whattttov

Вообще этот JS-скрипт нужен для выявления потенциально зараженных и относительно небезопасных машин, с которых клиент заходит на сайт.
Таким образом срабатывает механизм защиты от ботов и потенциально скомпрометированных клиентов сайта.

Ну вообще имеет смысл прокрутить приложения из неизвестных репозиториев в публичных песочницах, тот же VirusTotal, any.run

Попробуйте Lulu - https://objective-see.org/products/lulu.html

Смотря чья техника)
Если мак и айфон твои, то ничего нет, да и устанавливать тебе сами бы ничего не могли, поскольку это аж несколько статей УК)
Если это корпоративные устройства, то могут стоять агенты DLP, агенты для сбора логов в SIEM и тд. Особо «ушлые» работодатели ставят агенты учета рабочего времени и контроля сотрудников.
Если брать DLP и SIEM, то тут ничего страшного нет, поскольку они просто не имеют функционала удаленного подключения в виде HVNC, да и скринов не делают.
Но вот системы учета раб.времеми - вполне себе

Вообще для «угона» аккаунта телеги есть 2 основных вектора: кража куки, если вы заходили с браузера. И кража директории tdata, в таком случае злоумышленнику достаточно ее подставить себе же в клиент telegram’а, чтобы зайти в аккаунт.
Для митигации подобных рисков вам следует устанавливать сложный облачный пароль для телеги, использовать антивирусы, а так же не качать что попало из интернета)

Выглядит плохо…
Можно выдвинуть гипотезу, что это инжект в LSASS с последующей эксфильтрацией данных…
Не известно что и куда отправлялось?
Что в логах Security?

Привет!
Вообще у тебя уже есть отличные задатки для SOC L1
Собственно, нужно пробежаться по ключевым направлениям, с которыми ты будешь работать:
- Инструментарий: SIEM (во многих компаниях это ELK/Opensearch, MP SIEM. Тут тебе нужно будет научиться писать простые запросы на KQL/Lucene для поиска событий), AV, EDR, IDS/IPS (базово прочитать правила сурикаты), да и в целом знать зачем тебе нужны те или иные СЗИ.

- Методологии MITRE ATT&CK / Cyber Kill Chain - для понимания жизненного цикла атаки. Здесь важно знать не просто наименования TTP, а понимать каким образом та или иная техника выглядит в реальности. Но на текущем этапе тебе это прям зубрить не нужно. Хотя бы образно понимать:
Видишь фишинг - попытка Initial Access; Пользователь запустил вложенный к письму файл - Execution;
ПО создало службу - Persistence;
Подмена DLL - либо Persistence, либо Privilege Escalation;
Видишь дамп LSASS - Credential Access;
Видишь создание службы PSEXECSVC на удаленном хосте, а после с ранее скомпрометированной машины идет событие входа - Lateral Movement;
И так далее
Смысл в том, чтобы видеть связь между событиями в логах и этапом атаки

- Атаки на AD: здесь тебе нужно понимать, что такое AD, как работает Kerberos, NTLM и какие техники существуют из-за их дизайна реализации в домене AD: Pass-the-Hash, Pass-the-Ticket, Kerberoasting, AS-REP roasting, DCSync, Silver/Golden Tickets. Чем Bruteforce отличается от Password spraying) на текущий момент тебе этого будет вполне себе достаточно, если не больше

- Инструменты атакующих: Nmap, Burp Suit, Mimikatz, BloodHound, Impacket, C2-фреймворки. Тебе не обязательно уметь ими пользоваться, но ты должен знать зачем они нужны.

- Базово знать модели OSI / TCP/IP.

- Linux (хотя бы базовое понимание) - уметь читать код на Bash, знать файловую структуру, уметь просматривать логи.
В целом тебе этого даже больше, чем хватит на роли SOC L1
В любом случае желаю тебе удачи)