मेमोरी फोरेंसिक, रबर डक और जीपीओ पासवर्ड। समस्या को हल करने में r0ot-mi। भाग २

इस लेख में RAM के फोरेंसिक के उद्देश्य से किए गए कार्यों का समाधान है, USB रबर डक के लिए पेलोड को पार्स करना, साथ ही इंटरसेप्टेड विंडोज ग्रुप पॉलिसी पासवर्ड को डिक्रिप्ट करना।

भाग 1 - डिस्क फोरेंसिक, मेमोरी फोरेंसिक और लॉग फोरेंसिक। अस्थिरता की रूपरेखा और शव परीक्षा।

बदसूरत बत्तख का बच्चा

असाइनमेंट पर, हमें बताया जाता है कि सीईओ के कंप्यूटर को अंदर से समझौता किया गया था, और एक संदिग्ध फ़ाइल के साथ फ्लैश ड्राइव इंटर्न पर पाया गया था। यह फाइल हमें विश्लेषण के लिए दी गई है।

तथ्यों को एक साथ रखते हुए, और कार्य का नाम दिया गया, हम मान सकते हैं कि फ़ाइल तब लॉन्च की गई थी जब यूएसबी फ्लैश ड्राइव डिवाइस से जुड़ा था। यह एक USB रबर डकी हमले के समान है। इस फ़ाइल को पार्स करने के लिए हम DuckToolkit का उपयोग करेंगे ।



फाइल को डीकोड कोड के साथ देखते हैं। इसमें एक शंख है जिसे पॉवरशेल में लिखा गया है।



कोड को base64 में इनकोड किया गया है। आइए डिकोड करते हैं।



यह अनुमान लगाना आसान है कि यह कोड किसी फ़ाइल को डाउनलोड कर रहा है। दूसरा कोड इसे चलाता है।



फ़ाइल नाम को डिकोड करना हमें ध्वज का एक सीधा संकेत देता है।



मैंने कार्यक्रम लॉन्च किया (जो ऐसे मामलों में करने की आवश्यकता नहीं है) और एक झंडा मिला।

सक्रिय निर्देशिका - GPO

हमें सक्रिय निर्देशिका डोमेन में स्थित वर्कस्टेशन के बूट समय पर दर्ज ट्रैफ़िक का एक डंप दिया जाता है। कार्य: व्यवस्थापक पासवर्ड ढूंढें।

तारघर में एक यातायात डंप खोलें। संकुल की सामग्री के बीच पासवर्ड स्ट्रिंग खोजने के लिए Ctrl + F दबाएँ।



हम पैकेज पाते हैं। इसे डबल लेफ्ट क्लिक से खोलें।



सामग्री के अनुसार, हम कह सकते हैं कि हमें Group.xml फ़ाइल मिली, जिसमें एन्क्रिप्टेड पासवर्ड है। चलो इसे कॉपी करते हैं, इसके लिए, राइट-क्लिक करने के बाद, "प्रिंट करने योग्य पाठ के रूप में" चुनें।



फ़ाइल में दो उपयोगकर्ताओं के बारे में जानकारी है। आइए क्रिप्टोग्राफ को डिक्रिप्ट करें एन्क्रिप्शन विधि और कुंजी के बारे में जानकारी आधिकारिक Microsoft वेबसाइट पर यहां देखी जा सकती है ।



पासवर्ड को डिक्रिप्ट करने के लिए, मैं Cryptool (https://www.cryptool.org/en/ct1-downloads) का उपयोग करूंगा।

हमारे Base64 पासवर्ड को बॉक्स में पेस्ट करें और चुनें:
व्यक्ति। प्रक्रियाएं -> उपकरण -> कोड -> बेस 64 एनकोड / डिकोड -> बेस 64 डेकोड।

लेकिन जब हम डिकोड करने की कोशिश करते हैं, तो हमें यह चेतावनी मिलती है।



वांछित लंबाई तक ब्लॉक को समाप्त करने के लिए हमारे पाठ में = जोड़ें। डिकोडिंग दोहराएँ।



अब हम डिक्रिप्ट करते हैं: विश्लेषण -> सममित एन्क्रिप्शन (आधुनिक) -> एईएस (सीबीसी)। खुलने वाली विंडो में, 256 बिट्स की कुंजी लंबाई का चयन करें और कुंजी डालें।



