Shadow-Hive [300pts] - Digital Forensics Write-up#

1. แปลงไฟล์ .hiv ด้วย hivexml#

1
hivexml Shadow-Hive-Infection.hiv > hive.xml

2. ค้นหาคำที่น่าสงสัย#

1
grep -ni "shadow\|flag\|decrypt" hive.xml

3. พบ Key ที่น่าสงสัย คือ ShadowDecryptor#

4. ถอดรหัส Base64 ด้วย CyberChef#

นำค่าที่ถูกเข้ารหัสมาถอดรหัสด้วย CyberChef (Magic) สามารถถอดรหัสจาก Base64 ได้ข้อความ ดังนี้

5. วิเคราะห์ PowerShell Script#

จากการวิเคราะห์ข้อความ พบว่าเป็น PowerShell Script และมีการใช้ AES-CBC + PKCS7

1
Key = 4B4b4b4b4B4b4B4B4b4B4b4b4b4B4B4b
2
IV = "shadow_hive_regi" (.Substring(0,16) คือการเอา substring เริ่มที่ index 0 ยาว 16 ตัวอักษรของ shadow_hive_registry_aes)
3
Ciphertext = 'dZDm9yXHjlQ1DrXRfINop2Wi9aUDw8ttxyLjn7obyIE='

6. ถอดรหัส Ciphertext ด้วย CyberChef#

สูตร:

• From Base64
• AES Decrypt (AES-CBC | Key 4B4b4b4b4B4b4B4B4b4B4b4b4b4B4B4b (HEX) | IV shadow_hive_regi (UTF-8/Latin1))