[*] Holmes 2025 2: The Watchman's Residue - Walkthrough

1. What was the IP address of the decommissioned machine used by the attacker to start a chat session with MSP-HELPDESK-AI?

Aby odpowiedzieć na to pytanie, korzystamy z poniższego zapytania, które powinno pokazać nam logi sieciowe powiązane z chatem, jak sugeruje pytanie.

Po krótkiej analizie znajdujemy adres IP 10.0.69.34, który komunikuje się z innym adresem na porcie 1337, co wygląda dość nietypowo. Sprawdźmy ten adres dokładniej.

2. What was the hostname of the decommissioned machine?

Klikając Follow > TCP Stream możemy podejrzeć szczegóły komunikacji pomiędzy użytkownikiem a chatbotem.

Hostname maszyny w TCP Stream

3. What was the first message the attacker sent to the AI chatbot?

Pierwsza wiadomość atakującego

4. When did the attacker's prompt injection attack make MSP-HELPDESK-AI leak remote management tool info?

5. What is the Remote management tool Device ID and password?

6. What was the last message the attacker sent to MSP-HELPDESK-AI?

Prompt injection i wyciek danych RMM

7. When did the attacker remotely access Cogwork Central Workstation?

Logi połączeń TeamViewer

8. What was the RMM Account name used by the attacker?

9. What was the machine's internal IP address from which the attacker connected?

Prosty grep, który wyszuka dla nas adresy IP w logach:

Adres IP atakującego w logach

10. The attacker brought some tools to the compromised workstation to achieve its objectives. Under which path were these tools staged?

Przeszukujemy logi i tak jak podpowiada nam pytanie, możemy grepować po słowie Download i w końcu trafiamy na znany program mimikatz.

Lokalizacja narzędzi atakującego

11. The attacker staged a browser credential harvesting tool on the compromised system. How long did this tool run before it was terminated? (Provide your answer in milliseconds, rounded to the nearest thousand)

Wracamy do naszego pytania. Musimy znaleźć informację, jak długo wykorzystywane było narzędzie do dumpu haseł. Wykorzystując Registry Explorer, ładujemy plik ntuser.dat ze ścieżki: The_Watchman's_Residue\TRIAGE_IMAGE_COGWORKCENTRAL\C\Users\Cogwork_Admin_

Kiedy przejdziemy do Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist, trafimy na interesującą nas informację.

8s = 8000 milisekund

Analiza UserAssist w Registry Explorer

12. The attacker executed a OS Credential dumping tool on the system. When was the tool executed?

Szukamy informacji o wcześniej widzianym narzędziu, czyli mimikatz. Odpowiedź znajdziemy w USNJournal. Poniżej screen, jak wyciągnąć dane do formatu .csv

Eksport danych z USNJournal

I interesująca nas informacja:

Timestamp wykonania mimikatz

13. The attacker exfiltrated multiple sensitive files. When did the exfiltration start? (UTC)

Wracamy do znanych już nam logów TeamViewera i grepujemy po słowie 'Send file'. Pamiętamy o tym, aby dostosować czas do UTC (-1 godz).

Logi wysyłania plików przez TeamViewer

14. Before exfiltration, several files were moved to the staged folder. When was the Heisen-9 facility backup database moved to the staged folder for exfiltration?

Analizując nasz plik .csv i wyszukując po słowie Heisen-9, natrafimy na interesującą nas informację:

Timestamp przeniesienia bazy Heisen-9

15. When did the attacker access and read a txt file, which was probably the output of one of the tools they brought, due to the naming convention of the file?

Mając świadomość, że w systemie był wykonany program mimikatz, szukamy pliku .txt. Pytanie nr 10 może nam sugerować, że plik będzie się znajdować w folderze z pobranymi narzędziami.

Odczyt pliku z wynikami mimikatz

16. The attacker created a persistence mechanism on the workstation. When was the persistence setup?

Ponownie korzystając z Registry Explorera, analizujemy pliki znajdujące się w The_Watchman's_Residue\TRIAGE_IMAGE_COGWORK CENTRAL\C\Windows\System32\config_file

Następnie już w samym programie znajdujemy ścieżkę Microsoft/Windows NT/WinLogon

Dla czytelności skopiowałem do notatnika.

Natrafiamy na manipulację Userinit i plik JM.exe, który został pobrany na początku przez atakującego. Powoduje to, że za każdym razem kiedy użytkownik będzie logować się do systemu, plik JM.exe będzie wykonywany - w ten sposób atakujący uzyskał persistencję w systemie.

Manipulacja WinLogon - persistencja

17. What is the MITRE ID of the persistence subtechnique?

Powyższa technika to Autostart persistence.

18. When did the malicious RMM session end?

Poniższe nie wymaga objaśnienia :)

Zakończenie złośliwej sesji TeamViewer

19. The attacker found a password from exfiltrated files, allowing him to move laterally further into CogWork-1 infrastructure. What are the credentials for Heisen-9-WS-6?

Na sam koniec dochodzimy do bazy haseł programu KeePass. Na początek musimy wyciągnąć hash - wykorzystajmy program keepass2john - wynik zapisujemy do pliku.

Ekstrakcja hasha z keepass2john

Uruchamiamy program do łamania haseł, tym razem wybrałem John the Ripper, ale równie dobrze można wykorzystać np. hashcat.

Łamanie hasła KeePass z John the Ripper

Na samym końcu pozostaje nam wykorzystać hasło, aby dostać się do bazy. Ja wykorzystałem wersję kpcli, ale równie dobrze można skorzystać ze standardowej GUI.

Odczyt credentials z bazy KeePass