0xMH

L1 분석가의 말에 따르면 "LD-Web" 서버에 수상한 코드 실행이 발견됐답니다. 로그인을 brute force 시도를 하다가 공격자가 성공적으로 로그인했나 봅니다. 공격자는 성공적으로 로그인한 다음에 시스템에 대한 정보를 얻고, 유저에게 어떤 권한이 있는지 어떤 윈도 그룹의 멤버인지를 확인했던 것 같습니다. 지속성을 확보하기 위하여 reverse_shell.exe라는 파일을 scheduled tasks에 추가했고 그 task는 매일 11시에 실행되는 것을 확인할 수 있습니다. 악성파일은 bitsadmin이라는 명령어로 다운로드됐습니다. 실행 중인 프로세스를 보니 위의 사실을 확인할 수 있습니다. 아울러 공격자가 통제하는 서버에서 reverse_shell.exe가 다운로드된 것도 확인할 수 있습니다. ..

Blue Team 2022. 7. 29. 19:32

SOC 주니어 분석가가 수상한 .war 파일이 발견됐다고 티켓을 올렸습니다. 분석에 넘어가기 전에 위에 있는 사진을 보고 분석에 도움이 될만한 정보가 있는지 봅시다. 1) 공격당한 서버는 tomcat이다. tomcat에 로그인하여 악성 war 파일을 올릴 수 있다. 파일로 원격 코드 실행 가능하다. 2) tomcat 유저 비밀번호 약해서 로그인이 가능했나 보다. 3) tomcat 로그파일부터 분석하자. 공격자가 다양한 명령어를 실행시켰던 것을 확인할 수 있습니다. 아울러 지속성을 확보하기 위해 새로운 유저를 (attacker) Remote Desktop User에 추가했습니다. process들을 보니 mimikatz가 보입니다. 공격자는 다른 유저들의 hash들을 탈취하고자 했을 것입니다. 먼저 tomc..

Blue Team 2022. 7. 23. 20:30

해킹하고 모의 침투가 재밌고 그 분야에 취직하고자 하는 사람들이 많지만 "공격 일자리"보다 "수비 일자리"가 더 많다는 것이 현실입니다. SOC 분석가부터 시작해서, 침해사고대응, 악성코드 분석가 등~ 당연히 해킹에 대한 지식이 도움이 되겠지만 네트워크와 민감한 정보를 보호할 줄 아는 사람에 대한 수요가 더 많습니다. 그러나 인터넷에 "정보보안 연습 방법"이라고 검색해보면 대부분 검색 결과는 "해킹 워게임, 암호학, pwn, 웹해킹, 리버싱 등등" 같은 것만 나옵니다. 그럼 블루팀 연습을 하고 싶다면 어떻게 하면 좋을까요? 요즘 TryHackMe에서 블루팀 콘텐츠 생기긴 했지만 오늘은 Letsdefend.io를 소개하고 싶습니다. 1. 가격 Letsdefend도 TryHackMe하고 HackTheBox와..

Blue Team 2022. 7. 15. 12:43

오늘도 BlueTeamLabs의 침해사고대응/Incident Response 랩을 하나 풀어보겠습니다. 랩마다 질문에 답하기 위해 필요한 tool이 다른데 오늘 wireshark .pcap 파일을 분석해 보겠습니다. 시나리오에 따르면 직원 "Josh Morrison"은 이메일 받았고 내용은 파일을 하나 다운로드하라는 말이었습니다. 아울러 SOC팀에 따르면 링크는 악성파일을 가리키는 링크였답니다. Wireshark는 HTTP을 비룻한 다양한 packet들을 캡처합니다. DNS, ARP, SMB, HTTP 등! 위에 시나리오에 "다운로드" "링크" 같은 힌트가 많으므로 HTTP 패킷 위주로 분석해야 할 것 같습니다. 1번-6번 질문: http 필터를 사용하기 때문에 HTTP 패킷만 뜨는데 그 중에 수상한 ...

Blue Team 2022. 6. 18. 17:48

저는 이 블로그에서 자주 hackthebox나 tryhackme 같은 해킹 실습 모의침투를 올리는데 오늘은 BlueTeam 실습 홈페이지를 소개해 드리고 싶습니다. https://blueteamlabs.online/ Blue Team Labs Online A gamified platform for cyber defenders to test and showcase their skills blueteamlabs.online Blueteamlabs도 hackthebox와 tryhackme하고 매우 비슷합니다. 침해사고대응, 디지털 포렌식, 악성코드 분석, 리버스 엔지니어링 등 다양한 문제들과 랩들을 풀 수 있습니다. 랩들은 investigation이라고 불리며 현재 88개가 있고 난이도도 다양합니다. 챌린지도..

Blue Team 2022. 6. 7. 16:57

제가 이 블로그를 시작했을 때 "정보 보안을 배우려면 가장 빠른 방법"에 대한 블로그를 쓰면서 TryHackMe라는 정보 보안 공부 홈페이지를 소개해 드렸는데, 오늘은 오랜만에 TryHackMe 실습 룸을 풀어 보겠습니다. 모의 침투 말고 오늘은 침대 사고 대응! ​ 위에 있는 사진을 보시면 오늘은 Splunk에 대해서 배울 것이라는 것을 아실 수 있습니다. Splunk는 블루팀이라면 Splunk 없이 못 살 정도로 중요한 소프트웨어입니다. 스플렁크가 무엇인지 간단하게 설명해 드리자면: IT 인프라 및 비즈니스를 구성하는 웹 사이트, 애플리케이션, 센서, 장치 등에서 수집된 기계 생성 데이터를 검색, 분석 및 시각화하는 소프트웨어 플랫폼입니다. ​ 제가 쓴 TryHackme 블로그를 읽으신 분들은 아시겠..

Blue Team 2022. 5. 20. 07:06