/4d\/e7\/b1\/4de7b174bead247af3131fa391c1eee9.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<h3>BootExecute<\/h3>\n<p>\u0414\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 autocheck autochk * \u2014 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0434\u0438\u0441\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0434\u043e \u0441\u0442\u0430\u0440\u0442\u0430 Windows.<\/p>\n<pre><code class=\"powershell\">reg.exe query \"HKLM\\System\\CurrentControlSet\\Control\\Session Manager\" \/v BootExecute<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<h3>\u041f\u0430\u043f\u043a\u0438 \u0430\u0432\u0442\u043e\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438<\/h3>\n<p>\u0414\u043b\u044f \u0432\u0441\u0435\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439<\/p>\n<pre><code class=\"powershell\">Get-ChildItem 'C:\\ProgramData\\Microsoft\\Windows\\Start Menu\\Programs\\Startup' -Force<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0418 \u0434\u043b\u044f \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u0433\u043e. \u0412 \u043d\u0430\u0448\u0435\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u0423\u0417<\/p>\n<pre><code class=\"powershell\">Get-ChildItem 'C:\\Users\\a.sokolova\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup' -Force<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/0e\/99\/93\/0e999368f74723fe1cedefd084cebbad.png\" alt=\"\u0418 \u0437\u0434\u0435\u0441\u044c \u0436\u0435 \u044f \u0437\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043b \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u044b \u0432 \u043f\u0430\u043f\u043a\u0435 SecureDocumentViewer, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0432\u0441\u043f\u043e\u043c\u043d\u0438\u043b, \u0447\u0442\u043e \u043d\u0435 \u0441\u0434\u0435\u043b\u0430\u043b \u044d\u0442\u043e\u0433\u043e \u0440\u0430\u043d\u044c\u0448\u0435.\" title=\"\u0418 \u0437\u0434\u0435\u0441\u044c \u0436\u0435 \u044f \u0437\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043b \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u044b \u0432 \u043f\u0430\u043f\u043a\u0435 SecureDocumentViewer, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0432\u0441\u043f\u043e\u043c\u043d\u0438\u043b, \u0447\u0442\u043e \u043d\u0435 \u0441\u0434\u0435\u043b\u0430\u043b \u044d\u0442\u043e\u0433\u043e \u0440\u0430\u043d\u044c\u0448\u0435.\" width=\"1788\" height=\"919\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/0e\/99\/93\/0e999368f74723fe1cedefd084cebbad.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/0e\/99\/93\/0e999368f74723fe1cedefd084cebbad.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption><em>\u0418 \u0437\u0434\u0435\u0441\u044c \u0436\u0435 \u044f \u0437\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043b \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u044b \u0432 \u043f\u0430\u043f\u043a\u0435 SecureDocumentViewer, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0432\u0441\u043f\u043e\u043c\u043d\u0438\u043b, \u0447\u0442\u043e \u043d\u0435 \u0441\u0434\u0435\u043b\u0430\u043b \u044d\u0442\u043e\u0433\u043e \u0440\u0430\u043d\u044c\u0448\u0435.<\/em><\/figcaption><\/div>\n<\/figure>\n<h2>\u0428\u0430\u0433 9. \u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438 \u0433\u0440\u0443\u043f\u043f\u044b<\/h2>\n<p>\u041c\u044b \u0443\u0436\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u043b\u0438 \u043f\u0440\u043e\u0444\u0438\u043b\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438 \u0442\u0435\u043a\u0443\u0449\u0438\u0435 \u0441\u0435\u0430\u043d\u0441\u044b \u0432\u044b\u0448\u0435. \u041f\u043e\u043c\u0438\u043c\u043e \u044d\u0442\u043e\u0433\u043e, \u0431\u044b\u043b\u043e \u0431\u044b \u043f\u043e\u043b\u0435\u0437\u043d\u043e \u0437\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u0442\u044c, \u043d\u0435 \u0441\u043e\u0437\u0434\u0430\u043b \u043b\u0438 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u043d\u043e\u0432\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u043d\u0435 \u0432\u043a\u043b\u044e\u0447\u0438\u043b \u043b\u0438 \u043e\u0442\u043a\u043b\u044e\u0447\u0451\u043d\u043d\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c \u0438 \u043d\u0435 \u0434\u043e\u0431\u0430\u0432\u0438\u043b \u043b\u0438 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c \u0432 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u0433\u0440\u0443\u043f\u043f\u0443.     <\/p>\n<h3>\u041b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0435 \u0443\u0447\u0435\u0442\u043d\u044b\u0435 \u0437\u0430\u043f\u0438\u0441\u0438<\/h3>\n<pre><code class=\"powershell\">Get-LocalUser |     Select-Object Name,Enabled,LastLogon,PasswordLastSet,SID<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<h3>\u0413\u0440\u0443\u043f\u043f\u0430 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0445 \u0430\u0434\u043c\u0438\u043d\u043e\u0432 <\/h3>\n<pre><code class=\"powershell\">$adminGroup = Get-LocalGroup -SID 'S-1-5-32-544'Get-LocalGroupMember -Group $adminGroup |    Select-Object Name,ObjectClass,PrincipalSource<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0412 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442 \u043b\u043e\u043a\u0430\u043b\u0438 \u0438\u043c\u044f \u0433\u0440\u0443\u043f\u043f\u044b \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0438 \u043d\u0430 \u0430\u043d\u0433\u043b\u0438\u0439\u0441\u043a\u043e\u043c, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043d\u0430\u0434\u0435\u0436\u043d\u0435\u0435 \u043e\u0431\u0440\u0430\u0449\u0430\u0442\u044c\u0441\u044f \u043f\u043e SID \u2013 \u043e\u043d \u0432\u0441\u0435\u0433\u0434\u0430 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u0439. <\/p>\n<h3>\u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0440\u0430\u0431\u043e\u0447\u0435\u0433\u043e \u0441\u0442\u043e\u043b\u0430<\/h3>\n<p>\u041f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u044d\u0442\u043e \u0442\u0435\u0440\u043c\u0438\u043d\u0430\u043b\u043a\u0430, \u044d\u0442\u0430 \u0433\u0440\u0443\u043f\u043f\u0430 \u043e\u0447\u0435\u043d\u044c \u0432\u0430\u0436\u043d\u0430, \u043e\u043d\u0430 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442, \u043a\u0442\u043e \u043c\u043e\u0436\u0435\u0442 \u043b\u043e\u0433\u0438\u043d\u0438\u0442\u044c\u0441\u044f \u043f\u043e RDP. <\/p>\n<pre><code class=\"powershell\">$rdpGroup = Get-LocalGroup -SID 'S-1-5-32-555'Get-LocalGroupMember -Group $rdpGroup |    Select-Object Name,ObjectClass,PrincipalSource<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0412 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445 \u0434\u043e\u043c\u0435\u043d\u0430 \u0437\u0434\u0435\u0441\u044c \u0431\u0443\u0434\u0443\u0442 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0435 \u0443\u0447\u0435\u0442\u043a\u0438 \u0438\u043b\u0438 \u0433\u0440\u0443\u043f\u043f\u044b \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439. \u041f\u0440\u0438 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438, \u0438\u0445 \u0441\u0432\u043e\u0439\u0441\u0442\u0432\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u044e\u0442\u0441\u044f \u0441 \u0447\u0438\u0441\u0442\u043e\u0439 \u0430\u0434\u043c\u0438\u043d\u0441\u043a\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b. <\/p>\n<h2>\u0428\u0430\u0433 10. \u0416\u0443\u0440\u043d\u0430\u043b\u044b<\/h2>\n<p>\u041f\u0440\u0438\u0448\u043b\u043e \u0432\u0440\u0435\u043c\u044f, \u043d\u0430\u043a\u043e\u043d\u0435\u0446, \u0432\u0434\u0443\u043c\u0447\u0438\u0432\u043e \u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u043b\u043e\u0433\u0438. \u0412\u043e \u0432\u0440\u0435\u043c\u044f \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0441\u0440\u0430\u0437\u0443 \u0441\u0430\u0434\u0438\u0442\u044c\u0441\u044f \u0437\u0430 \u043f\u0440\u043e\u0441\u043c\u043e\u0442\u0440 \u043b\u043e\u0433\u043e\u0432 \u043d\u0435\u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0438\u0432\u043d\u043e. \u041f\u0435\u0440\u0432\u0435\u0439\u0448\u0430\u044f \u0437\u0430\u0434\u0430\u0447\u0430 \u2013 \u044d\u0442\u043e \u0441\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u043d\u0438\u0435 \u0443\u0433\u0440\u043e\u0437\u044b \u0447\u0435\u0440\u0435\u0437 \u0438\u0437\u043e\u043b\u044f\u0446\u0438\u044e, \u0437\u0430\u0442\u0435\u043c \u0444\u0438\u043a\u0441\u0430\u0446\u0438\u044f \u0431\u043e\u043b\u0435\u0435 \u0432\u043e\u043b\u0430\u0442\u0438\u043b\u044c\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445. \u041b\u043e\u0433\u0438 \u043e\u0442 \u043d\u0430\u0441 (\u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e) \u043d\u0435 \u0443\u0431\u0435\u0433\u0443\u0442, \u0438 \u0434\u0430\u0436\u0435 \u0435\u0441\u043b\u0438 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0435 \u0436\u0443\u0440\u043d\u0430\u043b\u044b \u0431\u0443\u0434\u0443\u0442 \u043e\u0447\u0438\u0449\u0435\u043d\u044b, \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u043c\u043e\u0436\u043d\u043e \u0431\u0443\u0434\u0435\u0442 \u043d\u0430\u0439\u0442\u0438 \u0432 SIEM. \u0415\u0441\u043b\u0438 \u0441\u0430\u0434\u0438\u0442\u044c\u0441\u044f \u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u043b\u043e\u0433\u0438 \u0441\u0440\u0430\u0437\u0443, \u0442\u043e \u043c\u044b \u0437\u0430\u043a\u043e\u043f\u0430\u0435\u043c\u0441\u044f \u0432 \u043d\u0438\u0445 \u0441 \u0433\u043e\u043b\u043e\u0432\u043e\u0439, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0442\u044b\u0441\u044f\u0447\u0438 \u0438\u0445, \u0430 \u0432 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442 \u043c\u044b \u043d\u0435 \u043f\u043e\u0433\u0440\u0443\u0436\u0435\u043d\u044b, \u0442\u043e \u0435\u0441\u0442\u044c \u043d\u0435 \u0437\u043d\u0430\u0435\u043c, \u0447\u0442\u043e \u0438\u0441\u043a\u0430\u0442\u044c. <\/p>\n<p>\u0421\u0435\u0439\u0447\u0430\u0441 \u0443 \u043d\u0430\u0441 \u0443\u0436\u0435 \u0435\u0441\u0442\u044c \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u0435, \u0447\u0442\u043e \u0438\u0441\u043a\u0430\u0442\u044c \u0432 \u043b\u043e\u0433\u0430\u0445. \u041c\u044b \u0432\u043e\u043e\u0431\u0449\u0435 \u0437\u043d\u0430\u0435\u043c \u0443\u0436\u0435 \u043d\u0435\u043c\u0430\u043b\u043e: <\/p>\n<h3>\u041f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u043e\u0447\u043d\u044b\u0439 \u0441\u043f\u0438\u0441\u043e\u043a \u043d\u0430\u0445\u043e\u0434\u043e\u043a<\/h3>\n<ul>\n<li>\n<p>\u0412\u043e \u0432\u0440\u0435\u043c\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 RDS \u0431\u044b\u043b\u0430 \u043e\u0442\u043a\u0440\u044b\u0442\u0430 \u0441\u0435\u0441\u0441\u0438\u044f a.sokolova, \u0432\u0440\u0435\u043c\u044f \u0432\u0445\u043e\u0434\u0430: 25 \u0430\u0432\u0433\u0443\u0441\u0442\u0430 2026 00:11<\/p>\n<\/li>\n<li>\n<p>\u041f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u044b \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u044f RDS01 \u043d\u0430 \u0443\u0441\u043b\u043e\u0432\u043d\u044b\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0430\u0434\u0440\u0435\u0441 192.168.100.11 8080<\/p>\n<\/li>\n<li>\n<p>\u0417\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043d \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u0441\u043b\u0443\u0436\u0431\u044b WindowsHealthMonitor.exe \u0441 \u0434\u0430\u0442\u043e\u0439 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f 25 \u0430\u0432\u0433\u0443\u0441\u0442\u0430 2026 00:21:36<\/p>\n<\/li>\n<li>\n<p>\u0421\u043b\u0443\u0436\u0431\u0430 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u044b<\/p>\n<\/li>\n<li>\n<p>\u0418\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u0444\u0430\u0439\u043b \u0441\u043b\u0443\u0436\u0431\u044b \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u043f\u043e \u043f\u0443\u0442\u0438  <code>C:\\ProgramData\\WindowsHealthMonitor\\<\/code><\/p>\n<\/li>\n<li>\n<p>\u0426\u0438\u0444\u0440\u043e\u0432\u0430\u044f \u043f\u043e\u0434\u043f\u0438\u0441\u044c \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442, \u0445\u044d\u0448 \u0438 \u0440\u0430\u0437\u043c\u0435\u0440 \u0437\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043d<\/p>\n<\/li>\n<li>\n<p>\u0410\u043d\u0430\u043b\u0438\u0437 \u0441\u0442\u0440\u043e\u043a \u0444\u0430\u0439\u043b\u0430 <code>WindowsHealthMonitor.exe<\/code> \u0432\u044b\u044f\u0432\u0438\u043b \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u043d\u0438\u0438   \u043c\u0435\u0442\u043e\u0434\u0430 POST \u0438 \u0430\u0434\u0440\u0435\u0441 192.168.100.11:8080\/beacon<\/p>\n<\/li>\n<li>\n<p>\u0412 \u0442\u043e\u0439 \u0436\u0435 \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 <code>C:\\ProgramData\\WindowsHealthMonitor\\<\/code> \u043d\u0430\u0439\u0434\u0435\u043d  \u0441\u043a\u0440\u0438\u043f\u0442 <code>HealthCheck.ps1<\/code> \u0441 \u0442\u043e\u0439 \u0436\u0435 \u0434\u0430\u0442\u043e\u0439 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f &#8212; 25 \u0430\u0432\u0433\u0443\u0441\u0442\u0430 2026 00:21:36.  \u0412 \u0442\u0435\u043b\u0435 \u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u0430 <code>HTTP POST \u043a 192.168.100.11 8080<\/code><\/p>\n<\/li>\n<li>\n<p>\u0421\u043b\u0443\u0436\u0431\u0430 WindowsHealthMonitor \u0441\u043e\u0437\u0434\u0430\u043d\u0430 25 \u0430\u0432\u0433\u0443\u0441\u0442\u0430 2026 00:21:36 (\u0441\u043e\u0431\u044b\u0442\u0438\u0435 7045)<\/p>\n<\/li>\n<li>\n<p>\u041d\u0430\u0439\u0434\u0435\u043d\u0430 \u0437\u0430\u0434\u0430\u0447\u0430 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430 Secure Document Viewer Update,  \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e\u0449\u0430\u044f \u0441\u043a\u0440\u0438\u043f\u0442 <code>C:\\Users\\a.sokolova\\AppData\\Roaming\\SecureDocumentViewer\\UpdateCheck.ps1<\/code>.  \u0424\u0430\u0439\u043b \u0437\u0430\u0434\u0430\u0447\u0438 \u0441\u043e\u0437\u0434\u0430\u043d 25 \u0430\u0432\u0433\u0443\u0441\u0442\u0430 0:13, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f \u043a\u0430\u0436\u0434\u044b\u0435 15 \u043c\u0438\u043d\u0443\u0442 \u0441\u043a\u0440\u044b\u0442\u043e. <\/p>\n<\/li>\n<li>\n<p>\u0421\u043a\u0440\u0438\u043f\u0442 <code>C:\\Users\\a.sokolova\\AppData\\Roaming\\SecureDocumentViewer\\UpdateCheck.ps1<\/code> \u0441\u043e\u0437\u0434\u0430\u043d \u0432 25.08.2026 0:13:04. \u0412 \u0442\u0435\u043b\u0435 \u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u0442\u0430\u043a\u0436\u0435 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u0430 <code>HTTP POST<\/code> \u043a 192.168.100.11 8080. <\/p>\n<\/li>\n<li>\n<p>\u0417\u0430\u0434\u0430\u0447\u0430 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430 <code>Secure Document Viewer Update<\/code> \u0441\u043e\u0437\u0434\u0430\u043d\u0430 25 \u0430\u0432\u0433\u0443\u0441\u0442\u0430 2026 00:13:05 \u0438\u0437-\u043f\u043e\u0434 \u0423\u0417 a.sokolova. <\/p>\n<\/li>\n<li>\n<p>\u041d\u0430\u0439\u0434\u0435\u043d\u0430 \u0437\u0430\u0434\u0430\u0447\u0430 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430 Windows Health Telemetry, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e\u0449\u0430\u044f \u0441\u043a\u0440\u0438\u043f\u0442 <code>C:\\ProgramData\\WindowsHealthMonitor\\HealthCheck.ps1<\/code>. \u0424\u0430\u0439\u043b \u0437\u0430\u0434\u0430\u0447\u0438 \u0441\u043e\u0437\u0434\u0430\u043d 25 \u0430\u0432\u0433\u0443\u0441\u0442\u0430 0:21, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f \u043a\u0430\u0436\u0434\u044b\u0435 10 \u043c\u0438\u043d\u0443\u0442, \u0441\u043a\u0440\u044b\u0442\u043e, \u043e\u0442 \u0441\u0438\u0441\u0442\u0435\u043c\u044b. <\/p>\n<\/li>\n<li>\n<p>\u041d\u0430\u0439\u0434\u0435\u043d\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0432 <code>HKU\\...\\Run<\/code> \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f a.sokolova, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e\u0449\u0435\u0435      <code>C:\\Users\\a.sokolova\\AppData\\Roaming\\SecureDocumentViewer\\UpdateCheck.ps1<\/code><\/p>\n<\/li>\n<li>\n<p>\u041d\u0430\u0439\u0434\u0435\u043d\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0432 <code>HKLM\\...\\RunOnce<\/code>, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e\u0449\u0435\u0435   <code>C:\\ProgramData\\WindowsHealthMonitor\\HealthCheck.ps1<\/code><\/p>\n<\/li>\n<\/ul>\n<p>\u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u0443 \u043d\u0430\u0441 \u0435\u0441\u0442\u044c \u043d\u0435\u043a\u0438\u0439 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442 \u043f\u0440\u043e\u0438\u0437\u043e\u0448\u0435\u0434\u0448\u0435\u0433\u043e. \u041c\u044b \u0432\u0438\u0434\u0438\u043c \u0441\u0435\u0430\u043d\u0441 a.sokolova, \u043d\u0430\u0447\u0430\u0432\u0448\u0438\u0439\u0441\u044f \u043f\u0440\u0438\u0431\u043b\u0438\u0437\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0432 00:11, \u0430 \u043e\u0441\u043d\u043e\u0432\u043d\u044b\u0435 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u044b \u043f\u043e\u044f\u0432\u0438\u043b\u0438\u0441\u044c \u043c\u0435\u0436\u0434\u0443 00:13 \u0438 00:22. \u0421\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u0430\u044f \u0438\u0445 \u0447\u0430\u0441\u0442\u044c \u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e \u0441\u0432\u044f\u0437\u0430\u043d\u0430 \u0441 \u044d\u0442\u043e\u0439 \u0443\u0447\u0435\u0442\u043d\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u044c\u044e. \u041d\u0430\u0447\u043d\u0451\u043c \u0441 \u0436\u0443\u0440\u043d\u0430\u043b\u043e\u0432 RDP, \u0447\u0442\u043e\u0431\u044b \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c \u044d\u0442\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u043e\u0433\u043e \u0441\u0435\u0430\u043d\u0441\u0430. <\/p>\n<h3>\u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0436\u0443\u0440\u043d\u0430\u043b\u0430 LocalSessionManager\/Operational<\/h3>\n<p>\u0416\u0443\u0440\u043d\u0430\u043b \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0441\u043e\u0431\u044b\u0442\u0438\u044f RDP-\u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0439. \u0418\u0437 \u0432\u044b\u0432\u043e\u0434\u0430 \u043a\u043e\u043c\u0430\u043d\u0434\u044b quser \u043c\u044b \u0437\u043d\u0430\u0435\u043c, \u0432\u043e \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043d\u0430\u0447\u0430\u043b\u0441\u044f \u0441\u0435\u0430\u043d\u0441 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f a.sokolova. \u041f\u0440\u043e\u0432\u0435\u0440\u0438\u043c \u044d\u0442\u043e \u043f\u043e \u0436\u0443\u0440\u043d\u0430\u043b\u0443 \u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043c \u0442\u0430\u043a\u0436\u0435 \u0432\u0440\u0435\u043c\u044f \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f. \u0411\u0443\u0434\u0435\u043c \u0438\u0441\u043a\u0430\u0442\u044c \u0441\u043e\u0431\u044b\u0442\u0438\u044f 21 (\u0432\u0445\u043e\u0434) \u0438 24 (\u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435). <\/p>\n<p>\u0412\u043e\u0442 \u0432\u0445\u043e\u0434:<\/p>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/94\/33\/c4\/9433c4f93c2dc34e5c15b33541a4743f.png\" width=\"1102\" height=\"691\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/94\/33\/c4\/9433c4f93c2dc34e5c15b33541a4743f.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/94\/33\/c4\/9433c4f93c2dc34e5c15b33541a4743f.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u041f\u0435\u0440\u0435\u043a\u0440\u0435\u0441\u0442\u043d\u0430\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0432 \u0436\u0443\u0440\u043d\u0430\u043b\u0435 Security \u044d\u0442\u043e \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442 \u2014 \u0438 \u0434\u0430\u0435\u0442 \u043d\u0430\u043c \u0418\u0414 \u0432\u0445\u043e\u0434\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f 0xD50143 (\u0432\u043d\u0438\u0437\u0443, \u043f\u043b\u043e\u0445\u043e \u043f\u043e\u043c\u0435\u0441\u0442\u0438\u043b\u0441\u044f). <\/p>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/c9\/82\/d9\/c982d9f1711cd8158587a1b3edf9c6e1.png\" width=\"891\" height=\"683\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/c9\/82\/d9\/c982d9f1711cd8158587a1b3edf9c6e1.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/c9\/82\/d9\/c982d9f1711cd8158587a1b3edf9c6e1.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u0412\u043e\u0442 \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0441\u0435\u0430\u043d\u0441\u0430: <\/p>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/30\/22\/e0\/3022e0bcc7ac741aa267f7f8a1355bb0.png\" width=\"1101\" height=\"801\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/30\/22\/e0\/3022e0bcc7ac741aa267f7f8a1355bb0.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/30\/22\/e0\/3022e0bcc7ac741aa267f7f8a1355bb0.