【CyberDefenders】PoisonedCredentials

問題

【問題文（翻訳）】
貴組織のセキュリティチームが、不審なネットワーク活動の急増を検出しました。ネットワーク内でLLMNR(Link-Local Multicast Name Resolution)およびNBT-NS(NetBIOSネームサービス)による中毒攻撃が発生している可能性があるという懸念があります。これらの攻撃は、ネットワークトラフィックを傍受し、ユーザーの認証情報を侵害するためにこれらのプロトコルを悪用することで知られている。ネットワークログを調査し、取得したネットワークトラフィックを調べることがあなたの任務です。

LLMNR/NBT-NS Poisoning攻撃とは？

一言でいうと、「Windowsネットワークの名前解決の仕組みを悪用して、偽の返事をする攻撃」

LLMNR/NBT-NSとは？

DNSに問い合わせても解決できないときに、同じネットワーク内のPCに問い合わせること。

LLMNR/NBT-NS

あなたのPC
   │
   │ 「fileserverってどこ？」
   │
   ├──────→ DNS
   │          │
   │          └─「知らない」
   │
   └──────→ ネットワーク全体
              「fileserver知ってる人いる？」

攻撃者がネットワーク内にいると

悪意を持った攻撃者が、同じネットワーク内にいると、LLMNR/NBT-NSが発生したときに、問い合わせてきたサーバになりすまします。

LLMNR/NBT-NS Poisoning

正規PC
  │
  │「fileserverどこ？」
  │
  ├────────────→ 他のPC
  │
  └────────────→ 攻撃者PC
                       │
                       │「俺だよ！」
                       ▼
                  攻撃者PC

このまま、攻撃者がなりすましたサーバにアクセスしようとすると、場合によってはNTLM認証に関する情報を送信してしまう。

解いていく

今回はリモートマシン内での操作らしい
Desktop/Start here/Artifact内のpcapファイルを使用する

Q1

シナリオで説明されたインシデントの文脈において、攻撃者は正規のマシンからの無害なネットワークトラフィックを利用して行動を開始した。IPアドレス192.168232.162を使用して、マシンが行った特定の誤入力されたクエリを特定できますか?

以下のフィルターを使用する

wireshark

ip.addr == 192.168.232.162 && llmnr

するとかなり絞られてくる

Info欄を見るとfileshareのタイポと思われるものがある。これが答えになる

A. fileshaare

Q2

ネットワークセキュリティインシデントを調査しています。徹底的な調査を行うには、不正な機械のIPアドレスを特定する必要があります。不正な存在として機能するマシンのIPアドレスは何ですか?

Q1で見た問い合わせに対して、返答しているアドレスを発見

A. 192.168.232.215

Q3

調査の一環として、影響を受けるすべての機械を特定することは不可欠です。不正なマシンから毒物反応を受けた2台目のマシンのIPアドレスは何ですか?

Q1で使用したフィルターのアドレス部分を攻撃者のIPアドレスにします。

wireshark

ip.addr == 192.168.232.215 && llmnr

同じようなやり取りをしているもう１台を発見。

A. 192.168.232.176

Q4

ユーザーアカウントが侵害された可能性があると思われます。これを評価するには、侵害されたアカウントに関連付けられたユーザー名を判定する必要があります。攻撃者が漏洩したアカウントのユーザー名は何ですか?

NTLM認証を含むパケットに絞るため、以下のフィルターを適用します。

wireshark

ntlmssp.auth.username

すると、該当パケットが一つだけに絞られる。

この状態でもuser名はわかる。

更に詳しく見てみると、しっかりユーザ名等を見つけることができる

A. janesmith

Q5

以下のフィルターを適用するとパケットが一つだけになる。

wireshark

ntlmssp.challenge.target_info

パケットの中身を見ると、発見できた。

A. ACCOUNTINGPC