Scan TLS
Contexte
Il semblerait quâune machine de notre rĂ©seau local soit compromise et utilisĂ©e par un attaquant pour rĂ©aliser des opĂ©rations de reconnaisse sur des machines exposĂ©es sur Internet.
Cela lui permet dâutiliser notre adresse IP publique, dans le but de dissimuler ses traces.
Dans ce challenge, vous disposez de lâenregistrement dâune connexion TLS suspecte depuis la machine compromise (192.168.5.103) vers un serveur Web.
MĂȘme si le flux est chiffrĂ©, il est tout de mĂȘme possible dâobtenir des informations sur cette connexion. Ici le client TLS utilisĂ© sur la machine compromise semble avoir une empreinte trĂšs spĂ©cifique qui laisse peu de place au doute.
Votre mission est de retrouver le client TLS utilisé, comme vous pourriez retrouver le navigateur Web utilisé à partir du User-Agent HTTP.
Analyse de la capture
La capture de trames est relativement courte, elle ne contient que 11 trames :
On remarque une seule et unique session d'Ă©change TCP via TLSv1.1.
La communication a lieu entre une ip locale (192.168.5.103) et le serveur web de l'APSSIS sur le port 443.
Le flux tcp n'affiche rien de particulier pour nous aider dans ce challenge :
Quel est le client TLS utilisé ?
Le User-Agent d'une requĂȘte http est facile a rĂ©cupĂ©rer dans une capture de trame, celui d'une session HTTPS est plus difficile Ă obtenir.
Heureusement, il existe un systĂšme d'empreinte pour faciliter la recherche de menace :
JA3 is a method for creating SSL/TLS client fingerprints that should be easy to produce on any platform and can be easily shared for threat intelligence.
salesforce a aussi publié un outil pour récupérer les empreintes JA3 dans un pcap :
Cet outil nous permet de récupérer le hash JA3 de la session TLS : 18e9afaf91db6f8a2470e7435c2a1d6b
salesforce met aussi Ă disposition un outil de CTI pour ce type de hash :
En passant le hash dans l'outil, on découvre que le client TLS est "massscan" (un scanner réseau).
DerniĂšre mise Ă jour
