Lettres volatiles

Catégorie: Forensic - Difficulté: Moyen

Fichier : Google Drive - Lettres volatiles

Description:

Solution:

Pour ce challenge, il faut d'abord réussir à trouver quelque chose d'intéressant parmi tout les fichiers présents dans le .zip. Pour ce faire nous pouvons utiliser la commande tree et voir l'arborescence de notre dossier dézippé :

Nous voyons donc que certains fichiers sont mis en avant avec des colorations différentes de celle des autres fichiers. Par curiosité nous allons checker les fichiers fl4g.svg et flag.png, qui bien entendu sont des fausses pistes mises ici pour nous piéger ^^

En remontant un peu plus, nous voyons un fichier s3cR37.zip. Quel nom spécial pour cacher quelque chose. En essayant de dézipper ce fichier, un mot de passe nous est demandé bien évidemment :

Nous testons avec John et la liste Rockyou mais ça ne matche pas...

Dans ce cas là, nous allons devoir regarder un peu plus les fichiers présents. En remontant un peu dans les résultats de la commande tree, nous voyons qu'il y a une image disque dans le dossier Documents/JumpBag nommée C311M1N1-PC-20230514-200525.raw.

Afin d'analyser cette image disque, nous allons utiliser l'outil Volatility 2 (et non la pas la V3 qui ne fonctionne pas très bien). Comme à chaque analyse de disque, il faut procéder par étapes :

1) Récupérer le profil (suggéré) de la machine :

Nous découvrons qu'il s'agit d'une Windows 7 ou 8 en version 64bits. Maintenant nous allons pouvoir réellement commencer les investigations.

2) Regarder les processus lancés et faire des recherches sur les "suspects" :

Ici pas de processus suspect, donc nous allons réfléchir à ce que nous cherchons pour essayer de trouver le bon endroit où chercher. Ici nous cherchons le mot de passe du fichier .zip trouvé plus tôt. Dans quoi pourrions nous le trouver ? Les logs du processus du programme des fichiers .zip (7-zip) ? Ce qui a été mis dans un bloc note ? Ce qui a été copié (presse-papier) ? Nous allons voir cela :

Rien à récupérer ici (dans un bloc note) :

Par contre dans ce qui a été copié (clipboard) nous pouvons voir quelque chose de très intéressant

Nous récupérons le mot de passe du fichier .zip précédent. Ce que nous pouvons faire maintenant c'est récupérer le pdf contenu dans le fichier .zip :

Nous voyons donc le contenu du pdf mais surtout le flag en bas de page.

404CTF{V0147i1I7y_W1Ll_N3v3r_Wr8_loV3_l3ttEr5}