Investigating Windows - Forensics - TryHackMe

Vamos a resolver el reto “Investigating Windows” de la categoria Forensics de la plataforma TryHackMe.

Descripción del Desafio:

“Una máquina con Windows ha sido pirateada, es su trabajo investigar esta máquina con Windows y encontrar pistas sobre lo que podría haber hecho el hacker”

1. ¿Cuál es la versión y el año de la máquina de Windows?.

Vamos abrir una consola de PowerShell y utilizamos el comando “Get-ComputerInfo”.

Luego Get-ComputerInfo -Property “Os” .

Respuesta:

• Microsoft Windows Server 2016 Datacenter

2. ¿Qué usuario se conectó por última vez?.

Primero debemos conocer la lista de usuarios locales. Para eso vamos a utilizar el comando “Get-LocalUser”.

Ahora hacemos uso del comando “net user” seguido del nombre del usuario y la palabra “Last” para que nos muestre la última conexión de ese usuario. Claramentee la última conexión la realizó el usuario con el que nos conectamos a la máquina.

Respuesta:

• Administrator

3. ¿Cuándo fue la última vez que John inició sesión en el sistema?.

Para esta pregunta, vamos a utilizar la imagen anterior donde se muestra la última conexión del usuario John.

Respuesta:

• 3/2/2019 5:48:32

4. ¿A qué IP se conecta el sistema cuando se inicia por primera vez?.

Respuesta:

• 10.34.2.3

5. ¿Qué dos cuentas tenían privilegios administrativos (aparte del usuario administrador)?.

Respuesta:

• Jenny, Guest

6. ¿Cuál es el nombre de la tarea programada que es maliciosa?.

Respuesta:

• Clean file system

7. ¿Qué archivo intentaba ejecutar la tarea a diario?.

Respuesta:

• nc.ps1

8. ¿Qué puerto escuchó localmente este archivo?.

Respuesta:

• 1348

9. ¿Cuándo fue la última vez que Jenny inició sesión?.

Respuesta:

• Never

10. ¿En qué fecha se produjo el compromiso?.

Respuesta:

• 02/03/2019

11. Durante el compromiso, ¿a qué hora asignó Windows por primera vez privilegios especiales a un nuevo inicio de sesión?.

Respuesta:

• 03/02/2019 4:04:46 PM

12. ¿Qué herramienta se utilizó para obtener las contraseñas de Windows?.

Respuesta:

• mimikatz

13. ¿Cuál era la IP de los servidores de comando y control externo de los atacantes?.

Respuesta:

• 76.32.97.132

14. ¿Cuál era el nombre de la extensión del shell cargado a través del sitio web del servidor?.

Respuesta:

• .jsp

15. ¿Cuál fue el último puerto que abrió el atacante?.

Respuesta:

• 1337

16. Verifique el envenenamiento de DNS, ¿qué sitio fue el objetivo?.

Respuesta:

• google.com