Des deux côtés 2/2
Contexte
Catégorie : Forensic
Points : 500
Auteur : https://twitter.com/_worty
Voir les deux côtés de quelque chose, c'est toujours bon non?
Un de vos employés s'est fait voler sa machine il y a 3 heures, heureusement, votre SI est bien configuré et des snapshots mémoires sont réalisées toutes les 2 heures ! Votre employé vous affirme qu'il a reçu un mail officiel de ses supérieurs pour télécharger une nouvelle application l'aidant dans son travail.. Votre but est d'identifier le nom de ce fichier, et de trouver sur quelle ip ainsi que sur quel port la backdoor s'est connectée !
Le fichier est le même que pour le premier challenge
Format : BZHCTF{malveillant.exe-ip:port}
Début de l'analyse
On a un dump mémoire "memory.dmp" de 1.1Go (=volatility)
On cherche une appli (exe ?) qui serait en réalité une backdoor
La machine volée est une Windows et plus précisément une Win7SP1x86_23418 :
file memory.dmp
memory.dmp: MS Windows 32bit crash dump, PAE, full dump, 262144 pages
python volatility/vol.py -f memory.dmp imageinfo
Volatility Foundation Volatility Framework 2.6.1
INFO : volatility.debug : Determining profile based on KDBG search...
Suggested Profile(s) : Win7SP1x86_23418, Win7SP0x86, Win7SP1x86_24000, Win7SP1x86 (Instantiated with WinXPSP2x86)
AS Layer1 : IA32PagedMemoryPae (Kernel AS)
AS Layer2 : WindowsCrashDumpSpace32 (Unnamed AS)
AS Layer3 : FileAddressSpace (/mnt/v/BZHCTF/FOFO/memory.dmp)
PAE type : PAE
DTB : 0x185000L
KUSER_SHARED_DATA : 0xffdf0000L
Image date and time : 2022-02-23 19:29:05 UTC+0000
Image local date and time : 2022-02-23 11:29:05 -0800Recherche de l'application malveillante
Je commence par lister l'ensemble des process en cours sur le système.
D'après l'énoncé du challenge, on suppose que le mail est un phishing et que l'application que l'employé a téléchargé ne porte pas un nom barbare (pour mieux le tromper).
L'exe "RH-Appli-Conne" semble être le bon candidat !
Analyse des connexions réseaux
On remarque que l'application se connecte vers l'adresse ip 146.59.156.82 sur le port 1337.
Nous avons donc :
BZHCTF{malveillant.exe-146.59.156.82:1337}
Récupération du fichier
Pour obtenir notre flag complet, il nous manque le nom complet de l'application.
Le plugin filescan nous permet de le récupérer.
BZHCTF{RH-Appli-Connect.exe-146.59.156.82:1337}
Bonus : extract de la backdoor
Pour aller plus loin on pouvait extraire l’exécutable malveillant et l'analyser sur une plateforme telle que Virustotal.
Son hash n'était pas connu de la base de connaissance mais plusieurs antivirus le détecte comme un Meterpreter.
Mis à jour
Ce contenu vous a-t-il été utile ?