नतीजतन, हमें डिक्रिप्ट किया गया पासवर्ड मिलता है।

कमान और नियंत्रण - स्तर 3

कार्य में, हमें रैम डंप में मैलवेयर खोजने के लिए कहा जाता है। हम अस्थिरता का उपयोग करेंगे। सिस्टम जानकारी के साथ शुरू करते हैं।



यह विंडोज 7 SP0 x86 का उपयोग कैसे किया जाता है। आइए एक पेड़ की संरचना में प्रक्रियाओं की सूची देखें।




एक बहुत ही संदिग्ध चीज है। ब्राउज़र कंसोल शुरू करता है। चलो लोड करने योग्य मॉड्यूल की सूची पर एक नज़र डालें। बहुत पहले एक निष्पादन योग्य फ़ाइल होगी।



मानक Microsoft ब्राउज़र System32 वातावरण में स्थित है, और यह कार्यक्रम उपयोगकर्ता के वातावरण में है। इसके अलावा, यह AVAST डीएल लाइब्रेरी का उपयोग करता है, जो सबसे अधिक संभावना है कि कार्यक्रम एंटीवायरस द्वारा अनिर्धारित होने में मदद करता है। यह पूर्ण पथ से md5 लेने के लिए बनी हुई है ...

कमांड एंड कंट्रोल - स्तर 4

हमें बताया जाता है कि मैलवेयर का उपयोग डेटा प्रसारित करने के लिए किया जाता है। कार्य सर्वर पता और पोर्ट को खोजना है।

अस्थिरता में डंप खोलें। चूंकि यह पिछली नौकरी से समान डंप है, इसलिए, हम सिस्टम के बारे में जानकारी जानते हैं। हम यह भी जानते हैं कि लक्ष्य सॉफ्टवेयर कमांड लाइन को लॉन्च करता है, इसलिए कमांड के इतिहास की जांच करना तर्कसंगत होगा। ऐसा करने के लिए, कंसोल मॉड्यूल हमारी मदद करेंगे। दो प्रक्रियाओं में से, हम पीआईडी ​​1616 में रुचि रखते हैं।



आदेशों के इतिहास से, कोई भी विभिन्न नेटवर्कों के बीच ट्रैफ़िक को पुनर्निर्देशित करने के लिए एप्लिकेशन के लॉन्च को एकल कर सकता है - tcprelay। इस एप्लिकेशन का उपयोग कंपनी के नेटवर्क में आंदोलन को अलग करने के लिए किया जा सकता है।

Conhost.exe एक ऐसी प्रक्रिया है जो विंडोज़ में विंडोज़ को सांत्वना देती है। यह विंडोज के पिछले संस्करणों की मूलभूत समस्याओं में से एक को हल करता है, जो कंसोल विंडोज को प्रबंधित करते समय स्वयं प्रकट होता है और विंडोज विस्टा में ऑब्जेक्ट को ड्रैग एंड ड्रॉप के संचालन को बाधित करता है।

हम conhost process को डंप करेंगे।



अब उन रेखाओं को देखें जो इसमें सम्‍मिलित होंगी। इनमें से, हम केवल उन शब्दों का चयन करते हैं जिनमें tcpdump शब्द होता है। इस प्रकार, हम पूरा कमांड पाते हैं जो कंसोल में निष्पादित किया गया था।



कमांड में हम एड्रेस और पोर्ट देखते हैं।

कमान और नियंत्रण - स्तर 6

हमें C & C सर्वर डोमेन खोजने के लिए कहा जाता है। चलो मैलवेयर से ही निपटते हैं। प्रक्रिया को डंप करें।



VirusTotal में ऐसे एनालिटिक्स हैं जो डोमेन दिखाते हैं।



नाम से, हम तुरंत वांछित को समझ जाएंगे।

आगे और अधिक जटिल ... आप टेलीग्राम पर हमसे जुड़ सकते हैं। वहां आप अपने स्वयं के विषयों का प्रस्ताव कर सकते हैं और निम्नलिखित लेखों के लिए विषयों की पसंद पर वोट कर सकते हैं।