Windows Forensics CTF

15 Μαΐου 2024. Το SOC λαμβάνει μια αναφορά από μια χρήστρια: έλαβε ένα email που την ενημέρωνε για αυτόματη χρέωση συνδρομής 349,99$, την οποία δεν είχε ποτέ αγοράσει. Είχε μόνο 24 ώρες για να ζητήσει επιστροφή χρημάτων, οπότε κάλεσε τον αριθμό του μηνύματος.

Της ζήτησαν να εγκαταστήσει ένα «εργαλείο» ώστε να ακυρωθεί η χρέωση. Μισή ώρα αργότερα, ένας συνάδελφος τη συμβούλεψε να το αναφέρει αμέσως.

Το μηχάνημα απομονώθηκε και συλλέχθηκαν τα artifacts του. Δεν υπάρχει SIEM ούτε καταγραφή δικτύου: έχεις μόνο τα ίχνη που άφησαν όλα πάνω στο ίδιο το σύστημα.

Η αποστολή σου: με τεχνικές ψηφιακής εγκληματολογίας (digital forensics) να ανασυνθέσεις βήμα προς βήμα τι συνέβη, ποιος ήταν ο χρήστης, τι κατέβηκε, τι εκτελέστηκε και πώς κρατήθηκε η πρόσβαση. Κάθε απάντηση βρίσκεται μέσα στα δεδομένα.

Τι θα εξασκήσεις

• Ανάλυση συστήματος αρχείων NTFS ($MFT, USN Journal)
• Event Logs των Windows, Sysmon και PowerShell
• Registry και μηχανισμοί persistence
• Ιστορικό περιήγησης και λήψεις
• Artifacts εκτέλεσης (Prefetch, UserAssist) και αναζήτηση απειλών (threat hunting)

Πώς παίζεις

• Ανάλυσε τα πειστήρια με τα εργαλεία της επιλογής σου.
• Οι ώρες είναι σε UTC, εκτός αν ζητείται κάτι άλλο.
• Η μορφή κάθε flag αναγράφεται στην άσκηση (π.χ. FLAG{...}).
• Τα hints κοστίζουν πόντους. Χρησιμοποίησέ τα όταν κολλήσεις.

Καλή επιτυχία!