Mission SOC 9 — Rançongiciel sur un partage de fichiers

Alertes critiques : chiffrement de masse sur le partage FINANCE et suppression des copies cliché. Chaque minute compte. Tables : file_events (accès au partage), process_events (EDR des postes), share_permissions (droits sur les partages, jours depuis le dernier usage).

1. Comptez les renommages par utilisateur : colonnes user, renommages
2. Compte et poste impliqués → answer compte <user> et answer poste <host>
3. Extension ajoutée aux fichiers chiffrés → answer extension <.xxx>, nombre de fichiers chiffrés → answer fichiers <n>
4. Quel outil a été lancé avant le chiffrement (la preuve de préméditation) ? → answer premier <nom de l'exécutable>
5. Rayon d'explosion : listez les principaux qui peuvent écrire sur FINANCE (modification ou controle_total) : colonne principal
6. Parmi eux, combien n'ont pas utilisé leur droit depuis plus de 90 jours ? → answer dormants <n>