YeoPEVA

cfreds hacking case Part 1. 시나리오 본문

#Forensic/시나리오-문제-풀이

cfreds hacking case Part 1. 시나리오

YeoPEVA 2020. 3. 12. 16:26

Cfreds-hacking-case Part.1

Created: Dec 20, 2019 6:45 PM
Tags: cfreds

Hacking Case

분석 목적 및 목표

2004년 9월 20일에 일련번호가 #VLQLW인 Dell Cpi 노트북이 무선 PCMCIA 카드와 수제 820.11b 안테나와 함께 버려진 채로 발견되었음.

해당 컴퓨터는 해킹 용의자인 그레그 샤르트와 관련지을 수는 없지만, 해킹 목적으로 사용됐다는 의심을 받고 있으며, 샤르트는 또한 Mr. Evil 이라는 온라인 별명을 가자고 있으며, 그의 일부 동료들은 그가 무선 액세스 포인트(스타벅스 혹은 그 외 T-Mobile 핫 스팟과 같은) 근처에 그의 차량을 주차하고 인터넷 트래픽을 가로채서 신용카드 번호 및 사용자 이름, 그리고 비밀번호와 같은 정보를 얻고자 했다고 전함.

해킹 소프트웨어, 사용 증거 및 생성되었을 수 있는 모든 데이터를 찾고, 의심스러운 사람, G=r=e=g S=c=h=a=r=d=t에 컴퓨터를 묶어 보십시오.

그레그 샤르트의 악의적인 행의를 증명해야함

  • 악의적인 프로그램과 관련된 흔적 / 아티팩트
  • 인터넷 트래픽 | 피해자와 관련된 정보
  • 무선 액세스 포인트 | 수집 흔적

문제 리스트 [1 ~ 31]

    1. What is the image hash? Does the acquisition and verification hash match?
    1. What operating system was used on the computer?
    1. When was the install date?
    1. What is the timezone settings?
    1. Who is the registered owner?
    1. What is the computer account name?
    1. What is the primary domain name? | todo list +
    1. When was the last recorded computer shutdown date/time?
    1. How many accounts are recorded (total number)?
    1. What is the account name of the user who mostly uses the computer? [컴퓨터를 주로 사용하는 사용자의 계정 이름은?]
    1. Who was the last user to logon to the computer? [컴퓨터에 마지막으로 로그온한 사용자가 누구였습니까?]
    1. A search for the name of “G=r=e=g S=c=h=a=r=d=t” reveals multiple hits. One of these proves that G=r=e=g S=c=h=a=r=d=t is Mr. Evil and is also the administrator of this computer. What file is it? What software program does this file relate to?
    1. List the network cards used by this computer [이 컴퓨터에서 사용하는 네트워크 카드 나열]
    1. This same file reports the IP address and MAC address of the computer. What are they?
    1. An internet search for vendor name/model of NIC cards by MAC address can be used to find out which network interface was used. In the above answer, the first 3 hex characters of the MAC address report the vendor of the card. Which NIC card was used during the installation and set-up for LOOK@LAN? [MAC 주소에 의한 NIC 카드의 벤더 이름/모델에 대한 인터넷 검색은 어떤 네트워크 인터페이스가 사용되었는지 알아내는 데 사용될 수 있다. 위의 답변에서 MAC 주소의 처음 3개의 16진수 문자는 카드의 판매업자를 보고한다. LOOK@LAN 설치 및 설정 중에 사용된 NIC 카드]
    1. Find 6 installed programs that may be used for hacking.[해킹에 사용될 수 있는 6개의 설치된 프로그램을 찾아라.]
    1. What is the SMTP email address for Mr. Evil? [Evil씨의 SMTP 이메일 주소는?]
    1. What are the NNTP (news server) settings for Mr. Evil? [Evil 씨에 대한 NNTP(뉴스 서버) 설정 내용]
    1. What two installed programs show this information?
    1. List 5 newsgroups that Mr. Evil has subscribed to? [Mr. Evil이 가입한 5개의 뉴스 그룹을 나열하세요.]
    1. A popular IRC (Internet Relay Chat) program called MIRC was installed. What are the user settings that was shown when the user was online and in a chat channel? [인기 있는 IRC(Internet Relay Chat) 프로그램인 MIRC(인터넷 릴레이 채팅)가 설치되었는데, 사용자가 온라인에 있을 때, 채팅 채널에 있을 때 보여졌던 사용자 설정은 무엇인가?]
    1. This IRC program has the capability to log chat sessions. List 3 IRC channels that the user of this computer accessed.[이 IRC 프로그램은 채팅 세션을 기록할 수 있는 기능을 가지고 있다. 이 컴퓨터의 사용자가 액세스한 3개의 IRC 채널을 나열하십시오.]
    1. Ethereal, a popular “sniffing” program that can be used to intercept wired and wireless internet packets was also found to be installed. When TCP packets are collected and re-assembled, the default save directory is that users \My Documents directory. What is the name of the file that contains the intercepted data?
    1. Viewing the file in a text format reveals much information about who and what was intercepted. What type of wireless computer was the victim (person who had his internet surfing recorded) using? [파일을 텍스트 형식으로 보면 누가 무엇을 가로챘는지 많은 정보가 드러난다. 피해자(인터넷 서핑을 녹음한 사람)는 어떤 종류의 무선 컴퓨터를 사용했는가?]
    1. What websites was the victim accessing? [피해자는 어떤 웹사이트에 접속하고 있었는가?]
    1. Search for the main users web based email address. What is it? [26. 주요 사용자 웹 기반 이메일 주소를 검색하십시오. 그것은 무엇입니까?]
    1. Yahoo mail, a popular web based email service, saves copies of the email under what file name
    1. How many executable files are in the recycle bin? [휴지통에 실행 파일이 몇 개 있는가?]
    1. Are these files really deleted? [해당 파일들은 정말 삭제되었는가?]
    1. How many files are actually reported to be deleted by the file system? [파일 시스템에서 실제로 삭제된 파일은 몇 개인가?]
    1. Perform a Anti-Virus check. Are there any viruses on the computer? [안티바이러스 검사를 수행하십시오. 컴퓨터에 바이러스가 존재합니까?]

'#Forensic > 시나리오-문제-풀이' 카테고리의 다른 글

Cfreds-hacking-case Part.4 [END / Result]  (0) 2020.03.12
Cfreds-hacking-case Part.3 [16~31]  (0) 2020.03.12
cfreds hacking case Part.2 [1~15]  (0) 2020.03.12
Crescendo Event Log 풀이  (2) 2019.04.13
CTF-D | 제 친구의 개가 바다에서…  (2) 2018.08.31
'#Forensic/시나리오-문제-풀이' Related Articles more