Search Results for: CTF

DEFCON DFIR CTF 2019 (IV): Triage VM Questions

2 de octubre de 2019 by
DEFCON DFIR CTF 2019 writeup [1] [2] [3] [4]

Las evidencias son un precioso fichero .7z (que en Debian no se puede abrir con unzip, hay que usar p7zip, ojo), que una vez descomprimido nos deja los siguientes ficheros:



# ls -laht
total 27G
drwxr-xr-x 2 root root 4.0K Aug 27 18:10 .
drwxr-xr-x 5 root root 4.0K Aug 27 17:43 ..
-rw-r--r-- 1 root root 4.0G Mar 22 22:21 DFA_CTF_Triage-0.vmdk
-rw-r--r-- 1 root root  23G Mar 22 22:21 DFA_CTF_Triage.vmdk
-rw-r--r-- 1 root root 2.0K Mar 22 22:14 DFA_CTF_Triage.vmx



Podríamos arrancar la máquina virtual en VMWare, pero vamos a tratar la VM como una evidencia muerta, para ver si somos capaces de sacar todas las evidencias de un modo más formal.


La forma más rápida de montar en Debian un .vmdk es, si tienes qemu instalado, la siguiente: [Read more…]


Filed Under: General 
DEFCON DFIR CTF 2019 Writeup (III): Memory Forensics


22 de septiembre de 2019  by   
DEFCON DFIR CTF 2019 writeup [1] [2] [3]


1. ¿Cuál es el hash SHA1 del fichero triage.mem?


Un poquito de sha1sum para empezar a calentar…


# sha1sum adam.mem
c95e8cc8c946f95a109ea8e47a6800de10a27abd  adam.mem



* Respuesta: c95e8cc8c946f95a109ea8e47a6800de10a27abd


2. ¿Qué perfil de memoria es el más apropiado para esta máquina (ej: Win10x86_14393)


Volatility nos da la información gracias al plugin imageinfo: [Read more…]


Filed Under: General 
DEFCON DFIR CTF 2019 writeup (II): Linux Forensics


11 de septiembre de 2019  by   
DEFCON DFIR CTF 2019 writeup [1] [2]


Como habíamos visto en la parte de Windows, la adquisición forense del equipo Horcrux nos había dejado una tabla de particiones cargadita, siendo una de ellas una de Linux. Siendo Linux, parece tener sentido el realizar el forense desde otro Linux.


En primer lugar vamos a montar la partición como es debido para poder ver lo que tenemos dentro (si estáis en un sistema Linux necesitaréis las ewftools, y aquí [https://www.andreafortuna.org/2018/04/11/how-to-mount-an-ewf-image-file-e01-on-linux/] tenéis un tutorial estupendo sobre cómo hacerlo):


Montamos el contenedor: [Read more…]


Filed Under: General 
DEFCON DFIR CTF 2019 writeup (I): Crypto + Deadbox Forensics


10 de septiembre de 2019  by   
Como ya parece ser una (estupenda) tradición dentro de la DEFCON, se ha vuelto a lanzar un reto forense no oficial. Este año se lanzó el día en el que me iba de vacaciones, así que llegamos con retraso para resolverlo, pero llegamos.


Lo primero son los datos con los que tenemos que trabajar. Las evidencias están disponibles en este enlace de Dropbox:


https://www.dropbox.com/sh/4qfk1miauqbvqst/AAAVCI1G8Sc8xMoqK_TtmSbia?dl=0


y aquí tenéis el enlace al sitio web del CTF:


https://defcon2019.ctfd.io/


El reto es más largo que un día sin pan (83 preguntas si he hecho bien las cuentas), así que para no volverme loco me he puesto un límite temporal: tengo una semana para dedicarle al reto, writeup incluido. El domingo 25 ya descargué todas las evidencias y dejé todo listo para empezar, así que el lunes 26 empezamos con ganas. [Read more…]


Filed Under: General 
UCAM CTF Forense — Like old school II


24 de junio de 2019  by   
En mi post anterior se hablaba de procesos básicos de cualquier análisis forense como son la recolección de información, preanálisis de sesiones de usuario/sistema y de credenciales LSASS. En este post voy a proporcionar una visión muy general de procesos y tácticas del adversario empleadas en las comunicaciones, para ganar persistencia, vectores de entrada y descuidos humanos....  Leer Más
Filed Under: General, Seguridad TI 
UCAM CTF Forense — Like old school


31 de mayo de 2019  by   
Hoy, como aficionado al análisis forense digital (la parte puramente IT, sin entrar demasiado en lo legal), analizaré de forma didáctica el caso ficticio «Lionel Hutz papers» planteado en UCAM CTF, incidiendo en los procesos de resolución empleados y las conclusiones sobre la naturaleza del ataque. Espero que os parezca interesante.


