डिजिटल फॉरेंसिक टिप्स एंड ट्रिक्स: मेमोरी डंप में सक्रिय वीपीएन कनेक्शन कैसे खोजें

कभी-कभी आप एक मामले से मिल सकते हैं जब एक साइबर हमलावर सी 2 सर्वर और संक्रमित आईटी-बुनियादी ढांचे के बीच एक विश्वसनीय चैनल स्थापित करने के लिए वीपीएन का उपयोग करता है। और, जैसा कि थ्रेट इंटेलिजेंस विशेषज्ञों का कहना है, हमलावर अक्सर देशी विंडोज वीपीएन कनेक्शन टूल और विंडोज .pbk (फोनबुक) फाइलों का उपयोग करते हैं। आइए जानें कि हम मेमोरी डंप का उपयोग करके इसका पता कैसे लगा सकते हैं।

.Pbk फ़ाइल क्या है और यह अंदर कैसे दिखती है? जब वीपीएन कनेक्शन स्थापित हो रहा होता है तो यह बहुत सारे विभिन्न मापदंडों के साथ एक टेक्स्ट फाइल होती है।




फोनबुक फ़ाइल को डबलक्लिक या cmd / बैट स्क्रिप्ट के माध्यम से निष्पादित किया जा सकता है (या कमांड कंसोल से)। लेकिन दो अलग-अलग उपकरण हैं जो पहले और दूसरे तरीके के लिए उपयोग कर रहे हैं: rasdial और rasphone । इसलिए हम डिजिटल फोरेंसिक प्रक्रिया में दो अलग-अलग तरीकों का उपयोग कर सकते हैं। दोनों तरीकों की शुरुआत में हमें प्रक्रिया सूची प्राप्त करने और जांचने के लिए एक अस्थिरता उपकरण का उपयोग करना चाहिए:



यदि एक रास्पफ़ोन प्रक्रिया का पता लगाया जा रहा है, तो उदाहरण के लिए, आरडीपी सत्र से डबलक्लिक के साथ फोनबुक का उपयोग करना संभव है। हम यहां क्या उपयोगी जानकारी पा सकते हैं? आइए, इस डंप फ़ाइल को FTK Imager में खोलें और किसी भी .pbk पैरामीटर को देखने का प्रयास करें। मैंने इस मामले के लिए "PhoneNumber =" का उपयोग किया।



यहां आपको इस वीपीएन कनेक्शन के लिए एक रिमोट पता और एक पोर्ट नंबर दिखाई देता है। vpn566928222.opengw.net:995 इस बिंदु से हम रैम में एक वर्तमान कनेक्शन की सेवा नाम का पता लगा सकते हैं, एक पोर्ट नंबर और अस्थिरता नेट्सकैन कमांड का उपयोग कर।



यदि डंप किया गया सिस्टम अभी भी जीवित है तो आप इस प्रक्रिया को मार सकते हैं या आप अनुसंधान जारी रख सकते हैं। बेशक आपको दूरस्थ आईपी पते के बारे में अधिक जानकारी होनी चाहिए:



ऐसा लगता है कि एक नि: शुल्क गुमनाम वीपीएन सर्वर है और इंटरनेट में बहुत सारे हैं। और यह एक प्रश्न है - संक्रमित स्टेशन पर इस वीपीएन कनेक्शन का उपयोग कौन से अनुप्रयोग करता है?

मुझे पता है कि वीपीएन एक अन्य निजी नेटवर्क से एक कनेक्शन है और मेरे वर्कस्टेशन को विदेशी सबनेट में एक और आईपी पता मिला है। मेरा स्थानीय सबनेट 192.168.145.0/24 है, लेकिन अस्थिरता नेट्सकैन के परिणामों में विभिन्न स्थानीय आईपी एड्रेस (10.211.1.0/24) के साथ कई सेवाएं हैं।



कई गंतव्य आईपी Microsoft सेवाओं के लिए हैं और एक संदिग्ध सेवा Sberbank_Antifraud 149.154.167.220 से जुड़ा है - यह एक टेलीग्राम मैसेंजर पूल IP So है, अब आप यह जांचना शुरू कर सकते हैं कि यह प्रक्रिया इस मशीन पर कैसे दिखाई देती है।

ठीक है, दूसरा तरीका .pbk फाइलों के साथ cmd / बैट-चालित वीपीएन कनेक्शन के बारे में है।



Rasphone के विपरीत, rasdial प्रक्रिया कमांड लाइन- या स्क्रिप्ट द्वारा संचालित वीपीएन कनेक्शन के लिए एक मार्कर है। चलो यहाँ rsdial सिंटैक्स की जाँच करें ss64.com/nt/rasdial.html और खोजने की कोशिश करें / फोन करें: FTK इमेजर का उपयोग करके मेमोरी डंप में पैरामीटर:



देखा! हमने फोनबुक फ़ाइल के लिए एक पूर्ण पथ पाया है (इसलिए, यदि इसे हटा दिया गया है तो आप इसे उत्कीर्ण करने का प्रयास कर सकते हैं), "extVPN" कनेक्शन के लिए एक .cmd स्क्रिप्ट और लॉगिन / पासवर्ड ("vpn", "vpn") का नाम। !

आगे के चरण रासोफोन के तरीके के समान हैं: "PhoneNumber =" पैरामीटर की तलाश में, वीपीएन सत्र ढूंढना और स्थानीय आईपी पते के साथ एक संदिग्ध सेवा।

ध्यान देने के लिए फिर से धन्यवाद! मैं जल्द ही एक नए अच्छे सामान के साथ वापस आऊंगा!