最初に
フォレンジックの統合ツールであるAutopsyを使ってみるＲｏｏｍに挑戦します！
初めて使うツールなので、Writeup見つつ頑張ろ、、、
補足：Autopsyがうまく動作しないところもあります。もしこうすればいいよ、などのご指摘があればお願いします。。。
Task1
起動して、Open Caseを選択
適当なCaseをつくった後もできます
Tryhackme.autを選択します！
What is the MD5 hash of the E01 image?
読み込ませたHASAN2.E01の、Summary>Container に記載があります
What is the computer account name?
Computer Account Nameが該当するかどうかは微妙ですが、Hostnameは下図から確認できます！
List all the user accounts. (alphabetical order)
ユーザーアカウントも下図で確認できます！
What was the IP address of the computer?
まず割り当てられているドライブをよく見てみると２，３，６の３つでそれぞれを見てみると、３がWindowsでした
Look@LANというネットワーク監視ツールをインストールしています。
このツールの初期化ファイルにIPアドレスが指定されいました
What was the MAC address of the computer? (XX-XX-XX-XX-XX-XX)
IPアドレスの下にNICの情報が-なしで記載されています
What is the name of the network card on this computer?
Autopsyの使い方がよくないのか、Writeupを参考にしてもレジストリ値が見れない、、、
Softwareを選択しても、Applicationタブが押せない。。。。
これはあきらめました、、、
What is the name of the network monitoring tool?
これは少し前に扱ったLook@LANですね
A user bookmarked a Google Maps location. What are the coordinates of the location?
Web Bookmarkの中を探していたら見つかりました！
A user has his full name printed on his desktop wallpaper. What is the user's full name?
Images/Videosから画像が見れず。。。
断念、、、
A user had a file on her desktop. It had a flag but she changed the flag using PowerShell. What was the first flag?
shreyaのアカウントのDesktopにパワーシェルファイルがあることは確認できたのですが、このユーザー自身のフラグを変更する内容ではない。。。
Writeupを見てみると、Powershellファイルの実行履歴（？）が見れるファイルがあるとのことで、そこを確認したら、記載がありました！
The same user found an exploit to escalate privileges on the computer. What was the message to the device owner?
これは先ほどのshreyaのDesktopにあったパワーシュルファイルの中に記載があります
2 hack tools focused on passwords were found in the system. What are the names of these tools? (alphabetical order)
これは正直、このツールを知らなかったです。。。
勉強不足・・・・
There is a YARA file on the computer. Inspect the file. What is the name of the author?
全体から.yarを含むファイルを検索しました。
そうすると、H454NのDesktopにYARAファイルがあると記載があります
実際のところ、Desktopにはなく、Downloadにあったのですが、ファイルの中身を確認したら、Authorの情報がありました！
One of the users wanted to exploit a domain controller with an MS-NRPC based exploit. What is the filename of the archive that you found? (include the spaces in your answer)
MS-NRPC based exploit ツールでGoogleで調べてみたところ、ZerologonなるMS-NRPCの脆弱性を悪用するツールがあるみたい
Zerologonで検索をかけたところ、sandhyaがダウンロードしていた形跡が見つかりました！
最後に
今回学んだことは以下２点です
- Autopsyを使いこなすことより、Windowsのフォレンジックの知識が重要
- ログに記載されているフォルダを信用しすぎない