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u0422\u043e \u0435\u0441\u0442\u044c \u043e\u043d \u043e\u0442\u043a\u043b\u044e\u0447\u0438\u043b\u0441\u044f \u0432 00:37:36. \u0412 \u043f\u0435\u0440\u0432\u0443\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c \u043c\u044b \u0431\u0443\u0434\u0435\u043c \u0438\u0441\u043a\u0430\u0442\u044c \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u0432 \u044d\u0442\u043e\u043c \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u043c \u0438\u043d\u0442\u0435\u0440\u0432\u0430\u043b\u0435. <\/p>\n<h3>\u041f\u043e\u0438\u0441\u043a \u0441\u043e\u0431\u044b\u0442\u0438\u0439 4688 \u0432 \u0437\u0430\u0434\u0430\u043d\u043d\u043e\u043c \u0438\u043d\u0442\u0435\u0440\u0432\u0430\u043b\u0435<\/h3>\n<details class=\"spoiler\">\n<summary>\u0421\u043a\u0440\u044b\u0442\u044b\u0439 \u0442\u0435\u043a\u0441\u0442<\/summary>\n<div class=\"spoiler__content\">\n<p><em>\u0415\u0441\u043b\u0438 \u0432\u044b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0435 Sysmon, \u0442\u043e \u0432\u044b \u0441 \u0442\u0430\u043a\u0438\u043c \u0436\u0435 \u0443\u0441\u043f\u0435\u0445\u043e\u043c \u043c\u043e\u0436\u0435\u0442\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043f\u043e\u0438\u0441\u043a \u043f\u043e Event Id 1 \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u043c. <\/em><\/p>\n<\/div>\n<\/details>\n<p>\u0417\u0430\u0434\u0430\u0435\u043c \u0438\u043d\u0442\u0435\u0440\u0432\u0430\u043b \u0441 \u043d\u0435\u0431\u043e\u043b\u044c\u0448\u0438\u043c \u0437\u0430\u043f\u0430\u0441\u043e\u043c. <\/p>\n<pre><code class=\"powershell\">$from = Get-Date '2026-08-25 00:00:00'$to   = Get-Date '2026-08-25 00:38:00'<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0414\u043b\u044f \u043d\u0430\u0447\u0430\u043b\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043c \u043f\u043e\u0438\u0441\u043a \u043f\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u044e \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 4688 \u2013 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u0444\u0438\u043b\u044c\u0442\u0440 \u043f\u043e \u043a\u043b\u044e\u0447\u0435\u0432\u044b\u043c \u0441\u043b\u043e\u0432\u0430\u043c. <\/p>\n<pre><code class=\"powershell\">Get-WinEvent -FilterHashtable @{    LogName   = 'Security'    Id        = 4688    StartTime = $from    EndTime   = $to} | Where-Object {    $_.Message -match 'powershell|cmd.exe|csc.exe|sc.exe|Document_Viewer|SecureDocumentViewer|WindowsHealthMonitor'} | Format-List TimeCreated,Message<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0418 \u0441\u0440\u0430\u0437\u0443 \u0432\u0438\u0434\u0438\u043c \u043a\u0430\u0440\u0442\u0438\u043d\u0443 \u0441\u043e\u0431\u044b\u0442\u0438\u0439. <\/p>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/f4\/a5\/29\/f4a5293e3d5f305c639681eea3634427.png\" alt=\"\u0417\u0430\u043f\u0443\u0441\u043a \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 a.sokolova \u0432 00:30:05.\" title=\"\u0417\u0430\u043f\u0443\u0441\u043a \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 a.sokolova \u0432 00:30:05.\" width=\"2966\" height=\"877\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/f4\/a5\/29\/f4a5293e3d5f305c639681eea3634427.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/f4\/a5\/29\/f4a5293e3d5f305c639681eea3634427.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption>\u0417\u0430\u043f\u0443\u0441\u043a \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 a.sokolova \u0432 00:30:05.<\/figcaption><\/div>\n<\/figure>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/dc\/ef\/60\/dcef607dacc4dddcafac71b5b49cf842.png\" alt=\"\u0417\u0430\u043f\u0443\u0441\u043a \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0441\u043b\u0443\u0436\u0431\u044b WindowsHealthMonitor \u0432 00:21:36.\" title=\"\u0417\u0430\u043f\u0443\u0441\u043a \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0441\u043b\u0443\u0436\u0431\u044b WindowsHealthMonitor \u0432 00:21:36.\" width=\"2967\" height=\"872\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/dc\/ef\/60\/dcef607dacc4dddcafac71b5b49cf842.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/dc\/ef\/60\/dcef607dacc4dddcafac71b5b49cf842.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption>\u0417\u0430\u043f\u0443\u0441\u043a \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0441\u043b\u0443\u0436\u0431\u044b WindowsHealthMonitor \u0432 00:21:36.<\/figcaption><\/div>\n<\/figure>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/0f\/41\/d5\/0f41d59fc090e00bfd0cbf369a94441a.png\" alt=\"\u0415\u0449\u0435 \u043e\u0434\u0438\u043d \u0437\u0430\u043f\u0443\u0441\u043a \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 a.sokolova \u0432 00:15:13.\" title=\"\u0415\u0449\u0435 \u043e\u0434\u0438\u043d \u0437\u0430\u043f\u0443\u0441\u043a \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 a.sokolova \u0432 00:15:13.\" width=\"2966\" height=\"867\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/0f\/41\/d5\/0f41d59fc090e00bfd0cbf369a94441a.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/0f\/41\/d5\/0f41d59fc090e00bfd0cbf369a94441a.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption>\u0415\u0449\u0435 \u043e\u0434\u0438\u043d \u0437\u0430\u043f\u0443\u0441\u043a \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 a.sokolova \u0432 00:15:13.<\/figcaption><\/div>\n<\/figure>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/b7\/32\/b4\/b732b4ac5d59988fdd6508dc310a05d7.png\" alt=\"\u0421\u043e\u0431\u044b\u0442\u0438\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 ipconfig \u0447\u0435\u0440\u0435\u0437 powershell \u0432 00:13:02\" title=\"\u0421\u043e\u0431\u044b\u0442\u0438\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 ipconfig \u0447\u0435\u0440\u0435\u0437 powershell \u0432 00:13:02\" width=\"2969\" height=\"884\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/b7\/32\/b4\/b732b4ac5d59988fdd6508dc310a05d7.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/b7\/32\/b4\/b732b4ac5d59988fdd6508dc310a05d7.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption>\u0421\u043e\u0431\u044b\u0442\u0438\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 ipconfig \u0447\u0435\u0440\u0435\u0437 powershell \u0432 00:13:02<\/figcaption><\/div>\n<\/figure>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/ff\/f3\/2f\/fff32facdd9dbc87713920fed0f55b85.png\" alt=\"\u0421\u043e\u0431\u044b\u0442\u0438\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0444\u0430\u0439\u043b\u0430 .cmd \u0438\u0437 \u041f\u0440\u043e\u0432\u043e\u0434\u043d\u0438\u043a\u0430 \u0432 00:12:54. \u0422\u043e \u0435\u0441\u0442\u044c, \u0444\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438, \u044d\u0442\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u0444\u0430\u0439\u043b \u0431\u044b\u043b \u0437\u0430\u043f\u0443\u0449\u0435\u043d \u0441\u0430\u043c\u0438\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c \u0434\u0432\u043e\u0439\u043d\u044b\u043c \u0449\u0435\u043b\u0447\u043a\u043e\u043c. \u041f\u0440\u0438\u0447\u0435\u043c \u0444\u0430\u0439\u043b \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u043f\u0430\u043f\u043a\u0435 \u00ab\u0417\u0430\u0433\u0440\u0443\u0437\u043a\u0438\u00bb, \u0447\u0442\u043e \u043d\u0430\u043c\u0435\u043a\u0430\u0435\u0442 \u043d\u0430 \u043c\u0430\u0440\u0448\u0440\u0443\u0442, \u043a\u0430\u043a\u0438\u043c \u043e\u043d \u043f\u043e\u043f\u0430\u043b \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440. \" title=\"\u0421\u043e\u0431\u044b\u0442\u0438\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0444\u0430\u0439\u043b\u0430 .cmd \u0438\u0437 \u041f\u0440\u043e\u0432\u043e\u0434\u043d\u0438\u043a\u0430 \u0432 00:12:54. \u0422\u043e \u0435\u0441\u0442\u044c, \u0444\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438, \u044d\u0442\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u0444\u0430\u0439\u043b \u0431\u044b\u043b \u0437\u0430\u043f\u0443\u0449\u0435\u043d \u0441\u0430\u043c\u0438\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c \u0434\u0432\u043e\u0439\u043d\u044b\u043c \u0449\u0435\u043b\u0447\u043a\u043e\u043c. \u041f\u0440\u0438\u0447\u0435\u043c \u0444\u0430\u0439\u043b \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u043f\u0430\u043f\u043a\u0435 \u00ab\u0417\u0430\u0433\u0440\u0443\u0437\u043a\u0438\u00bb, \u0447\u0442\u043e \u043d\u0430\u043c\u0435\u043a\u0430\u0435\u0442 \u043d\u0430 \u043c\u0430\u0440\u0448\u0440\u0443\u0442, \u043a\u0430\u043a\u0438\u043c \u043e\u043d \u043f\u043e\u043f\u0430\u043b \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440. \" width=\"2981\" height=\"883\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/ff\/f3\/2f\/fff32facdd9dbc87713920fed0f55b85.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/ff\/f3\/2f\/fff32facdd9dbc87713920fed0f55b85.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption>\u0421\u043e\u0431\u044b\u0442\u0438\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0444\u0430\u0439\u043b\u0430 .cmd \u0438\u0437 \u041f\u0440\u043e\u0432\u043e\u0434\u043d\u0438\u043a\u0430 \u0432 00:12:54. \u0422\u043e \u0435\u0441\u0442\u044c, \u0444\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438, \u044d\u0442\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u0444\u0430\u0439\u043b \u0431\u044b\u043b \u0437\u0430\u043f\u0443\u0449\u0435\u043d \u0441\u0430\u043c\u0438\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c \u0434\u0432\u043e\u0439\u043d\u044b\u043c \u0449\u0435\u043b\u0447\u043a\u043e\u043c. \u041f\u0440\u0438\u0447\u0435\u043c \u0444\u0430\u0439\u043b \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0432 \u043f\u0430\u043f\u043a\u0435 \u00ab\u0417\u0430\u0433\u0440\u0443\u0437\u043a\u0438\u00bb, \u0447\u0442\u043e \u043d\u0430\u043c\u0435\u043a\u0430\u0435\u0442 \u043d\u0430 \u043c\u0430\u0440\u0448\u0440\u0443\u0442, \u043a\u0430\u043a\u0438\u043c \u043e\u043d \u043f\u043e\u043f\u0430\u043b \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440. <\/figcaption><\/div>\n<\/figure>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/b7\/88\/28\/b7882807daadc2c97ba46afbfa3e0b8f.png\" alt=\"\u0417\u0434\u0435\u0441\u044c \u043c\u044b \u0432\u0438\u0434\u0438\u043c, \u0447\u0442\u043e \u0440\u044f\u0434\u043e\u043c \u0441 cmd-\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u043c \u043b\u0435\u0436\u0430\u043b txt-\u0444\u0430\u0439\u043b, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0431\u044b\u043b \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c \u0447\u0435\u0440\u0435\u0437 \u0411\u043b\u043e\u043a\u043d\u043e\u0442 \u0432 00:12:42.\" title=\"\u0417\u0434\u0435\u0441\u044c \u043c\u044b \u0432\u0438\u0434\u0438\u043c, \u0447\u0442\u043e \u0440\u044f\u0434\u043e\u043c \u0441 cmd-\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u043c \u043b\u0435\u0436\u0430\u043b txt-\u0444\u0430\u0439\u043b, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0431\u044b\u043b \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c \u0447\u0435\u0440\u0435\u0437 \u0411\u043b\u043e\u043a\u043d\u043e\u0442 \u0432 00:12:42.\" width=\"2966\" height=\"872\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/b7\/88\/28\/b7882807daadc2c97ba46afbfa3e0b8f.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/b7\/88\/28\/b7882807daadc2c97ba46afbfa3e0b8f.