# Baby_4

## Challenge


## Solution

Sau khi kiểm tra, mình nhận ra file được cho là 1 file Windows Minidump (tức là được dump từ 1 process đang chạy trên window)


Nên mình đã sử dụng tool để kiểm tra xem tiến trình đang làm gì. Mình có thấy trong module có 1 cái tên là "CobaltStrike.exe" nên đã analysis nó. Sau đó tìm theo string thì có thấy 1 cái là "Congratulation"


Lục tìm thì có thấy string này được gọi trong 1 hàm


Hàm này được gọi đến từ 1 hàm khác của CobaltStrike


Ngồi phân tích 1 lúc, mình có thấy tại hàm này, rất có rất nhiều offset và được gọi đến


Thấy có sự xuất hiện của những từ như "AES","ChainingModeECB",... mình đã phỏng đoán các offset được gọi đến sẽ liên quan đến các API có liên quan đến việc encrypt


Và nó đúng là thế thật. Nên mình đã ngồi để lần mò và có tìm được key được lưu tại [ebx+0Ch] hay cũng như byte_4644FC (Vì có sử dụng hàm memcpy). Đủ 16 bytes


Và ngay bên dưới, việc decrypt được thực hiện


Dữ liệu được decrypt chính là dữ liệu tại offset "unk_4643F8"


Có key rồi, có dữ liệu bị encrypt rồi, nên mình tự thực hiện việc decrypt trên Cyberchef và thành công lấy được flag


Flag: `ASCIS{H4v3_Y0u_7ri3d_u5ing_57RINg5_0N_M3M0RY_dUmp}`