حذف شاخص

مهاجمان لاگ‌های رویداد ویندوز را پاک می‌کنند تا آثار فعالیت خود را حذف کنند. با استفاده از wevtutil، PowerShell یا API‌های ویندوز، مهاجمان می‌توانند لاگ‌های Security، System و Application را پاک کنند.

مهاجمان تاریخچه دستورات shell را پاک می‌کنند تا آثار فعالیت خود را حذف کنند. در لینوکس، فایل .bash_history و در PowerShell، تاریخچه PSReadLine هدف هستند.

مهاجمان فایل‌های مخرب را پس از اجرا حذف می‌کنند تا آثار خود را پنهان کنند. این شامل حذف payload‌ها، ابزارها و سایر فایل‌های مرتبط با حمله می‌شود.

مهاجمان timestamp‌های فایل‌ها را تغییر می‌دهند تا تحلیل forensics را دشوارتر کنند. با تغییر زمان ایجاد، تغییر و دسترسی فایل، مهاجمان می‌توانند timeline حمله را مخدوش کنند.

مهاجمان مکانیزم‌های پایداری را پس از اتمام عملیات حذف می‌کنند تا آثار خود را پنهان کنند. این شامل حذف scheduled task‌ها، سرویس‌ها، کلیدهای رجیستری Run و سایر مکانیزم‌های پایداری می‌شود.