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption>\u0417\u0434\u0435\u0441\u044c \u043c\u044b \u0432\u0438\u0434\u0438\u043c, \u0447\u0442\u043e \u0440\u044f\u0434\u043e\u043c \u0441 cmd-\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u043c \u043b\u0435\u0436\u0430\u043b txt-\u0444\u0430\u0439\u043b, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0431\u044b\u043b \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c \u0447\u0435\u0440\u0435\u0437 \u0411\u043b\u043e\u043a\u043d\u043e\u0442 \u0432 00:12:42.<\/figcaption><\/div>\n<\/figure>\n<p>\u041c\u044b \u0434\u043e\u0448\u043b\u0438 \u0434\u043e \u0441\u0430\u043c\u043e\u0433\u043e \u0440\u0430\u043d\u043d\u0435\u0433\u043e \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u044f. \u0412 00:12:22 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u0430\u043b \u0430\u0440\u0445\u0438\u0432 <code>C:\\Users\\a.sokolova\\Downloads\\SecureDocumentViewer.zip<\/code>, \u043f\u0440\u0438\u0447\u0435\u043c \u0440\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u2013 \u0431\u0440\u0430\u0443\u0437\u0435\u0440 Edge, \u0442\u043e \u0435\u0441\u0442\u044c \u0444\u0430\u0439\u043b \u043f\u043e\u043b\u0443\u0447\u0435\u043d \u0447\u0435\u0440\u0435\u0437 \u0431\u0440\u0430\u0443\u0437\u0435\u0440. \u0411\u0440\u0430\u0443\u0437\u0435\u0440 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b WinRAR \u0434\u043b\u044f \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0447\u0442\u043e \u0441\u043a\u0430\u0447\u0430\u043d\u043d\u043e\u0433\u043e \u0430\u0440\u0445\u0438\u0432\u0430 <code>SecureDocumentViewer.zip<\/code> \u0438\u0437 Downloads \u2014 \u044d\u0442\u043e \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435, \u043a\u043e\u0433\u0434\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0432 Edge \u043d\u0430\u0436\u0438\u043c\u0430\u0435\u0442 \u00ab\u041e\u0442\u043a\u0440\u044b\u0442\u044c \u0444\u0430\u0439\u043b\u00bb \u043f\u043e\u0441\u043b\u0435 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438, \u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 \u0430\u0441\u0441\u043e\u0446\u0438\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0441 .zip \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u2014 \u0437\u0434\u0435\u0441\u044c \u044d\u0442\u043e WinRAR.<\/p>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/06\/cd\/25\/06cd25df9af79a4e97379db48a5cf877.png\" width=\"2978\" height=\"873\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/06\/cd\/25\/06cd25df9af79a4e97379db48a5cf877.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/06\/cd\/25\/06cd25df9af79a4e97379db48a5cf877.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u0414\u043e \u044d\u0442\u043e\u0433\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u043d\u0435\u0442 \u0437\u0430\u043f\u0443\u0441\u043a\u043e\u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0442 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c\u0438. <\/p>\n<h3>\u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0436\u0443\u0440\u043d\u0430\u043b\u043e\u0432 Powershell, System, \u0417\u0430\u0449\u0438\u0442\u043d\u0438\u043a Windows<\/h3>\n<p>\u0421\u043e\u0431\u044b\u0442\u0438\u044f 4688 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043b\u0438 \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u0441\u043e\u0437\u0434\u0430\u043d\u043d\u044b\u0445 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0438 \u0438\u0445 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u044b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438. \u0412 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435, \u0432 \u043d\u0430\u0448\u0435\u043c \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0438 \u043c\u044b \u0432\u044b\u0448\u043b\u0438 \u043d\u0430 \u0444\u0438\u043d\u0438\u0448\u043d\u0443\u044e \u043f\u0440\u044f\u043c\u0443\u044e, \u043f\u0440\u0438\u0447\u0438\u043d\u0430 \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u0431\u043e\u043b\u0435\u0435-\u043c\u0435\u043d\u0435\u0435 \u044f\u0441\u043d\u0430. <\/p>\n<p>\u0412 \u0441\u043b\u0443\u0447\u0430\u044f\u0445, \u043a\u043e\u0433\u0434\u0430 \u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f, \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0447\u0430\u0442\u044c \u0441 \u044d\u0442\u0438\u0445 \u0436\u0443\u0440\u043d\u0430\u043b\u043e\u0432: <\/p>\n<p><strong>Microsoft-Windows-PowerShell\/Operational<\/strong><\/p>\n<pre><code class=\"powershell\">Get-WinEvent -FilterHashtable @{    LogName   = 'Microsoft-Windows-PowerShell\/Operational'    Id        = 4103,4104    StartTime = $from    EndTime   = $to} | Format-List TimeCreated,Id,Message<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>4103 \u2014 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u043c\u0430\u043d\u0434 \u043c\u043e\u0434\u0443\u043b\u0435\u0439 PowerShell;<\/p>\n<p>4104 \u2014 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u043d\u044b\u0445 \u0431\u043b\u043e\u043a\u043e\u0432 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f.<\/p>\n<p>\u0418\u043d\u0444\u043e\u0440\u043c\u0430\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u044c \u0436\u0443\u0440\u043d\u0430\u043b\u0430 \u0437\u0430\u0432\u0438\u0441\u0438\u0442 \u043e\u0442 \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f Script Block Logging \u0438 Module Logging, \u0432 \u043c\u043e\u043c\u0435\u043d\u0442\u0435 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0442\u0430\u043a: <\/p>\n<pre><code class=\"powershell\">reg.exe query \"HKLM\\Software\\Policies\\Microsoft\\Windows\\PowerShell\\ScriptBlockLogging\"reg.exe query \"HKLM\\Software\\Policies\\Microsoft\\Windows\\PowerShell\\ModuleLogging\"<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p><strong>\u041a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0436\u0443\u0440\u043d\u0430\u043b Windows PowerShell<\/strong><\/p>\n<pre><code class=\"powershell\">Get-WinEvent -FilterHashtable @{    LogName   = 'Windows PowerShell'    Id        = 400,403,600,800    StartTime = $from    EndTime   = $to} | Format-List TimeCreated,Id,Message<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>400 \u2014 \u0437\u0430\u043f\u0443\u0441\u043a \u0434\u0432\u0438\u0436\u043a\u0430 (\u0441\u0435\u0441\u0441\u0438\u0438) PowerShell;<\/p>\n<p>403 \u2014 \u043e\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 \u0438 \u0437\u0430\u0432\u0435\u0440\u0448\u0435\u043d\u0438\u0435 \u0440\u0430\u0431\u043e\u0442\u044b \u0434\u0432\u0438\u0436\u043a\u0430 PowerShell;<\/p>\n<p>600 \u2014 \u0438\u043d\u0438\u0446\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f \u0438 \u0437\u0430\u043f\u0443\u0441\u043a \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0445 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 (FileSystem, Registry \u0438 \u0434\u0440.);<\/p>\n<p>800 \u2014 \u0434\u0435\u0442\u0430\u043b\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434 \u0438 \u043a\u043e\u043d\u0432\u0435\u0439\u0435\u0440\u043e\u0432 (Pipeline).<\/p>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/69\/87\/f1\/6987f1dd169f2b6ec44ce1475402603d.png\" alt=\"\u041f\u0440\u0438\u043c\u0435\u0440 \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u0432 GUI\" title=\"\u041f\u0440\u0438\u043c\u0435\u0440 \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u0432 GUI\" width=\"995\" height=\"586\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/69\/87\/f1\/6987f1dd169f2b6ec44ce1475402603d.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/69\/87\/f1\/6987f1dd169f2b6ec44ce1475402603d.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption><em>\u041f\u0440\u0438\u043c\u0435\u0440 \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u0432 GUI<\/em><\/figcaption><\/div>\n<\/figure>\n<p><strong>\u0421\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u0436\u0443\u0440\u043d\u0430\u043b<\/strong><\/p>\n<p>\u041c\u044b \u0443\u0436\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u043f\u043e\u0438\u0441\u043a\u043e\u043c \u043f\u043e System \u0436\u0443\u0440\u043d\u0430\u043b\u0443 \u0432\u044b\u0448\u0435, \u0441 \u0435\u0433\u043e \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043c\u044b \u0443\u0437\u043d\u0430\u043b\u0438 \u0442\u043e\u0447\u043d\u043e\u0435 \u0432\u0440\u0435\u043c\u044f \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u0441\u043b\u0443\u0436\u0431\u044b. <\/p>\n<pre><code class=\"powershell\">Get-WinEvent -FilterHashtable @{    LogName      = 'System'    ProviderName = 'Service Control Manager'    Id           = 7036,7040,7045    StartTime    = $from    EndTime      = $to} | Format-List TimeCreated,Id,Message<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0421\u043e\u0431\u044b\u0442\u0438\u0435 7045 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u043b\u043e \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u0441\u043b\u0443\u0436\u0431\u044b WindowsHealthMonitor \u0432 00:21:36, \u0430 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 7036 \u2014 \u0435\u0451 \u043f\u0435\u0440\u0435\u0445\u043e\u0434 \u0432 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435 \u00ab\u0420\u0430\u0431\u043e\u0442\u0430\u0435\u0442\u00bb \u0432 00:21:37. \u042d\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u0441\u043e\u0433\u043b\u0430\u0441\u0443\u044e\u0442\u0441\u044f \u0441 \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u043c\u0438 4688, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043e\u0434\u043d\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e \u0432\u0438\u0434\u043d\u044b WindowsHealthMonitor.exe \u0438 \u0435\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u043c services.exe.<\/p>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/fd\/47\/fc\/fd47fc908bedd8b39e90b38164e6fcf5.png\" width=\"1004\" height=\"809\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/fd\/47\/fc\/fd47fc908bedd8b39e90b38164e6fcf5.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/fd\/47\/fc\/fd47fc908bedd8b39e90b38164e6fcf5.