LetsDefend-C-AS-REP Challenge

DFIR-Medium

https://app.letsdefend.io/challenge/as-rep-challenge

本次挑戰的情境是安全團隊從 DC 收到告警，指出有使用者正在發出異常的 Kerberos 票證請求，這並不符合該使用者日常行為。符合潛在的惡意特徵，安全團隊將此事件升級。

而我們接手的任務是分析 DC 所提供的 log 與工作站 log，追蹤攻擊者的行動軌跡、判斷異常行為的來源，並了解攻擊者是如何取得存取權限，以及在環境內可能執行了哪些行為。

證物：

1. While reviewing the logs, Janice identified suspicious Kerberos ticket requests, potentially indicating an AS-REP attack. What is the exact time this attack occurred?

此次調查是針對 AS-REP 攻擊，而該攻擊是針對 「不需要 Kerberos 預先認證 (Do not require Kerberos preauthentication)」 的漏洞，所以首先調查 DC 的 security log Event ID =4768，並專注檢查幾個關鍵要素

• 關鍵欄位： 檢查 「預先驗證類型 (Pre-Authentication Type)」。若該欄位值為 0 (None)，代表該請求未使用預先認證。
• 異常頻率： 短時間內單一 IP 對多個帳號請求 TGT，或是不尋常的來源主機發起這類請求。
• 加密類型 (Ticket Encryption Type)： 留意弱加密演算法（如 RC4, 類型 0x17），這會大幅降低攻擊者離線破解的難度。

搜尋 4768 ，並查詢字串 0x17 ，發現該筆記錄

從這筆 log 中我們就可以發現許多非常珍貴的資訊，

• 時間
• IP
• 目標帳戶
• SID
• 加密驗算法

2. What user account did the attacker target during this Kerberos attack?

同題目 1

3. What is the SID associated with the targeted user account?

同題目 1

4. What encryption algorithm was used in this Kerberos ticket request?

同題目 1

5. What is the IP and port number that was used to request the ticket?

(Answer Format: IP:Port)

同題目 1

6. The attacker managed to crack the hash and used it to log into the compromised machine. When was their first logon attempt?

知道成功獲得憑證的時間為 2024-10-05 14:42:44，接下來搜尋在這時間之後來自可疑 IP 192.168.110.129 的 Corrado 最早成功登入記錄，LogonType=3 顯示為網路登入 (這邊要注意檢視的 log)

7. Once inside, the attacker began exploring the system. What was the first command they executed?

我先查看 ID= 4688 但沒有發現資料，轉查看 prefetch 檔案，可以發現第一個 cmd 執行的執行檔

8. When did the attacker execute this command exactly?

要知道執行的詳細時間，我們需要解析 .pf 檔案的內容，一般來說直接 -f .pf 檔就可以看到檔案的資訊了

但我還是習慣將檔案轉成 csv 再用 Time Explorer 檢視

本次的挑戰就到此結束，基本上就是一個練習 AS-REP 攻擊的機器，只要知道該攻擊的邏輯還有調查方向，整體上來說蠻容易的。