En mi post anterior se hablaba de procesos básicos de cualquier análisis forense como son la recolección de información, preanálisis de sesiones de usuario/sistema y de credenciales LSASS. En este post voy a proporcionar una visión muy general de procesos y tácticas del adversario empleadas en las comunicaciones, para ganar persistencia, vectores de entrada y descuidos humanos.... Leer Más
Search Results for: CTF
UCAM CTF Forense — Like old school
31 de mayo de 2019 by
Hoy, como aficionado al análisis forense digital (la parte puramente IT, sin entrar demasiado en lo legal), analizaré de forma didáctica el caso ficticio «Lionel Hutz papers» planteado en UCAM CTF, incidiendo en los procesos de resolución empleados y las conclusiones sobre la naturaleza del ataque. Espero que os parezca interesante.
En primer lugar, dos handicaps autoimpuestos:
- A diferencia de un ejercicio de IR (respuesta rápida ante incidentes), la evidencia la trataré siempre en frío.
- Por tanto, se usará exclusivamente el disco, like old school (que da nombre al post), sin tocar la RAM y mucho menos levantar la VM aislada para monitorizar su actividad.
En segundo lugar, al ser un ejercicio enmarcado en el formato CTF, responderemos de forma indirecta a cuestiones que bien pueden ser interesantes, o bien podrían ser irrelevantes o no concluyentes durante la elaboración de las conclusiones y por tanto en según que casos reales no se habría ni siquiera planteado. Dicho esto, ¡vamos al lío! [Read more…]
MUS CTF DFIR – Desktop (Nivel 4)
11 de abril de 2019 by
1. ¿Cuál es el hash SHA1 de la imagen forense del puesto de escritorio?
Si la captura forense no tiene hashes, no es una captura forense. Revisamos el fichero MUS-CTF-19-DESKTOP-001.E01.txt y encontramos en un periquete el hash:
[Computed Hashes] MD5 checksum: c0d0eaf2c981cd247bf600b46e6487c3 SHA1 checksum: a20c2f43a80ddcad35b958b701a6cdd4b67e535c
* Respuesta: a20c2f43a80ddcad35b958b701a6cdd4b67e535c
2. ¿Quién adquirió la imagen forense del puesto de escritorio?
El mismo fichero de logs de la adquisición forense del apartado anterior nos da la respuesta.
Examiner: Powers
* Respuesta: M Powers
[Read more…]
MUS CTF DFIR – Activity (Nivel 3)
10 de abril de 2019 by
1. ¿Cuántos ficheros fueron descargados del Sharepoint de magnet4nsics?
Esta parece fácil: cargamos con BrowsingHistoryView de Nirsoft (a este gente habría que comprarles un jamón por la maravilla de utilidades que tienen para nuestro uso y disfrute) el historial de los usuarios y lo revisamos, obteniendo un listado de los accesos a Sharepoint:
Si contamos los ficheros que parecen almacenados en el OneDrive nos salen 7 … que resulta ser un precioso Fail. Si nos fijamos un poco, solo tenemos dos descargas reales de ficheros: at-5000-s1.jpg y high4.jpg (el resto entiendo que será navegación por carpetas o algo similar).
* Respuesta: 2
¡EXTRA BONUS! Al responder esta pregunta nos aparece otra (y tiene pinta de repetirse unas cuantas veces más, así que vamos a recolocar un poco el orden de las preguntas).
[Read more…]
MUS CTF DFIR – Secret Project (Nivel 2)
9 de abril de 2019 by
En la entrada anterior habíamos encontrado un .zip altamente jugoso, así que vamos a empezar a apalearlo para que cante todas las flags de este nivel…
1. ¿Qué lenguaje ha sido empleado para crear el ejecutable del proyecto secreto?
Esta la vamos a responder con la información de la última pregunta de la parte anterior. Dentro de ese estupendo .zip podemos encontrar un ejecutable cuyo icono es bastante delator:
* Respuesta: Python
!Extra Bonus! Cuando respondemos esta pregunta se abren 5 preguntas más. Esto parece que va para largo…
MUS CTF DFIR – MOBILE (Nivel 1)
8 de abril de 2019 by
Este fin de semana se pronosticaba un tiempo de perros en Madrid, y todavía estaba arrastrando un malware elegante que no terminaba de curar, así que tocaba casa y manta. Y el mismo viernes por la tarde me entero que la gente de Magnet había abierto al público el reto forense que habían jugado en el MUS (Magnet User Summit), junto con una licencia de prueba de Magnet Axiom para poder probarlo y cacharrear al gusto.