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p><strong>\u0416\u0443\u0440\u043d\u0430\u043b \u0437\u0430\u0449\u0438\u0442\u043d\u043e\u0433\u043e \u0440\u0435\u0448\u0435\u043d\u0438\u044f<\/strong><\/p>\n<p>\u0414\u043b\u044f \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u043d\u044f\u0442\u044c, \u043a\u0430\u043a \u0432\u0435\u043b \u0441\u0435\u0431\u044f AV \u043d\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u0432 \u043c\u043e\u043c\u0435\u043d\u0442 \u0441\u043e\u0431\u044b\u0442\u0438\u0439. \u041d\u0435 \u0441\u0442\u043e\u043b\u044c \u0432\u0430\u0436\u043d\u043e, \u0447\u0442\u043e \u0438\u043c\u0435\u043d\u043d\u043e \u0441\u0442\u043e\u0438\u0442 \u043d\u0430 \u043c\u0430\u0448\u0438\u043d\u0435, \u043a\u0430\u043a\u0438\u0435-\u0442\u043e \u043b\u043e\u0433\u0438 \u0434\u043e\u043b\u0436\u043d\u044b \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0442\u044c\u0441\u044f. \u0412\u043e\u0442 \u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0434\u043b\u044f \u043f\u0440\u043e\u0441\u043c\u043e\u0442\u0440\u0430 \u0441\u043e\u0431\u044b\u0442\u0438\u0439 Defender: <\/p>\n<pre><code class=\"powershell\">Get-WinEvent -FilterHashtable @{    LogName   = 'Microsoft-Windows-Windows Defender\/Operational'    StartTime = $from    EndTime   = $to} | Where-Object {    $_.Id -in 1000,1001,1116,1117,1118,1119} | Format-List TimeCreated,Id,Message<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>1000 \u2014 \u0437\u0430\u043f\u0443\u0441\u043a \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f (\u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u043d\u043e\u0439 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438);<\/p>\n<p>1001 \u2014 \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0435 \u0437\u0430\u0432\u0435\u0440\u0448\u0435\u043d\u0438\u0435 \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f;<\/p>\n<p>1116 \u2014 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u0443\u0433\u0440\u043e\u0437\u044b (\u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u0438\u043b\u0438 \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043d\u0435\u0436\u0435\u043b\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u041f\u041e);<\/p>\n<p>1117 \u2014 \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043f\u043e \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0435 \u0443\u0433\u0440\u043e\u0437\u044b (\u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435, \u043a\u0430\u0440\u0430\u043d\u0442\u0438\u043d, \u043b\u0435\u0447\u0435\u043d\u0438\u0435).<\/p>\n<p>1118 \u2014 \u0441\u0431\u043e\u0439 \u043f\u0440\u0438 \u043f\u043e\u043f\u044b\u0442\u043a\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0438\u043b\u0438 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u043e\u0439 \u0443\u0433\u0440\u043e\u0437\u044b;<\/p>\n<p>1119 \u2014 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0441\u0431\u043e\u0439 \u043f\u0440\u0438 \u043f\u043e\u043f\u044b\u0442\u043a\u0435 \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u043f\u043e\u0441\u043b\u0435 \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u044f \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e.<\/p>\n<p>\u041f\u043e\u043b\u0435\u0437\u043d\u043e\u0441\u0442\u044c \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0445 \u0436\u0443\u0440\u043d\u0430\u043b\u043e\u0432 \u0431\u0443\u0434\u0435\u0442 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0442\u044c\u0441\u044f \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043e\u043c \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0435\u0441\u043b\u0438 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0439 \u0430\u043b\u0435\u0440\u0442 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0430 WMI, \u043a \u043d\u0430\u0431\u043e\u0440\u0443 \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f Microsoft-Windows-WMI-Activity\/Operational \u0441 \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u043c\u0438 5857\u20135861.<\/p>\n<p>\u0414\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0441 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c\u0438 <\/p>\n<pre><code class=\"powershell\">Get-WinEvent -FilterHashtable @{    LogName   = 'Security'    Id        = 4720,4722,4723,4724,4725,4726,4728,4732,4756} | Format-List TimeCreated,Id,Message<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u041a\u043e\u043c\u0430\u043d\u0434\u0430 \u043d\u0430\u0445\u043e\u0434\u0438\u0442 \u0438 \u0432\u044b\u0432\u043e\u0434\u0438\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0438, \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0438, \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0435 \u0438 \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0438 \u0443\u0447\u0435\u0442\u043d\u044b\u0445 \u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u0438 \u0432 \u0433\u0440\u0443\u043f\u043f\u044b. <\/p>\n<h2>\u0417\u0430\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0442\u0440\u0435\u0442\u044c\u0435\u0439 \u0447\u0430\u0441\u0442\u0438<\/h2>\n<p>\u041c\u044b \u0440\u0430\u0437\u043e\u0431\u0440\u0430\u043b\u0438, \u043a\u0430\u043a \u0438\u0441\u043a\u0430\u0442\u044c \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u0435 \u0442\u0430\u043c, \u0433\u0434\u0435 \u0435\u0433\u043e \u0447\u0430\u0449\u0435 \u0432\u0441\u0435\u0433\u043e \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0442 \u0438 \u0440\u0435\u0436\u0435 \u0432\u0441\u0435\u0433\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u044e\u0442 \u0432\u0440\u0443\u0447\u043d\u0443\u044e: \u0432 \u0437\u0430\u0434\u0430\u0447\u0430\u0445 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430 (\u043e\u0442\u0441\u0435\u0432 \u0441\u043b\u0443\u0436\u0435\u0431\u043d\u044b\u0445 \u0437\u0430\u0434\u0430\u0447 Microsoft, \u0444\u0438\u043b\u044c\u0442\u0440 \u043f\u043e \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044e, Autorunsc) \u0438 \u0432 \u043a\u043b\u044e\u0447\u0430\u0445 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u2014 Run, RunOnce, Winlogon, BootExecute, \u043f\u0430\u043f\u043a\u0438 \u0430\u0432\u0442\u043e\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438, \u2014 \u0430 \u0442\u0430\u043a\u0436\u0435 \u043a\u0430\u043a \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0442\u044c \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0435 \u0443\u0447\u0451\u0442\u043d\u044b\u0435 \u0437\u0430\u043f\u0438\u0441\u0438 \u0438 \u0433\u0440\u0443\u043f\u043f\u044b \u043d\u0430 \u043f\u0440\u0435\u0434\u043c\u0435\u0442 \u043d\u043e\u0432\u044b\u0445 \u0438\u043b\u0438 \u043d\u0435\u043e\u0436\u0438\u0434\u0430\u043d\u043d\u043e \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u043d\u044b\u0445 \u043f\u0440\u0430\u0432. \u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u0440\u0430\u0437\u043e\u0431\u0440\u0430\u043b\u0438, \u043a\u0430\u043a \u0436\u0443\u0440\u043d\u0430\u043b\u044b \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u2014 4688 \u0432 \u0441\u0432\u044f\u0437\u043a\u0435 \u0441 \u0436\u0443\u0440\u043d\u0430\u043b\u043e\u043c \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430 \u0438 RDP-\u0441\u0435\u0441\u0441\u0438\u0439 \u2014 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u044e\u0442 \u0442\u043e\u0447\u043d\u0443\u044e \u0445\u0440\u043e\u043d\u043e\u043b\u043e\u0433\u0438\u044e \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439 \u043f\u043e \u0441\u0435\u043a\u0443\u043d\u0434\u0430\u043c, \u0434\u0430\u0436\u0435 \u043a\u043e\u0433\u0434\u0430 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0435 \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u044b \u0441\u0430\u043c\u0438 \u043f\u043e \u0441\u0435\u0431\u0435 \u043d\u0435\u043e\u0434\u043d\u043e\u0437\u043d\u0430\u0447\u043d\u044b. \u0412 \u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u043b\u0430\u0431\u0435 \u044d\u0442\u0430 \u043c\u0435\u0442\u043e\u0434\u0438\u043a\u0430 \u0441\u0432\u0435\u043b\u0430 \u0432\u0441\u0435 \u043d\u0430\u0439\u0434\u0435\u043d\u043d\u044b\u0435 \u0440\u0430\u043d\u0435\u0435 \u0441\u043b\u0435\u0434\u044b \u0432 \u0435\u0434\u0438\u043d\u0443\u044e \u0438 \u043d\u0435\u043f\u0440\u043e\u0442\u0438\u0432\u043e\u0440\u0435\u0447\u0438\u0432\u0443\u044e \u043a\u0430\u0440\u0442\u0438\u043d\u0443 \u0430\u0442\u0430\u043a\u0438. \u041e\u0441\u0442\u0430\u043b\u043e\u0441\u044c \u0437\u0430\u043a\u0440\u0435\u043f\u0438\u0442\u044c \u043d\u0430\u0445\u043e\u0434\u043a\u0438 \u043a\u0430\u043a \u0443\u043b\u0438\u043a\u0438: \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u044b \u0434\u043b\u044f \u043e\u0444\u043b\u0430\u0439\u043d-\u0430\u043d\u0430\u043b\u0438\u0437\u0430, \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a \u0437\u0430\u0440\u0430\u0436\u0435\u043d\u0438\u044f \u0438 \u043e\u0444\u043e\u0440\u043c\u0438\u0442\u044c \u0438\u0442\u043e\u0433\u043e\u0432\u044b\u0439 \u0442\u0430\u0439\u043c\u043b\u0430\u0439\u043d \u0438 IOC \u2014 \u044d\u0442\u0438\u043c \u0437\u0430\u0439\u043c\u0451\u043c\u0441\u044f \u0432 \u0437\u0430\u043a\u043b\u044e\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u0447\u0430\u0441\u0442\u0438.<\/p>\n<p>\u041f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0438\u0435 \u0447\u0430\u0441\u0442\u0438: <a href=\"https:\/\/habr.com\/ru\/companies\/first\/articles\/1086018\/\">\u043f\u0435\u0440\u0432\u0430\u044f<\/a>, <a href=\"https:\/\/habr.com\/ru\/companies\/first\/articles\/1087512\/\">\u0432\u0442\u043e\u0440\u0430\u044f<\/a>. <\/p>\n<hr\/>\n<p>\u041d\u041b\u041e \u043f\u0440\u0438\u043b\u0435\u0442\u0435\u043b\u043e \u0438 \u043e\u0441\u0442\u0430\u0432\u0438\u043b\u043e \u0437\u0434\u0435\u0441\u044c \u043f\u0440\u043e\u043c\u043e\u043a\u043e\u0434 \u0434\u043b\u044f \u0447\u0438\u0442\u0430\u0442\u0435\u043b\u0435\u0439 \u043d\u0430\u0448\u0435\u0433\u043e \u0431\u043b\u043e\u0433\u0430:<br \/><a href=\"https:\/\/firstvds.ru\/?utm%5C%5C_source=habr&amp;utm%5C%5C_medium=article&amp;utm%5C%5C_campaign=product&amp;utm%5C%5C_content=vds15exeptprogrev\">-15% \u043d\u0430 \u0437\u0430\u043a\u0430\u0437 \u043d\u043e\u0432\u043e\u0433\u043e VDS<\/a>\u00a0\u2014\u00a0<strong>HABRFIRSTVDS<\/strong>.