Tường thuật Diễn tập An ninh mạng WhiteHat Drill 04

minh da dong tat ca cac port , va bat firewall roi -> tiep theo lam sao nua?

View attachment 2057

Bạn làm tiếp bước Phân tích mẫu đính kèm để lấy mẫu ransomware (Pha 2) nhé.

 

Trả lời Phase 4:
Đã thực hiện restore qua địa chỉ https://118.70.80.143:4443/!/#tailieu

 

Pha 2: tiền hành cô lập các port chỉ mở port 3389.
o Qua file “Diễn tập ANM – 1.doc”:

- File 1 bị lây nhiễm: 29/57

o Qua file “Diễn tập ANM – 2.doc”: -

- File 2 bị lây nhiễm: 10/57

 

Phân tích Key Public

 

Trả lời Phase 4:
Địa chỉ tấn công: http://118.70.80.143/
View attachment 2058

hay quá bạn ơi

 

Tools phân tích mã độc: Ollydbg, IDA… -> lay o dau vay?

 

Sở Thông tin và Truyền thông Phú Thọ báo cáo Phase 3
Phase 3: Phân tích và xử lý các thành phần độc hại.
• Phân tích hành vi file ransomware: Sử dụng phần mềm OllyDBG để phân tích file ransomware
o Phương thức mã hóa: CryptAcquireContextW, CryptGenRandom, CryptReleaseContext, CryptImportKey, CryptSetKeyParam, CryptGetKeyParam, CryptDecodeObjectEx, CryptImportPublicKeyInfo
o Mã hóa tất cả các file có định dạng: Mã hóa tất cả các định dạng file .text, .doc, .xls, .pdf, mp3, .zip.
o Các thư mục bị mã hóa: Thư mục Desktop, Dowload, Documents
o Các hành vi khác của mã độc:
Khởi tạo và kết nối tới thanh Registry và thực hiện liên tục kết nối tới máy chủ 118.70.80.143.
•Xử lý các thành phần độc hại:
- Sử dụng công cụ ProccessMonitor tiến hành xóa các Registry mà mã độc đã tạo.
- Xóa các file độc hại: Xóa các file ở thư mục C:Window/temp
Kết luận Ransomware được viết bởi Oleh yusohuk và tiến hành xóa bỏ các file trong đường dẫn.

 

ĐH Thái Nguyên: Pha 4

Ví BTC:1Fk7kTapWuCLTCmLR64kYBd9o8UkcNeE
Email [email protected]
IP: 118.70.80.143

Bổ sung, thay đổi các key:
HKEY_USERS\S-1-5-21-1547161642-507921405-839522115-1004
HKEY_USERS\S-1-5-21-1547161642-507921405-839522115-1004\SOFTWARE\Microsoft\Cryptography\Providers\Type 001
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\Microsoft Strong Cryptographic Provider
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager
HKEY_LOCAL_MACHINE\Software\Microsoft\Cryptography\Offload
HKEY_CURRENT_USER\Software\whitehatdrill

 

Tools phân tích mã độc: Ollydbg, IDA… -> lay o dau vay?

Các công cụ đó có bản quyền, nên bạn search Google và tự "tìm" nhé

 

Phase 4: Điều tra nguồn tấn công và khôi phục dữ liệu bị mã hóa

· Các thông tin về nguồn tấn công gồm:

o Email phát tán mã độc: [email protected]

o IP server chứa mã độc: 118.70.80.143

o Địa chỉ ví Bitcoin: 1Fk7kTapWuCLTCmLR64kYBd9o8UkcNeE

· Các bước khôi phục dữ liệu:

Xóa registry tại địa chỉ HKEY_CURRENT_USER/Software/whitehatdrill

Xóa File ransomware trong thư mục C:/Windows/Temp/ransomware.exe

Phục hồi dữ liệu bằng cách tải các tập tin từ https://118.70.80.143:4443/!/#tailieu chép vào thư mục C:\Users\Bkav\Documents\tailieu

 

Tools phân tích mã độc: Ollydbg, IDA… -> lay o dau vay?

http://tools.whitehat.vn/download

 

Phase 4:

Mail [email protected]
IP 118.70.80.143
Ví Bitcoin: 1Fk7kTapWuCLTCmLR64kYBd9o8UkcNeE

 

Phase 3: Phân tích và xử lý các thành phần độc hại.
· Phân tích hành vi file ransomware:

o Phương thức mã hóa: Thay đổi các file đuổi doc, 7z, mp3 (đều có đuôi .bam! ).

o Mã hóa tất cả các file có định dạng: doc .mp3 .7zip

o Các thư mục bị mã hóa: "canhac" va "hoctap"



Phase 4:
_Xác định nguồn gốc tấn công:
Từ Mail [email protected] , từ IP 118.70.80.143
Phục hồi dữ liệu bằng cách tải các tập tin từ https://118.70.80.143:4443/svn/tailieu chép vào thư mục C:\Users\Bkav\Documents\tailieu.

 

Drill_DHKHCNHN báo cáo phase 2

 

đội Drill_TTTTQuangNinh gửi kết quả báo cáo