---
# System prepended metadata

title: CyberDefender - MrRobot - POS
tags: [Endpoint Forensics, NTUSTISC, CyberDefender]

---

# CyberDefender - MrRobot - POS
Challenge: https://cyberdefenders.org/blueteam-ctf-challenges/88
Target 1: https://hackmd.io/@SBK6401/SkJAThwla
Target 2: https://hackmd.io/@SBK6401/HJz2FPne6

:::spoiler TOC
[TOC]
:::

## Lab - POS
### 起手式
```bash
$ volatility_2.6_win64_standalone.exe -f memory.dmp imageinfo
Volatility Foundation Volatility Framework 2.6
INFO    : volatility.debug    : Determining profile based on KDBG search...
          Suggested Profile(s) : Win7SP1x86_23418, Win7SP0x86, Win7SP1x86 (Instantiated with WinXPSP2x86)
                     AS Layer1 : IA32PagedMemoryPae (Kernel AS)
                     AS Layer2 : WindowsCrashDumpSpace32 (Unnamed AS)
                     AS Layer3 : FileAddressSpace (D:\NTU\CTF\CyberDefenders\c69-Grrcon2015\pos01\memory.dmp)
                      PAE type : PAE
                           DTB : 0x3ecde260L
             KUSER_SHARED_DATA : 0xffdf0000L
           Image date and time : 2015-10-09 12:52:56 UTC+0000
     Image local date and time : 2015-10-09 08:52:56 -0400
```
重要資訊System Name: 
### ==Q21==
> What is the malware CNC's server?
#### Background
[輕鬆理解什麼是 C&C 伺服器 原文網址：https://itw01.com/2G2BLEW.html](https://itw01.com/2G2BLEW.html)
> 通常我們在網路上看到的文章說 C&C 伺服器的 IP 地址或者域名，這裏的 C&C 伺服器說的就是上面的中轉伺服器，為什麼是中轉伺服器而不是本地主機呢？
> 那是因為中轉伺服器是惡意軟體和僵屍網絡的直連伺服器，是最直接接觸的伺服器，通常在惡意軟體分析或者僵屍網絡分析的時候首先分析出來的，所有控制者傳送的指令都是經過中轉伺服器傳送到目標伺服器的
#### Recon
看了前面的background就可以直覺想到應該是和網路的部分相關，那就是直接netscan看IP符合題目的提示
#### Exploit
我的想法是既然是類似webshell的操作，代表應該是能夠開webshell的process，剛好iexplorer.exe的IP
```bash
$ volatility_2.6_win64_standalone.exe -f memory.dmp --profile Win7SP0x86 netscan
Offset(P)          Proto    Local Address                  Foreign Address      State            Pid      Owner          Created
...
0x3e135df8         TCPv4    10.1.1.10:58751                54.84.237.92:80      CLOSE_WAIT       3208     iexplore.exe
...
```

:::spoiler Flag
Flag: `54.84.237.92`
:::
### ==Q22==
> What is the common name of the malware used to infect the POS system?
#### Recon
這一題又是新的觀念，本來以為會事和pslist之類的有關，但看了[^cyberdefender-mrrobot-wp]的說明才知道具體怎麼做，首先通過前一題，我們知道iexplore.exe的操作有點問題，但iexplore.exe應該是個沒啥問題的process，再者通過題幹可以知道他應該是被malware注入或是操到其他的攻擊，此時就可以把該process dump出來，但不是利用procdump而是要搭配malfind才對，因為如果用procdump他是直接把iexplore.exe dump出來，丟到virustotal八成是沒啥問題
#### Exploit
```bash
$ volatility_2.6_win64_standalone.exe -f memory.dmp --profile Win7SP0x86 malfind | findstr iexplore
Volatility Foundation Volatility Framework 2.6
Process: iexplore.exe Pid: 3208 Address: 0x50000
Process: iexplore.exe Pid: 3136 Address: 0x50000
$ volatility_2.6_win64_standalone.exe -f memory.dmp --profile Win7SP0x86 malfind --pid 3208 -D .\output
```
可以先看一下malfind的全部結果再決定要特別把哪一個process dump出來，丟到virustotal之後會看到八成是dexter這支trojan malware，詳細結果可以看[這邊](https://www.virustotal.com/gui/file/bf067ffc68f3f1c23bc3402e4494d83e738cc6e158c4f57176b4f5def412e056)，另外我還有看到ithome的這篇早期的文章，FYI，[PoS系統遭致Dexter木馬程式感染!鴻璟科技提供專業的安全對策](https://www.ithome.com.tw/pr/78499)

:::spoiler Flag
Flag: `dexter`
:::
### ==Q23==
> In the POS malware whitelist. What application was specific to Allsafecybersec?
#### Recon
這一題要找的是Allsafecybersec有哪些特別的應用程式，正確的操作是先把該process有使用到的dll dump出來，然後再sting search查看，不過看了[^cyberdefender-mrrobot-wp]的操作，也是可以直接把前一題的process dump出來的結果，string search看一下.exe有哪一些，如果要看嚴謹的版本可以看[^cyberdefender-mrrobot-wp2]，不過我是覺得這一題問的很奇怪就是了，看了半天也不知道要表達甚麼
#### Exploit
```bash
$ strings process.0x83f324d8.0x50000.dmp | grep '.exe'
allsafe_protector.exe
svchost.exe
iexplore.exe
explorer.exe
smss.exe
csrss.exe
winlogon.exe
lsass.exe
spoolsv.exe
alg.exe
wuauclt.exe
.exe;.bat;.reg;.vbs;
iexplore.exe
lHost.exe
```

:::spoiler Flag
Flag: `allsafe_protector.exe`
:::
### ==Q24==
> What is the name of the file the malware was initially launched from?
#### Background
```bash
$ volatility_2.6_win64_standalone.exe -h
...
                iehistory       Reconstruct Internet Explorer cache / history
```
#### Recon
因為前面都有提到此malware是透過注入ieplore.exe來達到C&C Server的目的，因此可以用iehistory這個plugin查看儲存在cache中的紀錄
#### Exploit
```bash
$ volatility_2.6_win64_standalone.exe -f memory.dmp --profile Win7SP0x86 iehistory
Volatility Foundation Volatility Framework 2.6
**************************************************
Process: 1836 explorer.exe
Cache type "DEST" at 0x510182b
Last modified: 2015-10-09 08:35:57 UTC+0000
Last accessed: 2015-10-09 12:35:58 UTC+0000
URL: pos@http://54.84.237.92/allsafe_update.exe
**************************************************
Process: 1836 explorer.exe
Cache type "DEST" at 0x5101b93
Last modified: 2015-10-09 08:35:57 UTC+0000
Last accessed: 2015-10-09 12:35:58 UTC+0000
URL: pos@http://54.84.237.92/allsafe_update.exe
```

:::spoiler Flag
Flag: `allsafe_update.exe`
:::
## Reference
[^cyberdefender-mrrobot-wp]:[MrRobot Walkthrough — Cyberdefenders](https://responderj01.medium.com/mrrobot-walkthrough-cyberdefenders-7694e3120897)
[^cyberdefender-mrrobot-wp2]:[CyberDefenders: Mr. Robot](https://beginninghacking.net/2022/05/20/cyberdefenders-mr-robot/)