<\/p>\n<p><a href=\"https:\/\/firstvds.ru\/habr15\">\u041f\u043e\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043e\u0431 \u0430\u043a\u0446\u0438\u0438<\/a><\/p>\n<\/div>\n<p>\u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/1093596\/\">https:\/\/habr.com\/ru\/articles\/1093596\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>\u042d\u0442\u043e \u0442\u0440\u0435\u0442\u044c\u044f \u0447\u0430\u0441\u0442\u044c \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0430, \u043f\u043e\u0441\u0432\u044f\u0449\u0451\u043d\u043d\u043e\u0433\u043e Windows IR. \u0412\u0442\u043e\u0440\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u0431\u044b\u043b\u0430 \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u0430 \u0438\u0437\u043e\u043b\u044f\u0446\u0438\u0438 \u0445\u043e\u0441\u0442\u0430 \u0438 \u0440\u0430\u0437\u0431\u043e\u0440\u0443 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u0438 \u0441\u043b\u0443\u0436\u0431. \u0412 \u044d\u0442\u043e\u0439 \u0447\u0430\u0441\u0442\u0438 \u2014 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u0435\u0449\u0451 \u0434\u0432\u0435 \u0447\u0430\u0441\u0442\u044b\u0435 \u0442\u043e\u0447\u043a\u0438 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f, \u0437\u0430\u0434\u0430\u0447\u0438 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430 \u0438 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a \u0447\u0435\u0440\u0435\u0437 \u0440\u0435\u0435\u0441\u0442\u0440, \u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043d\u0430 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0435 \u0443\u0447\u0451\u0442\u043d\u044b\u0435 \u0437\u0430\u043f\u0438\u0441\u0438 \u0438 \u0433\u0440\u0443\u043f\u043f\u044b, \u0438 \u043d\u0430\u043a\u043e\u043d\u0435\u0446 \u0441\u0430\u0434\u0438\u043c\u0441\u044f \u0437\u0430 \u0436\u0443\u0440\u043d\u0430\u043b\u044b \u0441\u043e\u0431\u044b\u0442\u0438\u0439, \u0447\u0442\u043e\u0431\u044b \u0441\u0432\u044f\u0437\u0430\u0442\u044c \u0440\u0430\u0437\u0440\u043e\u0437\u043d\u0435\u043d\u043d\u044b\u0435 \u043d\u0430\u0445\u043e\u0434\u043a\u0438 \u0432 \u0435\u0434\u0438\u043d\u0443\u044e \u0445\u0440\u043e\u043d\u043e\u043b\u043e\u0433\u0438\u044e. \u0417\u0434\u0435\u0441\u044c \u0436\u0435 \u0432\u044b\u0432\u043e\u0434\u044b \u0438\u0437 \u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u043b\u0430\u0431\u044b \u0441\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0432 \u0446\u0435\u043b\u044c\u043d\u0443\u044e \u043a\u0430\u0440\u0442\u0438\u043d\u0443 \u0430\u0442\u0430\u043a\u0438.\u0428\u0430\u0433 7. \u0417\u0430\u0434\u0430\u0447\u0438 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430 \u0417\u0430\u0434\u0430\u0447\u0430 \u0432 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0435 \u043e\u0442\u043b\u0438\u0447\u0430\u0435\u0442\u0441\u044f \u043e\u0442 \u0441\u043b\u0443\u0436\u0431\u044b \u0442\u0435\u043c, \u0447\u0442\u043e \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u043f\u043e \u0442\u0440\u0438\u0433\u0433\u0435\u0440\u0443: \u043f\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438, \u043f\u0440\u0438 \u0432\u0445\u043e\u0434\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u043f\u0440\u0438 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0435, \u043f\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u044e \u0432 \u0436\u0443\u0440\u043d\u0430\u043b\u0435.\u041e\u0442\u0441\u0435\u044f\u0442\u044c \u0437\u0430\u0434\u0430\u0447\u0438 MicrosoftGet-ScheduledTask |    Where-Object TaskPath -notlike &#8216;\\Microsoft\\*&#8217; |    Format-Table TaskPath,TaskName,State,Author -AutoSize\u0412\u0441\u0451, \u0447\u0442\u043e \u0441\u043e\u0437\u0434\u0430\u043d\u043e \u0432\u0440\u0443\u0447\u043d\u0443\u044e, \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442 \u0432 \u043a\u043e\u0440\u0435\u043d\u044c \\. \u0415\u0433\u043e \u043d\u0430\u0434\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 \u043f\u0435\u0440\u0432\u0443\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c. \u0417\u0430\u0434\u0430\u0447\u0438 Microsoft \u043e\u0442\u0441\u0435\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u043d\u0435 \u0441 \u043a\u043e\u043d\u0446\u0430\u043c\u0438, \u043a \u043d\u0438\u043c \u043d\u0430\u0434\u043b\u0435\u0436\u0438\u0442 \u0432\u0435\u0440\u043d\u0443\u0442\u044c\u0441\u044f \u043f\u043e\u0437\u0434\u043d\u0435\u0435. \u041d\u043e \u0432 \u043f\u0435\u0440\u0432\u043e\u043c \u043f\u0440\u0438\u0431\u043b\u0438\u0436\u0435\u043d\u0438\u0438 \u2013 \u043e\u0442\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u0435\u043c \u0438\u0445.\u041e\u0442\u0444\u0438\u043b\u044c\u0442\u0440\u043e\u0432\u0430\u0442\u044c \u043f\u043e \u0442\u043e\u043c\u0443, \u0447\u0442\u043e \u0437\u0430\u0434\u0430\u0447\u0430 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442Get-ScheduledTask |    Where-Object {        $_.Actions.Execute -match &#8216;powershell|cmd|wscript|cscript|mshta&#8217; -or        $_.Actions.Arguments -match &#8216;ProgramData|AppData|\\\\Temp\\\\&#8217;    } |    Format-List TaskName,TaskPath,State,Actions,Triggers,Principal\u041d\u0443 \u0432\u043e\u0442, \u043a\u0430\u043d\u0434\u0438\u0434\u0430\u0442\u043e\u0432 \u043d\u0430 \u043f\u0435\u0440\u0432\u043e\u043e\u0447\u0435\u0440\u0435\u0434\u043d\u043e\u0439 \u0430\u043d\u0430\u043b\u0438\u0437 \u043d\u0430\u0448\u043b\u0438. \u0423\u0436\u0435 \u0432\u0438\u0434\u043d\u044b \u0437\u0430\u0434\u0430\u0447\u0438 \u0441\u043e \u0441\u0442\u0440\u0430\u043d\u043d\u044b\u043c\u0438 \u0438\u043c\u0435\u043d\u0430\u043c\u0438, \u043d\u043e \u043d\u0435\u0442 \u043d\u0438\u043a\u0430\u043a\u043e\u0439 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u0438\u043a\u0438, \u043d\u0438 Actions, \u043d\u0438 Triggers \u0437\u0430\u0434\u0430\u0447. \u0427\u0442\u043e\u0431\u044b \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0438\u0445, \u043c\u043e\u0436\u043d\u043e \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c GUI \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430: \u0418\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c Autorunsc. Autorunsc \u043f\u043e \u0437\u0430\u0434\u0430\u0447\u0430\u043cC:\\Kit\\SysinternalsSuite\\Autorunsc64.exe -accepteula -a t -h\u0424\u043b\u0430\u0433 -a t \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0432\u0430\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u0437\u0430\u0434\u0430\u0447\u0430\u043c\u0438 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430, -h \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u0445\u0435\u0448\u0438. \u0417\u0430\u0434\u0430\u0447\u0438 \u043a\u0430\u043a \u0444\u0430\u0439\u043b\u044b\u041f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a \u0445\u0440\u0430\u043d\u0438\u0442 \u0437\u0430\u0434\u0430\u0447\u0438 \u0432 \u0432\u0438\u0434\u0435 XML \u0432 C:\\Windows\\System32\\Tasks, \u0438 \u043c\u043e\u0436\u043d\u043e \u0447\u0438\u0442\u0430\u0442\u044c \u0438\u0445 \u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e \u043e\u0442\u0442\u0443\u0434\u0430. \u0417\u0434\u0435\u0441\u044c \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u043f\u043e\u043b\u0435\u0437\u0435\u043d \u0441\u0442\u043e\u043b\u0431\u0435\u0446 LastWriteTime \u2013 \u0437\u0430\u0434\u0430\u0447\u0438, \u0441\u043e\u0437\u0434\u0430\u043d\u043d\u044b\u0435 \u0432 \u043e\u043a\u043d\u043e \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430, \u0431\u0443\u0434\u0443\u0442 \u0432\u0438\u0434\u043d\u044b \u0441\u0440\u0430\u0437\u0443.Get-ChildItem C:\\Windows\\System32\\Tasks\\Get-Content &#8216;C:\\Windows\\System32\\Tasks\\Windows Health Telemetry&#8217;\u0412 \u0438\u0442\u043e\u0433\u0435 \u0443 \u043d\u0430\u0441 \u0435\u0441\u0442\u044c \u0434\u0432\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u0437\u0430\u0434\u0430\u0447\u0438, \u0441\u043a\u0440\u044b\u0442\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e\u0449\u0438\u0435 \u0441\u043a\u0440\u0438\u043f\u0442\u044b. \u041e\u0434\u0438\u043d \u0438\u0437 \u044d\u0442\u0438\u0445 \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432 \u0443\u0436\u0435 \u0431\u044b\u043b \u043f\u043e\u0439\u043c\u0430\u043d \u0432 \u0446\u0435\u043f\u043a\u0438\u0435 \u043b\u0430\u043f\u044b \u0432\u044b\u0448\u0435, \u0430 \u0432\u0442\u043e\u0440\u043e\u0439 \u043c\u044b \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u0435\u043c \u0432\u043f\u0435\u0440\u0432\u044b\u0435. \u0421\u043c\u043e\u0442\u0440\u0438\u043c \u0435\u0433\u043e \u0431\u043b\u0438\u0436\u0435, \u0441\u043d\u0438\u043c\u0430\u0435\u043c \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0435, \u0445\u044d\u0448 \u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435: Get-Item &#8216;C:\\Users\\a.sokolova\\AppData\\Roaming\\SecureDocumentViewer\\UpdateCheck.ps1&#8217;| Format-List FullName,Length,CreationTime,LastWriteTimeGet-FileHash &#8216;C:\\Users\\a.sokolova\\AppData\\Roaming\\SecureDocumentViewer\\UpdateCheck.ps1&#8217;Get-Content &#8216;C:\\Users\\a.sokolova\\AppData\\Roaming\\SecureDocumentViewer\\UpdateCheck.ps1&#8217;\u0416\u0443\u0440\u043d\u0430\u043b \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430$log = &#8216;Microsoft-Windows-TaskScheduler\/Operational&#8217;Get-WinEvent -ListLog $log | Format-List LogName,IsEnabled,RecordCount\u041f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u0441\u043d\u0430\u0447\u0430\u043b\u0430, \u0432\u043a\u043b\u044e\u0447\u0435\u043d \u043b\u0438 \u0436\u0443\u0440\u043d\u0430\u043b. \u0415\u0441\u043b\u0438 \u0432\u043a\u043b\u044e\u0447\u0451\u043d \u2014 \u043e\u0442\u0442\u0443\u0434\u0430 \u043c\u043e\u0436\u043d\u043e \u0432\u0437\u044f\u0442\u044c \u0444\u0430\u043a\u0442\u044b \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0430\u0446\u0438\u0438 \u0437\u0430\u0434\u0430\u0447\u0438 (\u0441\u043e\u0431\u044b\u0442\u0438\u0435 106) \u0438 \u0435\u0451 \u0444\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u0437\u0430\u043f\u0443\u0441\u043a\u043e\u0432 (129, 200, 201). Get-WinEvent -FilterHashtable @{    LogName   = $log    StartTime = (Get-Date).Date} | Where-Object {    $_.Message -match &#8216;Secure Document Viewer Update|Windows Health Telemetry&#8217;} | Format-List TimeCreated,Id,Message\u0427\u0442\u043e \u043c\u044b \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438Windows Health Telemetry \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 HealthCheck.ps1 \u2014 \u0442\u043e\u0442 \u0441\u0430\u043c\u044b\u0439 \u0441\u043a\u0440\u0438\u043f\u0442 \u0438\u0437 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430 \u0441\u043b\u0443\u0436\u0431\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u0442\u0443\u0447\u0438\u0442 \u043d\u0430 192.168.100.11:8080. \u0422\u043e \u0435\u0441\u0442\u044c \u0435\u0441\u0442\u044c \u0434\u0432\u0430 \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u044b\u0445 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430: \u0441\u043b\u0443\u0436\u0431\u0430 \u0438 \u0437\u0430\u0434\u0430\u0447\u0430.Secure Document Viewer Update \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0434\u0440\u0443\u0433\u043e\u0439 \u0441\u043a\u0440\u0438\u043f\u0442, \u0438\u0437 \u043f\u0440\u043e\u0444\u0438\u043b\u044f a.sokolova. \u0415\u0433\u043e \u043c\u044b \u0440\u0430\u043d\u044c\u0448\u0435 \u043d\u0435 \u0432\u0438\u0434\u0435\u043b\u0438. \u041c\u044b \u0437\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0432\u0440\u0435\u043c\u044f \u0435\u0433\u043e \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f, \u0445\u044d\u0448 \u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435. \u041e\u043d \u0442\u043e\u0436\u0435 \u0448\u043b\u0435\u0442 \u043f\u0430\u043a\u0435\u0442\u044b \u043d\u0430 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0439 \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0430\u0434\u0440\u0435\u0441. \u0412 \u0441\u043e\u0431\u044b\u0442\u0438\u0438 