Aanval lijkt succesvol geweest te zijn, er is data naar een drop-server verzonden. We kunnen een aanname doen over de nationaliteit achter de aanval en ik heb tot nu 3 verschillende soorten encryptie gezien.
Op dit moment probeer ik uit te vinden wat ik met de verzamelde data kan doen. Gebruikte tools: wireshark, networkminer, hexeditor en notepad.
Na wat zoeken vind je een zip bestand dat geëncrypteerd is met blowfish. Verder ben ik nog niet.
Zit er iemand op een chat?
Tot nu toe:
urlsnarf -p UKCSC.pcap
Er wordt wat ge-POST.
nslookup naam_van_de_host
Filteren in Wireshark op het ip-adres.
In Wireshark export objects -> http en sla de bestanden op.
Via:
strings 911471965431764*lst
komt er meer informatie naar boven.
De exe ga ik natuurlijk niet zomaar starten. Zal wel weer een klus voor IDA worden.
Ik zit nogal muurvast.
In het pcap bestand wordt er een zip bestand verzonden naar de control server dat geëncrypteerd is via blowfish. De key waarmee wordt mee verzonden, maar is geëncrypteerd via een publieke rsa key.
Ik heb de private rsa key kunnen vinden via de modulus dat in de www.pwc.com website verborgen staat en heb zo blowfish key kunnen vinden.
Echter lukt het me niet om zip te decrypte met mijn key. Niet zeker dus als mijn key correct is of ik nog iets moet doen met die blowfish data.
Iemand verder?
C&C zit in ieder geval achter worldnews.it.cx
De gedecrypteerde key staat omgedraaid en het blowfish bestand is endianness en base64 encoded.
Ik heb nu 2 bestanden die mij op het eerste zicht niet veel zegt. Maar volgens deze tekst zou ik hiermee iets kunnen doen.
Ben ermee bezig, maar ik had alvast een tcpxtract erop gedaan en kreeg een hoop bestanden terug.
mkdir /root/output
tcpxtract -f UKCSC.pcap -o output/
Met een exiftool check op sommige bestanden bleek dat tcpxtract onjuiste bestand formaten aangaf, ik neem aan
dat dat eerder aan mijn n00b kennis ligt dan aan het programma.
Kreeg iig te zien (en te horen) dat er wat mp3 bestanden waren.
Zal verder spitten, altijd leuk die challenges als er maar wat hints komen ;)
- Je zal zien dat er een zip bestand verzonden wordt.
- Probeer dit zip bestand te openen
dat zou toch niet zo moelijk moeten zijn, maar als ik de base64 uit het bestand haal waar dat instaat ;
-----------------------------19790509
Content-Disposition: form-data; name="file"; filename="C:\Documents and Settings\o.smith1\My Documents\CQ Pharma Proposal.zip"
Content-Type: text/plain
oLlMa1nC6d8ghkF4SkoiLdWOofCF bla bla bla base64
base64 -d test.out > file.new
Hintjes ? :D
dan krijg ik geen bruikbare bestand.
Hintjes ? :D
Mijn probleem is eerder de rsa key; ik heb in de pcap een key en een c waarde gevonden (komen van de i-grasp.com site), zit ik hier goed mee superjohn?
Je moet zoeken naar de modulus van de rsa key. Dan moet je ook nog die 3 xor strings erop los laten.
Gebruik dan msieve om dan factoren te vinden. Want de key is 256 bits lang :)
Dan als je de factoren hebt, kan je decryptie sleutel maken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?