اقرأ بالعربيةEN
Menu

Retour à l’Académie

CLR-5 · Lab pratique · Hardcore ·environ 35 min

Chasse aux menaces : le battement régulier

Aucune alerte. Fouille une journée de requêtes DNS pour trouver un hôte qui appelle chez lui à intervalle parfait, identifie son domaine de command-and-control, mesure l’intervalle et décode les données cachées dans le sous-domaine.

La mission

Aucune alerte ne s’est déclenchée. C’est justement là que la chasse prend son sens : tu formes une hypothèse et tu vas chercher dans les données ce qu’aucune règle n’a encore attrapé.

Ton hypothèse du jour : un hôte du sous-réseau Finance (192.0.2.0/24) fait du beaconing — un malware qui contacte son serveur de command-and-control (C2) à intervalle régulier pour demander des ordres. Le signe, c’est le rythme. Une personne qui navigue produit des rafales : beaucoup de requêtes, puis rien, puis encore quelques-unes. Un beacon est un métronome : une requête, attente, une requête, attente, sans fin.

Tu as dns.csv, une journée entière de requêtes DNS du résolveur interne :

time,src_ip,query,qtype

Travaille en quatre étapes :

  1. Trouver le bavard : quel hôte interroge bien plus que les autres ?
  2. Trouver le C2 : quel domaine atteint-il sans cesse, sous des sous-domaines qui changent ?
  3. Mesurer le tempo : quel est l’intervalle entre deux beacons ?
  4. Lire la charge utile : un malware de tunneling cache des données dans le sous-domaine. Décode le premier beacon.

cut, sort | uniq -c, grep et base64 -d suffisent. Tout est simulé : domaines réservés, plages d’IP de documentation, flag factice.

Terminal

Tapez help pour voir les commandes disponibles. Tab pour compléter, ↑ ↓ pour l’historique.

Questions

  1. Un hôte interne envoie bien plus de requêtes DNS que les autres, toute la journée, comme une horloge. Quel hôte (IP) est-ce ?25 XP

    1. Cet hôte interroge sans cesse des sous-domaines d’un même domaine enregistré. Quel est ce domaine de command-and-control (les deux derniers éléments, comme example.com) ?25 XP

      1. Les requêtes vers ce domaine arrivent à espacement fixe : c’est ce qui en fait un beacon. Combien de secondes séparent deux beacons consécutifs ?25 XP

        1. Le premier beacon de la série est un message d’enregistrement : il transporte des données dans son label de sous-domaine le plus à gauche, encodées en base64. Décode-le. Quel flag contient-il (ZEN{...}) ?25 XP