129 \u0436\u0443\u0440\u043d\u0430\u043b\u0430 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430 \u0435\u0441\u0442\u044c PID \u0437\u0430\u043f\u0443\u0449\u0435\u043d\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430. \u042d\u0442\u043e \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0435 \u043c\u0435\u0441\u0442\u043e, \u0433\u0434\u0435 \u0437\u0430\u0434\u0430\u0447\u0430 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430 \u0441\u0432\u044f\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0441 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u043c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u043c, \u0430 \u0437\u043d\u0430\u0447\u0438\u0442 \u2014 \u0441 \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u043c\u0438 4688 \u0432 \u0436\u0443\u0440\u043d\u0430\u043b\u0435 Security. \u041a\u043e\u043c\u0430\u043d\u0434\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 \u0443 \u0437\u0430\u0434\u0430\u0447 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u0430\u044f, \u0438 \u0432 \u043d\u0435\u0439 \u0447\u0435\u0442\u044b\u0440\u0435 \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u044b\u0445 \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u0430:-WindowStyle Hidden \u2014 \u043e\u043a\u043d\u043e PowerShell \u043d\u0435 \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0430\u0435\u0442\u0441\u044f;-ExecutionPolicy Bypass \u2014 \u043e\u0431\u0445\u043e\u0434 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432;-NoProfile \u2014 \u043d\u0435 \u0433\u0440\u0443\u0437\u0438\u0442\u044c \u043f\u0440\u043e\u0444\u0438\u043b\u044c, \u0447\u0442\u043e\u0431\u044b \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0441\u043b\u043e\u043c\u0430\u043b\u043e \u0437\u0430\u043f\u0443\u0441\u043a;-File \u0441 \u043f\u0443\u0442\u0451\u043c \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435, \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e\u043c \u043d\u0430 \u0437\u0430\u043f\u0438\u0441\u044c.\u0421\u043e\u0447\u0435\u0442\u0430\u043d\u0438\u0435 Hidden + Bypass \u043e\u0447\u0435\u043d\u044c \u0445\u043e\u0440\u043e\u0448\u0430\u044f \u0441\u0432\u044f\u0437\u043a\u0430 \u0434\u043b\u044f \u043a\u043e\u0440\u0440\u0435\u043b\u044f\u0446\u0438\u043e\u043d\u043d\u043e\u0433\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430 SIEM \u043f\u0440\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0438 \u0437\u0430\u0434\u0430\u0447\u0438 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430. \u0428\u0430\u0433 8. \u0410\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0414\u043b\u044f \u0431\u044b\u0441\u0442\u0440\u043e\u0433\u043e \u0438\u0437\u0443\u0447\u0435\u043d\u0438\u044f \u0442\u043e\u0447\u0435\u043a \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0447\u0435\u0440\u0435\u0437 \u0440\u0435\u0435\u0441\u0442\u0440 (\u0438 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e) \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c Autorunsc, \u0443\u0436\u0435 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0432\u0448\u0443\u044e\u0441\u044f \u0440\u0430\u043d\u0435\u0435. \u041a\u0441\u0442\u0430\u0442\u0438, \u043c\u044b \u0437\u0434\u0435\u0441\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0443\u0442\u0438\u043b\u0438\u0442\u044b \u0434\u043b\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438, \u043d\u043e \u0435\u0441\u0442\u044c \u0438 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u0441 GUI. C:\\Kit\\SysinternalsSuite\\Autorunsc64.exe `    -accepteula -a * -m -h\u041f\u0440\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435 -a * \u0443\u0442\u0438\u043b\u0438\u0442\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442 \u0432\u043e\u043e\u0431\u0449\u0435 \u0432\u0441\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0435 \u0442\u043e\u0447\u043a\u0438 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430, \u0442\u0430\u043a \u0447\u0442\u043e \u0432 \u0432\u044b\u0432\u043e\u0434\u0435 \u043c\u043e\u0436\u0435\u0442 \u043e\u043a\u0430\u0437\u0430\u0442\u044c\u0441\u044f \u0438 \u0442\u043e, \u0447\u0442\u043e \u043c\u044b \u0443\u0436\u0435 \u0432\u0438\u0434\u0435\u043b\u0438 \u0440\u0430\u043d\u044c\u0448\u0435: \u0441\u043b\u0443\u0436\u0431\u044b \u0438 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0449\u0438\u043a. \u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 -m \u0441\u043e\u043a\u0440\u0430\u0442\u0438\u0442 \u0432\u044b\u0432\u043e\u0434, \u043e\u0442\u0441\u0435\u0438\u0432 \u043f\u043e \u043f\u043e\u0434\u043f\u0438\u0441\u0438 \u0432\u0441\u0435 \u0442\u043e, \u0447\u0442\u043e \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a Microsoft, \u043d\u043e \u0432\u0441\u0435 \u0440\u0430\u0432\u043d\u043e \u043c\u043e\u0436\u0435\u0442 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c\u0441\u044f \u043c\u043d\u043e\u0433\u043e. -h \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u0445\u044d\u0448\u0438 \u043a \u043d\u0430\u0439\u0434\u0435\u043d\u043d\u043e\u043c\u0443. \u0414\u043b\u044f \u043f\u0435\u0440\u0435\u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438, \u0438\u043b\u0438 \u0435\u0441\u0442\u044c autorunsc \u043d\u0435\u0442, \u043d\u0438\u0436\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u0432\u0440\u0443\u0447\u043d\u0443\u044e. \u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c \u043f\u0440\u0438 \u0432\u0445\u043e\u0434\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0438\u043b\u0438 \u0441\u0442\u0430\u0440\u0442\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u0432 \u0432\u0435\u0442\u043a\u0430\u0445 Run \u0438 RunOnce. \u041f\u0440\u0438\u0447\u0435\u043c \u044d\u0442\u0438 \u0432\u0435\u0442\u043a\u0438 \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u043a\u0430\u043a \u0432 HKLM (\u0434\u043b\u044f \u0432\u0441\u0435\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u044b), \u0442\u0430\u043a \u0438 \u0432 HKCU (\u0434\u043b\u044f \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f) \u0438 \u0432 HKEY_USERS. \u041d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0432\u0441\u0435 \u044d\u0442\u0438 \u043c\u0435\u0441\u0442\u0430. \u041a\u043b\u044e\u0447\u0438 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0434\u043b\u044f \u0442\u0435\u043a\u0443\u0449\u0435\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044freg.exe query &#171;HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run&#187;reg.exe query &#171;HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce&#187;\u041a\u043b\u044e\u0447\u0438 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0434\u043b\u044f \u0434\u0440\u0443\u0433\u0438\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439\u041e\u043d\u0438 \u043b\u0435\u0436\u0430\u0442 \u0432 HKEY_USERS \u043f\u043e\u0434 \u0441\u0432\u043e\u0438\u043c\u0438 SID. \u0421\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e, \u0442\u0430\u043c \u043d\u0430\u0434\u043e \u0441\u0432\u044f\u0437\u0430\u0442\u044c SID \u0441 \u043a\u0430\u0436\u0434\u044b\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c, \u0432 \u043f\u0435\u0440\u0432\u0443\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c \u0441 \u0442\u0435\u043c, \u043a\u0442\u043e, \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443. \u041d\u043e \u0441 \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u043c\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u043d\u0435\u043b\u044c\u0437\u044f, \u043e\u043d\u0430 \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0430.\u041a\u043e\u043c\u0430\u043d\u0434\u0430 (Get-ADUser a.sokolova).SID.Value\u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u043e\u0448\u0438\u0431\u043a\u0443 \u043f\u043e \u043f\u0440\u0438\u0447\u0438\u043d\u0435 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u043d\u0435 \u043c\u043e\u0436\u0435\u0442 \u0434\u043e\u0441\u0442\u0443\u0447\u0430\u0442\u044c\u0441\u044f \u0434\u043e AD \u2013 \u0441\u0435\u0440\u0432\u0435\u0440 \u0432 \u0438\u0437\u043e\u043b\u044f\u0446\u0438\u0438. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043a\u043e\u043c\u0430\u043d\u0434\u0443Get-CimInstance Win32_UserProfile | Select-Object LocalPath,SID,Loaded\u041e\u043d\u0430 \u043e\u0442\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0438 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e. \u0414\u0430\u043b\u0435\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0441 \u044d\u0442\u0438\u043c SID. \u0412\u0430\u0436\u043d\u043e, \u0447\u0442\u043e\u0431\u044b Loaded \u0431\u044b\u043b \u0432 \u0441\u0442\u0430\u0442\u0443\u0441\u0435 True \u2014 \u043a\u0443\u0441\u0442 \u0434\u043e\u0441\u0442\u0443\u043f\u0435\u043d, \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u043e\u0433\u0434\u0430 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d, \u0442\u043e \u0435\u0441\u0442\u044c \u043f\u043e\u043a\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435. \u0423 \u043d\u0430\u0448\u0435\u0439 a.sokolova \u0441\u0435\u0430\u043d\u0441 \u0432\u0438\u0441\u0438\u0442 \u2013 \u0442\u043e \u0435\u0441\u0442\u044c \u043e\u043d \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442, \u044e\u0437\u0435\u0440 \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435, \u043f\u0440\u043e\u0441\u0442\u043e \u0432 \u0434\u0438\u0441\u043a\u043e\u043d\u043d\u0435\u043a\u0442\u0435. \u0415\u0441\u043b\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0432\u044b\u0448\u0435\u043b, \u0442\u043e \u043a\u0443\u0441\u0442 \u0432\u044b\u0433\u0440\u0443\u0437\u0438\u0442\u0441\u044f, \u0438 \u043f\u0440\u0438\u0434\u0435\u0442\u0441\u044f \u0447\u0438\u0442\u0430\u0442\u044c NTUSER.dat \u0441 \u0434\u0438\u0441\u043a\u0430. reg.exe query &#171;HKU\\S-1-5-21-3589890344-2565197468-317303098-1113\\Software\\Microsoft\\Windows\\CurrentVersion\\Run&#187;reg.exe query &#171;HKU\\S-1-5-21-3589890344-2565197468-317303098-1113\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce&#187;\u041a\u043b\u044e\u0447\u0438 \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0434\u043b\u044f \u0432\u0441\u0435\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 reg.exe query &#171;HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run&#187;reg.exe query &#171;HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce&#187;\u0412 \u043d\u0430\u0448\u0435\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u043e\u043c\u0438\u043c\u043e \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0445 Vboxtray \u0435\u0441\u0442\u044c \u0435\u0449\u0435 \u0434\u0432\u0430 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f: &#8212;\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 \u0432 Run \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0441\u043a\u0440\u0438\u043f\u0442 UpdateCheck.ps1 \u2014 \u0442\u043e\u0442 \u0436\u0435, \u0447\u0442\u043e \u0438 \u0437\u0430\u0434\u0430\u0447\u0430 Secure Document Viewer. \u041e\u043d \u0431\u0443\u0434\u0435\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c\u0441\u044f \u043f\u0440\u0438 \u043a\u0430\u0436\u0434\u043e\u043c \u0432\u0445\u043e\u0434\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0443. &#8212;\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 \u0412 RunOnce HKLM, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u044e\u0449\u0438\u0439 HealthCheck.ps1 \u2013 \u043c\u044b \u0442\u043e\u0436\u0435 \u0432\u0438\u0434\u0435\u043b\u0438 \u0435\u0433\u043e \u0440\u0430\u043d\u044c\u0448\u0435. RunOnce \u043e\u0442\u043b\u0438\u0447\u0430\u0435\u0442\u0441\u044f \u043e\u0442 Run \u0442\u0435\u043c, \u0447\u0442\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0443\u0434\u0430\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u043b\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u044f. \u041a\u043b\u044e\u0447\u0438 WOW6432Node\u042d\u0442\u0438 \u043a\u043b\u044e\u0447\u0438 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u044b \u0434\u043b\u044f \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 32-\u0431\u0438\u0442\u043d\u044b\u0445 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c, \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u0445 \u0432 64-\u0431\u0438\u0442\u043d\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 Windows. reg.exe query &#171;HKEY_LOCAL_MACHINE\\SOFTWARE\\Wow6432Node\\Microsoft\\Windows\\CurrentVersion\\Run&#187;reg.exe query &#171;HKEY_LOCAL_MACHINE\\SOFTWARE\\Wow6432Node\\Microsoft\\Windows\\CurrentVersion\\RunOnce&#187;\u041a\u043b\u044e\u0447\u0438 Winlogon\u0415\u0449\u0435 \u043e\u0434\u0438\u043d \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u0430\u0432\u0442\u043e\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0432 Windows, \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e\u0449\u0438\u0439 \u043d\u0430 \u044d\u0442\u0430\u043f\u0435 \u0438\u043d\u0438\u0446\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u043e\u0439 \u0441\u0435\u0441\u0441\u0438\u0438. \u041d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u043a\u043b\u044e\u0447\u0438 Shell (\u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 explorer.exe) \u0438 Userinit (C:\\Windows\\system32\\userinit.exe,). reg.exe query &#171;HKLM\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon&#187; \/v Shellreg.exe query &#171;HKLM\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon&#187; \/v Userinitreg.exe query &#171;HKLM\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Notify&#187;reg.exe query &#171;HKLM\\Software\\Wow6432Node\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\Notify&#187;\u0412 \u0432\u0435\u0442\u043a\u0435 Winlogon \u0434\u043b\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u043d\u0435 \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432. reg.exe query &#171;HKU\\S-1-5-21-3589890344-2565197468-317303098-1113\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon&#187;BootExecute\u0414\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 autocheck autochk * \u2014 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0434\u0438\u0441\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0434\u043e \u0441\u0442\u0430\u0440\u0442\u0430 Windows.reg.exe query &#171;HKLM\\System\\CurrentControlSet\\Control\\Session Manager&#187; \/v BootExecute\u041f\u0430\u043f\u043a\u0438 \u0430\u0432\u0442\u043e\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438\u0414\u043b\u044f \u0432\u0441\u0435\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439Get-ChildItem &#8216;C:\\ProgramData\\Microsoft\\Windows\\Start Menu\\Programs\\Startup&#8217; -Force\u0418 \u0434\u043b\u044f \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u0433\u043e. \u0412 \u043d\u0430\u0448\u0435\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u0423\u0417Get-ChildItem &#8216;C:\\Users\\a.sokolova\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup&#8217; -Force\u0418 \u0437\u0434\u0435\u0441\u044c \u0436\u0435 \u044f \u0437\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043b \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u044b \u0432 \u043f\u0430\u043f\u043a\u0435 SecureDocumentViewer, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0432\u0441\u043f\u043e\u043c\u043d\u0438\u043b, \u0447\u0442\u043e \u043d\u0435 \u0441\u0434\u0435\u043b\u0430\u043b \u044d\u0442\u043e\u0433\u043e \u0440\u0430\u043d\u044c\u0448\u0435.\u0428\u0430\u0433 9. \u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438 \u0433\u0440\u0443\u043f\u043f\u044b\u041c\u044b \u0443\u0436\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u043b\u0438 \u043f\u0440\u043e\u0444\u0438\u043b\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438 \u0442\u0435\u043a\u0443\u0449\u0438\u0435 \u0441\u0435\u0430\u043d\u0441\u044b \u0432\u044b\u0448\u0435. \u041f\u043e\u043c\u0438\u043c\u043e \u044d\u0442\u043e\u0433\u043e, \u0431\u044b\u043b\u043e \u0431\u044b \u043f\u043e\u043b\u0435\u0437\u043d\u043e \u0437\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u0442\u044c, \u043d\u0435 \u0441\u043e\u0437\u0434\u0430\u043b \u043b\u0438 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u043d\u043e\u0432\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u043d\u0435 \u0432\u043a\u043b\u044e\u0447\u0438\u043b \u043b\u0438 \u043e\u0442\u043a\u043b\u044e\u0447\u0451\u043d\u043d\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c \u0438 \u043d\u0435 \u0434\u043e\u0431\u0430\u0432\u0438\u043b \u043b\u0438 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c \u0432 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u0433\u0440\u0443\u043f\u043f\u0443.     \u041b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0435 \u0443\u0447\u0435\u0442\u043d\u044b\u0435 \u0437\u0430\u043f\u0438\u0441\u0438Get-LocalUser |     Select-Object Name,Enabled,LastLogon,PasswordLastSet,SID\u0413\u0440\u0443\u043f\u043f\u0430 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0445 \u0430\u0434\u043c\u0438\u043d\u043e\u0432 $adminGroup = Get-LocalGroup -SID &#8216;S-1-5-32-544&#8217;Get-LocalGroupMember -Group $adminGroup |    Select-Object Name,ObjectClass,PrincipalSource\u0412 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442 \u043b\u043e\u043a\u0430\u043b\u0438 \u0438\u043c\u044f \u0433\u0440\u0443\u043f\u043f\u044b \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0438 \u043d\u0430 \u0430\u043d\u0433\u043b\u0438\u0439\u0441\u043a\u043e\u043c, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043d\u0430\u0434\u0435\u0436\u043d\u0435\u0435 \u043e\u0431\u0440\u0430\u0449\u0430\u0442\u044c\u0441\u044f \u043f\u043e SID \u2013 \u043e\u043d \u0432\u0441\u0435\u0433\u0434\u0430 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u0439. \u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0440\u0430\u0431\u043e\u0447\u0435\u0433\u043e \u0441\u0442\u043e\u043b\u0430\u041f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u044d\u0442\u043e \u0442\u0435\u0440\u043c\u0438\u043d\u0430\u043b\u043a\u0430, \u044d\u0442\u0430 \u0433\u0440\u0443\u043f\u043f\u0430 \u043e\u0447\u0435\u043d\u044c \u0432\u0430\u0436\u043d\u0430, \u043e\u043d\u0430 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442, \u043a\u0442\u043e \u043c\u043e\u0436\u0435\u0442 \u043b\u043e\u0433\u0438\u043d\u0438\u0442\u044c\u0441\u044f \u043f\u043e RDP. $rdpGroup = Get-LocalGroup -SID &#8216;S-1-5-32-555&#8217;Get-LocalGroupMember -Group $rdpGroup |    Select-Object Name,ObjectClass,PrincipalSource\u0412 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445 \u0434\u043e\u043c\u0435\u043d\u0430 \u0437\u0434\u0435\u0441\u044c \u0431\u0443\u0434\u0443\u0442 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0435 \u0443\u0447\u0435\u0442\u043a\u0438 \u0438\u043b\u0438 \u0433\u0440\u0443\u043f\u043f\u044b \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439. \u041f\u0440\u0438 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438, \u0438\u0445 \u0441\u0432\u043e\u0439\u0441\u0442\u0432\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u044e\u0442\u0441\u044f \u0441 \u0447\u0438\u0441\u0442\u043e\u0439 \u0430\u0434\u043c\u0438\u043d\u0441\u043a\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b. \u0428\u0430\u0433 10. \u0416\u0443\u0440\u043d\u0430\u043b\u044b\u041f\u0440\u0438\u0448\u043b\u043e \u0432\u0440\u0435\u043c\u044f, \u043d\u0430\u043a\u043e\u043d\u0435\u0446, \u0432\u0434\u0443\u043c\u0447\u0438\u0432\u043e \u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u043b\u043e\u0433\u0438. \u0412\u043e \u0432\u0440\u0435\u043c\u044f \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0441\u0440\u0430\u0437\u0443 \u0441\u0430\u0434\u0438\u0442\u044c\u0441\u044f \u0437\u0430 \u043f\u0440\u043e\u0441\u043c\u043e\u0442\u0440 \u043b\u043e\u0433\u043e\u0432 \u043d\u0435\u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0438\u0432\u043d\u043e. \u041f\u0435\u0440\u0432\u0435\u0439\u0448\u0430\u044f \u0437\u0430\u0434\u0430\u0447\u0430 \u2013 \u044d\u0442\u043e \u0441\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u043d\u0438\u0435 \u0443\u0433\u0440\u043e\u0437\u044b \u0447\u0435\u0440\u0435\u0437 \u0438\u0437\u043e\u043b\u044f\u0446\u0438\u044e, \u0437\u0430\u0442\u0435\u043c \u0444\u0438\u043a\u0441\u0430\u0446\u0438\u044f \u0431\u043e\u043b\u0435\u0435 \u0432\u043e\u043b\u0430\u0442\u0438\u043b\u044c\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445. \u041b\u043e\u0433\u0438 \u043e\u0442 \u043d\u0430\u0441 (\u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e) \u043d\u0435 \u0443\u0431\u0435\u0433\u0443\u0442, \u0438 \u0434\u0430\u0436\u0435 \u0435\u0441\u043b\u0438 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0435 \u0436\u0443\u0440\u043d\u0430\u043b\u044b \u0431\u0443\u0434\u0443\u0442 \u043e\u0447\u0438\u0449\u0435\u043d\u044b, \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u043c\u043e\u0436\u043d\u043e \u0431\u0443\u0434\u0435\u0442 \u043d\u0430\u0439\u0442\u0438 \u0432 SIEM. \u0415\u0441\u043b\u0438&#8230;<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-498408","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/498408","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=498408"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/498408\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=498408"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=498408"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=498408"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}