7 novembre 2024

Krusell France

Ta dose d'actu digital !

Découvrez comment résoudre le challenge Sherlocks Tracer sur Hack The Box !

Hack the Box - Sherlocks : découverte et solution de Tracer
Rate this post

Investigation numérique : résoudre le défi Sherlocks Tracer

Dans cet article, nous abordons la résolution d’un des challenges d’investigation numérique/forensic intitulé Sherlocks et proposé par Hack The Box. Nous allons nous concentrer sur la méthodologie pour résoudre le Sherlocks Tracer, destiné aux débutants. L’objectif est d’analyser les traces laissées par une cyberattaque visant un système d’exploitation Windows.

Découverte de l’archive et des journaux

En tant qu’analyste SOC, nous disposons de plusieurs traces à analyser, notamment des alertes indiquant l’utilisation de l’outil PsExec depuis le poste utilisateur ciblé. PsExec, un outil légitime de Microsoft, est souvent détourné par les attaquants pour des actions malveillantes. L’archive contient près de 400 fichiers répartis dans 8 dossiers, principalement des fichiers “.evtx” et “.pf”. Nous nous concentrerons sur les fichiers “.evtx”, qui sont des fichiers de logs.

Investigation numérique : le cas Tracer

La première étape consiste à détecter l’utilisation de PsExec en utilisant l’outil Zircolite. En analysant les logs Sysmon avec Zircolite, nous identifions que PsExec a été exécuté 9 fois. Nous recherchons ensuite le nom du fichier service déposé par PsExec, clé pour comprendre l’exécution distante de commandes.

Nous passons ensuite à la visualisation de la timeline de l’attaque avec Zircolite, en ciblant des événements spécifiques créés par PsExec. Nous recherchons également des détails tels que le nom du système utilisé par l’attaquant, le nom complet du fichier clé créé par PsExec lors de la 5ème exécution, ainsi que le nom du Named Pipe terminant par “stderr”.

Notions abordées

Ce processus d’investigation nous a permis de mettre en pratique des concepts importants de cybersécurité, en comprenant le fonctionnement de PsExec, l’utilisation de Zircolite et des règles Sigma, ainsi que le traitement de données JSON complexes avec JQ. Nous avons également souligné l’importance des journaux Sysmon dans une enquête numérique.

Au final, la résolution de ce challenge nous a permis de développer nos compétences en investigation numérique et en analyse de traces d’attaques.

Source : www.it-connect.fr

  • julien castex redacteur tech

    Julien est un journaliste tech polyvalent avec une expérience couvrant divers aspects de la high tech, en passant par les smartphones et l'Intelligence Artificielle. Il écrit sur les dernières tendances technologiques, les startups et les projets innovants ainsi que les impacts de la technologie sur la société.

    Voir toutes les publications