Reminiscent

È stato rilevato traffico sospetto dal PC virtuale di un recruiter. È stato acquisito un dump della memoria della VM incriminata prima che fosse rimossa dalla rete per l'imaging e l'analisi. Il nostro reclutatore ha affermato di aver ricevuto un'e-mail da qualcuno in merito al proprio curriculum. Una copia dell'e-mail è stata recuperata ed è fornita come riferimento. Trova e decodifica la fonte del malware per trovare il flag.

Nota: trova e decodifica la fonte del malware per trovare il contrassegno. La lettura del file di posta elettronica conosciamo le seguenti informazioni

nome file: curriculum.zip

Nel file che scarichiamo da HTB per la nostra analisi, troviamo i seguenti file: flounder-pc.memdump.elf - imageinfo.txt - Resume.eml

Nel file TXT trovo le seguenti informazioni:

Questo file ci fornisce i profili suggeriti di cui potremmo aver bisogno durante l'esecuzione del volatility. Scelgo il primo profilo: Win7SP1x64

E' possibile eseguire comandi che utilizzano plug-in come ad esempio: windows.info per conoscere meglio la macchina compromessa.

Per ottenere la lista dei processi utilizziamo il comando windows.pslist
Questo plugin fornisce processi in esecuzione sulla macchina al momento del dump della memoria. Proprio come eseguire ps su sistema Linux. Avviare volatility con il seguente comando:

Otteremo il seguente output:

Il risultato non è stato utile, ma troviamo forse che una pawershell (PID: 2752) potrebbe essere sempre in esecuzioni.

Possiamo ottenere connessioni live utilizzando windows.netscan
Questo plugin ci fornisce le connessioni al momento del dump della memoria. Proprio come eseguire il comando netstat.

Quello che mi ha colpito in questo output sono state le seguenti righe:

0x1fc04490    TCPv4    10.10.100.43    49246    10.10.99.55    80    CLOSED    2752    powershell.exe    -
0x1fc3d320    TCPv4    10.10.100.43    49247    10.10.99.55    80    CLOSED    2752    powershell.exe    -

Anche se queste connessioni sono state chiuse, ci sono alcuni segnali allarmanti:

• Che ci sia powershell.exe, anche se potrebbe essere benigno, è possibile che questo possa essere usato per configurare la shell inversa.
• Che ci sia comunicazione con la porta "80" usando powershell.exe. Ciò si capisce perché un utente normale (che non è così esperto di tecnologia) non utilizzerà "powershell.exe" per comunicare con un sito web.

Scarichiamo il comando che sarebbe stato utilizzato per chiamare powershell.exe per capire meglio cosa è successo.

Per ottenere il comando eseguito possiamo utilizzare windows.cmdline:

In questo caso l'output mostra tutti i comandi che sono stati eseguiti. Per andare nello specifico del PID in questione possiamo utilizzare il seguente comando:

Quindi powershell.exe viene chiamato con il comando -enc che utilizza la codifica base64.
Per decodificare la stringa è possibile utilizzare il seguente comando:

 E a questo punto potrai sicuramente notare la tua Flag... :-)

HTB{$_j.............Y_$}