Démêler l’attaque LLMNR – Tutoriel complet pour résoudre l’enquête sur Sherlocks Noxious

Recherche d’informations sur une cyberattaque avec Hack The Box

Dans cet article, nous nous intéressons à une solution proposée par Hack The Box pour résoudre le challenge de Cyberattaque Sherlocks Noxious de niveau “débutant”. Nous avons pour objectif d’analyser les traces d’une attaque visant un système d’exploitation Windows et un domaine AD à l’aide des protocoles LLMNR et SMB2.

Technologies abordées : Réseau, LLMNR, SMB, NTLM
Outils utilisés : Wireshark

Découverte des éléments de l’archive et des journaux

Dans le cadre de notre investigation, nous disposons d’un contexte et d’une archive à analyser. Nous suspectons une attaque suite à une alerte concernant un trafic LLMNR anormal. Nous devons identifier l’adresse IP malveillante et en savoir davantage sur l’incident.

Enquête numérique : le cas Noxious

Détecter une attaque LLMNR via le réseau

Nous découvrons qu’une attaque LLMNR a été utilisée et utilisons un filtre Wireshark pour analyser les réponses LLMNR émises par l’attaquant. Nous identifions l’adresse IP et le nom d’hôte de la machine malveillante.

Confirmation de la capture du hash utilisateur

En analysant les échanges sur le protocole NTLMSSP, nous retrouvons des tentatives de récupération du hash de l’utilisateur. Nous identifions le nom d’utilisateur concerné et la date à laquelle les identifiants ont été capturés.

Identification de la typo à l’origine de la fuite des identifiants

Grâce à des requêtes LLMNR émises par la victime, nous identifions une erreur de saisie qui a conduit à la divulgation des identifiants. Nous démontrons l’importance de la saisie correcte des noms d’hôtes.

Récupération de valeurs spécifiques dans les négociations NTLM

Nous examinons les échanges NTLM et identifions le challenge et la signature cryptographique envoyés entre la victime et l’attaquant. Nous testons la complexité du mot de passe et démontrons la rapidité de son craquage.

Recherche du partage de fichier visé par la victime

En analysant les échanges SMB2, nous parvenons à identifier le serveur cible du partage de fichier visé par la victime lors de l’attaque.

Conclusion

Cette analyse approfondie nous a permis de comprendre les différents éléments d’une attaque LLMNR poisoning et SMB Relay, ainsi que le fonctionnement de l’authentification NTLMv2. Pour approfondir vos connaissances, nous vous invitons à consulter nos articles spécialisés et à explorer davantage les techniques d’attaque et de défense en cybersécurité.

Source : www.it-connect.fr