Un poco de AC/DC, leche con miel y whisky (ambos son buenos para currar el catarro, o eso dicen) y un buen reto forense no son un mal plan para el finde ;-)
Enlaces de interés:
- URL de la plataforma CTFd del reto – https://mus2019.ctfd.io/
- Evidencias – https://drive.google.com/drive/u/0/mobile/folders/1E0lELj9NouMwSMGZCI7lXWRqYE2uQCpW?usp=sharing
DEFCON 2018 DFIR CTF – Reto forense (Nivel 3 + Conclusiones)
8 de enero de 2019 by
Puesto de usuario – Nivel básico
1. ¿Qué dirección IP tiene el puesto de usuario?
El registro lo sabe TODO. En este caso, el hive SYSTEM:
Un poco de RegistryExplorer y ya tenemos la respuesta:
* Respuesta: 74.118.138.195
2. ¿Cuál es el SID de la cuenta de Administrador? [Read more…]
DEFCON 2018 DFIR CTF – Reto forense (Nivel 2)
7 de enero de 2019 by
Servidor de ficheros – Nivel básico
1. ¿Cuál es el número de serie del volumen de la única partición de la imagen de disco del servidor de ficheros?
El número de serie del volumen es un valor hexadecimal que se genera cuando se crea el sistema de ficheros. La documentación de Microsoft nos dice que para sistemas de ficheros NTFS lo tenemos en la posición 0x48 del BPB (Bios Parameter Block), que es parte del sector de arranque. Este sector lo tenemos en el disco en el $boot (en el raiz del disco). Montamos el disco con FTK Imager y accedemos al valor hexadecimal:
Ahí tenemos el valor: 652496C0. [Read more…]
DEFCON 2018 DFIR CTF – Reto forense (Intro + Nivel 1)
4 de enero de 2019 by
(N.d.E.: nos damos un respiro con los artículos sobre la Comunidad de Ciberinteligencia rusa, el GRU (volverán pronto), para adentrarnos en el reto forense que nos introduce Antonio Sanz.)
Comentaban unos alumnos del curso de análisis forense hace unas cuantas semanas la dificultad de conseguir experiencia en forense y respuesta ante incidentes, no sin parte de razón. En muchas ocasiones yo comparo, salvando las obvias distancias, el trabajo de DFIR (Digital Forensics and Incident Response) con el de un bombero: gran parte del tiempo de relajación mezclado con una pequeña parte de tiempo de intensidad y stress máximos.
Aquí estamos, sin embargo, no siendo del todo exactos: ¿qué hacen los bomberos cuando no se deslizan por el tubo y salen corriendo a salvar gente? La respuesta es muy sencilla: ENTRENAN.
En el mundo DFIR el entrenamiento es fundamental, ya que en muy pocos trabajos se está el 100% del tiempo “en harina” (hay que tener en cuenta que estar en un incidente a máxima capacidad de trabajo durante un periodo largo de tiempo cuesta, y mucho). El entrenamiento, además, permite detectar carencias y áreas de mejora, así como afianzar conceptos y aprender nuevas formas de hacer las cosas. [Read more…]
Forensic CTF Writeup: Baud, James Baud (IV)
12 de enero de 2017 by
Como ya vimos en el artículo anterior, habíamos encontrado un .hta que ejecutaba un script en Powershell que a todas luces parecía malicioso. Nos quedamos con la mosca detrás de la oreja, así que aunque estemos fuera del alcance del CTF, vamos a intentar tirar del hilo para ver si somos capaces de saber qué ha sucedido en el equipo.
[Nota: Como esta parte es un bonus, no vamos a intentar hacerla por duplicado en Windows y Linux, que bastante trabajo llevaron algunas cosas.]
Nos gustaría responder a estas preguntas:
- ¿Qué malware se ha desplegado en el equipo?
- ¿Qué acciones maliciosas se han realizado en el sistema?
- ¿Cuál ha sido el vector de entrada de esta infección?
