Advent of Cyber día 1

El desafío propone pistas dentro de una historia. Las conclusiones de identidad valen dentro de ese escenario; fuera del laboratorio, un metadato aislado no basta para atribuir autoría.

Contexto histórico: recorrido de Advent of Cyber 2024. Las capturas y respuestas corresponden al ejercicio original.

Qué aplicamos:

• OPSEC y OSINT
• Herramientas como exiftool y comandos básicos

Objetivos:

• Investigar links maliciosos
• Aprender sobre OPSEC
• Aprender sobre rastreo para atribuir identidades en las investigaciones

---

Comienzo

Para resolver este desafío debemos iniciar la máquina y el attackbox. De la máquina, accedemos a la dirección IP que se nos proporciona: La página se nos presenta como un clásico conversor de youtube. Según la narrativa del desafío, este tipo de páginas se nos presentan con una sola función: descargar y/o convertir videos a otro formato. Este tipo de páginas, sin embargo, suelen ser usados de forma maliciosa.

Probemos a descargar una canción y ver qué sucede. El zip contiene los siguientes archivos: Podemos notar varias cosas extrañas: El primer archivo:

• Tiene una falta ortográfica (soMg), su tamaño es de bajísimo para una canción y la fecha de modificación no coincide, lo que nos da una pista para investigar. La marca de tiempo de un ZIP puede conservarse o manipularse: no demuestra por sí sola cómo se produjo el archivo. El segundo archivo:
• Tiene el mismo tema con la fecha de modificación, todo lo demás aparenta estar en orden.

Para determinar su contenido, podemos utilizar el comando file que nos entrega información del archivo. Abrimos la terminal, nos dirigimos a la carpeta donde descomprimimos y ejecutamos el comando. El archivo song.mp3 no aparenta tener nada raro, es un archivo de audio. Sin embargo, el archivo somg.mp3 nos muestra que en realidad es un archivo de atajo de windows, apunta a un archivo en particular y lo más importante: tiene argumentos de línea de comandos, eso indica un atajo con argumentos de ejecución, no que el archivo .lnk sea por sí mismo un script.

Utilicemos exiftools para investigar más a fondo: exiftool somg.mp3 Con esto podemos ver que es un archivo .lnk (atajo), que apunta a abrir powershell.exe y le entrega diversos argumentos:

• -ep Bypass solicita la política de ejecución Bypass para ese proceso y -nop evita cargar el perfil. No deshabilitan toda la seguridad de Windows ni garantizan evadir Defender
• DownloadFile nos trae un archivo desde internet, en este caso descarga IS.ps1 desde esta ruta.
• Posteriormente es ejecutado.

Si descargamos el archivo en cuestión y revisamos el contenido del script nos encontramos con esto: Básicamente su función es robarse la información de las cryptowallets y mandarlo a un servidor. Por alguna razón, el culpable lo firmó: M.M

Ahora qué?

Pudimos notar que el archivo se descargaba desde github. Así que quizás podriamos empezar por ahí. Buscamos Created by the one and only M.M. en github.

(Por supuesto que la gente lo ha copiado...) Pero, al menos sabemos que hay una persona llamada MM entre ellas. Hay varias conversaciones interesantes en este lugar pero con esto nos basta:

Tenemos nuestra primer hit.

OPSEC

Operational Security (OPSEC) son principios y tácticas utilizadas para proteger la seguridad de un operador o de una operación. Como el uso de nombres claves o el uso de proxys. En la ciberseguridad, cuando un actor malicioso falla en esto puede llegar a exponer su identidad, como ha ocurrido en algunos casos famosos como el de AlphaBay, un sitio de intercambios ilegales en la darknet, donde documentos judiciales vincularon a Alexandre Cazes mediante varias evidencias, entre ellas un correo personal incluido en mensajes de AlphaBay. No fue una identificación basada en una única coincidencia. DOJ, demanda de decomiso.

Algunas de las fallas de OPSEC:

• Reutilizar correos, nombres de usuario o nombres de cuentas en múltiples plataformas
• Usar metadatos identificables y rastreables en documentos o fotos donde se podría revelar información de GPS, fechas, etc.
• Postear en foros públicos de fácil acceso (como en este caso) donde se podría comprometer la identidad
• Exponer datos no previstos por un modelo de amenaza. Usar VPN o proxy no garantiza anonimato ni evita correlaciones de identidad

Lo que aquí realizamos es un ejemplo sencillo de OSINT. El ejemplo no permite estimar con qué frecuencia ocurren esos errores fuera del laboratorio.

Ya con esto, podemos responder las preguntas que nos presenta TryHackMe:

• ¿Quién es el autor real de la canción song.mp3?
  • Para ello debemos utilizar exiftools
• El script envía la información a un servidor C2 (Command and Control Server), ¿cuál es la url?.
  • Esto aparece en el comando
• ¿Quién es M.M.?
  • Debemos revisar su perfil de Github, en él encontraremos la respuesta
• ¿Cuántos commits se realizaron el repo del issue?
  • Revisar el repositorio original de Bloatware-WarevilleTHM

---

Con esto completamos el desafío del día 1

Ahora, vamos al Advent of Cyber día 2.

Referencia de los parámetros: Microsoft, powershell.exe.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi]                      |
| SEAL: sha256/12: b8f9b100ad2b          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+