Comment résoudre le challenge Sherlocks Campfire-1 sur Hack The Box : Guide complet

Investigation numérique : résolution du challenge Sherlocks Campfire-1

Dans cet article, nous allons nous pencher sur la résolution du challenge Sherlocks Campfire-1 proposé par la plateforme Hack The Box. Il s’agit d’une investigation numérique visant à comprendre une cyberattaque ciblant un système d’exploitation Windows et un domaine AD. Nous détaillerons les étapes à suivre pour résoudre ce challenge en utilisant le langage KQL du SIEM ELK.

Découverte de l’archive et des journaux

Une archive contenant des journaux provenant du contrôleur de domaine et du poste utilisateur, au format “.evtx”, ainsi que les fichiers prefetch du système concerné est mise à notre disposition pour cette investigation numérique. Pour traiter ces fichiers efficacement, nous les importons dans une instance ELK en suivant une procédure spécifique. L’analyse nécessite une prise en compte de la timezone pour éviter tout problème de décalage dans les timestamps des logs.

Investigation numérique : le cas Campfire-1

Nous débutons notre enquête en analysant l’activité de Kerberoasting à partir des logs du contrôleur de domaine. En identifiant les événements 4769 correspondants à cette attaque, nous parvenons à déterminer la date, l’heure, le service ciblé et l’adresse IP du poste à l’origine de l’attaque.

En poursuivant notre analyse, nous examinons les logs PowerShell et les fichiers prefetch du poste utilisateur pour identifier le fichier utilisé pour énumérer les objets de l’Active Directory. Nous retrouvons également le chemin complet de l’outil Rubeus.exe utilisé pour lancer l’attaque de Kerberoasting. Les fichiers prefetch se révèlent être des éléments précieux pour retracer l’exécution des binaires sur un système Windows.

Notions abordées

Cette enquête nous a permis de mettre en pratique l’utilisation du SIEM ELK pour l’analyse des logs Windows, ainsi que l’importance des fichiers prefetch dans la traçabilité des exécutions de binaires. Nous avons également brièvement évoqué le framework ATT&CK du MITRE, un outil précieux pour la détection et la mitigation des attaques.

Conclusion

Ce challenge nous a donné l’opportunité de se familiariser avec l’utilisation d’ELK et de l’outil PECmd dans une situation d’investigation numérique. Confrontés à une cyberattaque réaliste, nous avons pu appliquer ces outils pour résoudre le cas Campfire-1. Il est essentiel de garder à l’esprit que dans des conditions réelles, l’investigation nécessite souvent de démarrer avec peu d’informations. Le partage d’avis et d’expériences est encouragé pour favoriser l’apprentissage et l’échange au sein de la communauté.

Source : www.it-connect.fr