Advenimiento de Cyber ​​2022 — Día 2

Enlace :https://tryhackme.com/room/adventofcyber4

La historia

El Centro de Operaciones de Seguridad de Santa (SSOC) ha notado que uno de sus servidores web, santagift.shop , ha sido secuestrado por el grupo Bandit Yeti APT. La tarea de Elf McBlue es analizar los archivos de registro capturados del servidor web para comprender lo que está sucediendo y rastrear al grupo Bandit Yeti APT.

Objetivos de aprendizaje

En la tarea de hoy, usted:

Aprenda qué son los archivos de registro y por qué son útiles

Comprender qué información valiosa pueden contener los archivos de registro

Comprender algunas ubicaciones comunes en las que se pueden encontrar estos archivos de registro

Use algunos comandos básicos de Linux para comenzar a analizar los archivos de registro en busca de información valiosa

¡Ayuda a Elf McBlue a localizar el APT Bandit Yeti!

Aprendiendo materiales

Los contenidos de aprendizaje del día 2 se pueden encontrar en el enlace del evento:https://tryhackme.com/room/adventofcyber4

Práctico:

Para la tarea de hoy, deberá implementar la máquina adjunta a esta tarea presionando el botón verde "Iniciar máquina" ubicado en la parte superior derecha de esta tarea. La máquina debería iniciarse en una vista de pantalla dividida. Si no es así, deberá presionar el botón azul "Mostrar pantalla dividida" cerca de la parte superior derecha de esta página.

Usa el conocimiento que has adquirido en la tarea de hoy para ayudar a Elf McBlue a rastrear el APT Bandit Yeti respondiendo las siguientes preguntas.

Preguntas del día 2:

P: Asegúrese de estar conectado a la máquina implementable en esta tarea.

• Inicie la tarea haciendo clic en el botón "Iniciar máquina"

• ejecute el comando 'pwd', muestra que estamos en el directorio '/home/elfmcblue'.
• ejecute el comando 'ls', tenemos listas de archivos en el directorio, que nos ayudan a responder esta pregunta.

• podemos referirnos a nuestros hallazgos previos para responder a esta pregunta.

• podemos ejecutar 'cat xxx.log' para ver el contenido del archivo y los resultados pueden ser abrumadores.
• Por lo tanto, podemos utilizar 'grep' para filtrar los resultados no deseados.

• Intenté ejecutar los siguientes comandos, pero no encontré resultados de interés.
  > grep “travieso” xxxx.log
  > grep “agradable” xxx.log

• a continuación, ejecutar un comando grep en santa produce un resultado de interés
• No sé si este resultado es el correcto, y decidí intentarlo.

• Usé Google para señalar el día real y resultó ser la respuesta correcta.

P: ¿Cuál es el nombre de la lista importante que el atacante le robó a Santa?

• podemos referirnos a nuestros hallazgos previos para ambas preguntas.

• No se pudo encontrar ningún resultado de interés en el registro investigado actual.
• Sin embargo, pude encontrar la bandera en el otro archivo de registro.

• Otras salas de THM para aprender sobre registros.

Exploraré más a fondo el contenido de 'Registros de eventos de ventana' la próxima vez.