Hack the Box - Sherlocks : solution de Campfire-1

Mickael Dorigny - ITConnect - 26/11
Vous avez besoin d’aide pour le challenge Sherlocks Campfire-1 du site Hack the Box ? Voici nos explications détaillées et une solution dans ce writeup Campfire-1.

Sommaire

  • I. Présentation
  • II. Découverte de l'archive et des journaux
  • III. Investigation numérique : le cas Campfire-1
    • A. Kerberoasting
    • B. Analyse de l'activité du poste utilisateur
  • IV. Notions abordées
  • V. Conclusion

I. Présentation

On se retrouve dans cet article pour une nouvelle solution de l'un des challenges d'investigation numérique/forensic nommés Sherlocks et mis à disposition par la plateforme Hack The Box. Dans cet article, nous allons détailler la démarche qui permet de résoudre le Sherlocks Campfire-1, de difficulté "débutant". Il s'agit d'investiguer sur les traces d'une cyberattaque ciblant un système d'exploitation Windows et un domaine AD.

Cet article sera notamment l'occasion de comprendre comment peut se dérouler concrètement une cyberattaque, et quels sont les modes opératoires des attaquants et des analystes en cybersécurité. Je vais ici vous détailler la marche à suivre en utilisant le langage KQL du SIEM ELK (ElasticSearch, Logstash, Kibana), cela vous permettra de voir son utilisation dans un contexte réaliste.

Lien du challenge : Hack The Box - Sherlocks - Campfire-1

Cette solution est publiée en accord avec les règles d'HackThebox et ne sera diffusée que lorsque le Sherlocks en question sera indiqué comme "Retired".

Technologies abordéesWindows, EVTX, prefetch, Kerberos, Rubeus
Outils utilisésELK, KQL, PECmd

Retrouvez tous nos articles Hack The Box via ce lien :

  • IT-Connect - Articles Hack The Box

II. Découverte de l'archive et des journaux

Dans le cadre de l'investigation, un contexte et une archive sont mis à notre disposition :

Nous sommes donc en charge de la réalisation d'une investigation numérique suite à la découverte par un utilisateur de fichiers étranges sur son poste. L'archive fournit contient q...
[Courte citation de 8% de l'article original]