En primer lugar, dos handicaps autoimpuestos:


    

  1. A diferencia de un ejercicio de IR (respuesta rápida ante incidentes), la evidencia la trataré siempre en frío.
    2. 

  2. Por tanto, se usará exclusivamente el disco, like old school (que da nombre al post), sin tocar la RAM y mucho menos levantar la VM aislada para monitorizar su actividad.
    3. 



En segundo lugar, al ser un ejercicio enmarcado en el formato CTF, responderemos de forma indirecta a cuestiones que bien pueden ser interesantes, o bien podrían ser irrelevantes o no concluyentes durante la elaboración de las conclusiones y por tanto en según que casos reales no se habría ni siquiera planteado. Dicho esto, ¡vamos al lío! [Read more…]


Filed Under: General, Seguridad TI 
MUS CTF DFIR – Desktop (Nivel 4)


11 de abril de 2019  by   
1. ¿Cuál es el hash SHA1 de la imagen forense del puesto de escritorio?


Si la captura forense no tiene hashes, no es una captura forense. Revisamos el fichero MUS-CTF-19-DESKTOP-001.E01.txt y encontramos en un periquete el hash:


[Computed Hashes]
MD5 checksum: c0d0eaf2c981cd247bf600b46e6487c3
SHA1 checksum: a20c2f43a80ddcad35b958b701a6cdd4b67e535c



* Respuesta: a20c2f43a80ddcad35b958b701a6cdd4b67e535c


2. ¿Quién adquirió la imagen forense del puesto de escritorio?


El mismo fichero de logs de la adquisición forense del apartado anterior nos da la respuesta.


Examiner: Powers


* Respuesta: M Powers

 [Read more…]


Filed Under: Seguridad TI Tagged With: , , 
MUS CTF DFIR – Activity (Nivel 3)


10 de abril de 2019  by   
1. ¿Cuántos ficheros fueron descargados del Sharepoint de magnet4nsics?


Esta parece fácil: cargamos con BrowsingHistoryView de Nirsoft (a este gente habría que comprarles un jamón por la maravilla de utilidades que tienen para nuestro uso y disfrute) el historial de los usuarios y lo revisamos, obteniendo un listado de los accesos a Sharepoint:




Si contamos los ficheros que parecen almacenados en el OneDrive nos salen 7 … que resulta ser un precioso Fail. Si nos fijamos un poco, solo tenemos dos descargas reales de ficheros: at-5000-s1.jpg y high4.jpg (el resto entiendo que será navegación por carpetas o algo similar).


* Respuesta: 2


¡EXTRA BONUS! Al responder esta pregunta nos aparece otra (y tiene pinta de repetirse unas cuantas veces más, así que vamos a recolocar un poco el orden de las preguntas).

 [Read more…]


Filed Under: Seguridad TI Tagged With: , , 
MUS CTF DFIR – Secret Project (Nivel 2)


9 de abril de 2019  by   
En la entrada anterior habíamos encontrado un .zip altamente jugoso, así que vamos a empezar a apalearlo para que cante todas las flags de este nivel…


1. ¿Qué lenguaje ha sido empleado para crear el ejecutable del proyecto secreto?


Esta la vamos a responder con la información de la última pregunta de la parte anterior. Dentro de ese estupendo .zip podemos encontrar un ejecutable cuyo icono es bastante delator:


 * Respuesta: Python


!Extra Bonus! Cuando respondemos esta pregunta se abren 5 preguntas más. Esto parece que va para largo…


 [Read more…]


Filed Under: Seguridad TI Tagged With: , , 
MUS CTF DFIR – MOBILE (Nivel 1)


8 de abril de 2019  by   
Este fin de semana se pronosticaba un tiempo de perros en Madrid, y todavía estaba arrastrando un malware elegante que no terminaba de curar, así que tocaba casa y manta. Y el mismo viernes por la tarde me entero que la gente de Magnet había abierto al público el reto forense que habían jugado en el MUS (Magnet User Summit), junto con una licencia de prueba de Magnet Axiom para poder probarlo y cacharrear al gusto.


Un poco de AC/DC, leche con miel y whisky (ambos son buenos para currar el catarro, o eso dicen) y un buen reto forense no son un mal plan para el finde ;-)


Enlaces de interés:



 [Read more…]


Filed Under: Seguridad TI Tagged With: , ,