Уроки форензики. Расследуем кражу паролей KeePass на примере HTB Hunter

Нам пред­сто­ит прой­ти задание Hunter c ресур­са Hack The Box Sherlocks. Его уро­вень слож­ности — «безум­ный». Мы не будем давать готовых отве­тов на воп­росы в задании. Вмес­то это­го сос­редото­чим­ся на про­цес­се рас­сле­дова­ния, что­бы ты мог при желании пов­торить его сам и под­смот­реть в эту статью, если вдруг зай­дешь в тупик.

В опи­сании к инци­ден­ту ска­зано:

Ана­литик SOC получил пре­дуп­режде­ние о воз­можных ата­ках lateral movement и credential stuffing. Пос­ле ана­лиза алерт был под­твержден. У сетево­го сен­сора были проб­лемы с про­изво­дитель­ностью, поэто­му зах­вачен не весь тра­фик.

Для ана­лиза даны:

• дамп тра­фика;
• ар­хив с арте­фак­тами хос­та, соб­ранный ути­литой KAPE.

В про­цес­се ана­лиза запол­ним кар­точку инци­ден­та и сос­тавим Incident Response Plan (IRP) в IRIS.

Собираем информацию о системе

Для получе­ния информа­ции об име­ни ана­лизи­руемо­го хос­та вос­поль­зуем­ся ути­литой Hayabusa:

Ути­лита про­ана­лизи­рует события жур­налов Windows и пред­ложит нес­коль­ко вари­антов, с час­тотой их упо­мина­ния:

• Forela-Wkstn002.forela.local — 97 385 упо­мина­ний;
• DESKTOP-H72HB4B — 6861 упо­мина­ние;
• Forela-Wkstn002 — 6087 упо­мина­ний;
• FORELA-WKSTN002 — 4 упо­мина­ния.

Мо­жем пред­положить, что имя DESKTOP-H72HB4B было до вво­да машины в домен.

Боль­ше информа­ции мы получим из реес­тра, для это­го вос­поль­зуем­ся ути­литой RegRipper3.0 и пла­гина­ми.

winver

Вет­ка реес­тра:

Ко­ман­да:

Вы­вод:

networklist

Вет­ка реес­тра:

Ко­ман­да:

Вы­вод:

compname

Вет­ка реес­тра:

Ко­ман­да:

Вы­вод:

ips

Вет­ка реес­тра:

Ко­ман­да:

Ре­зуль­таты:

• до­мен — forela.local;
• хост — forela-wkstn002;
• IP — 172.17.79.131.

До­бав­ляем все най­ден­ное в IRIS.

Анализируем файл PCAP

Ана­лиз арте­фак­тов хос­та, безус­ловно, дает огромное количес­тво информа­ции о про­изо­шед­ших событи­ях, но я начал с прос­мотра тра­фика, что­бы понять, какие вза­имо­дей­ствия были с ана­лизи­руемой машиной.

Для ана­лиза PCAP-фай­ла я исполь­зовал ZUI и Wireshark.

Нач­нем с алер­тов сиг­натур опен­сор­сной IDS Suricata.