【THM: TryHackMe】Advent of Cyber 2を解いてみた【Day23】

はじめに

TryHackMeのAdvent of Cyber 2 Day22のWriteUPです。

今回はランサムウェアについてです。

本記事はすべてのセキュリティに携わる人に向けて執筆しており、クラッキングを推奨するものではありません。本記事の手法を用いて、許可された環境以外で実行することは絶対にやめてください。

ransome note内の偽の「ビットコインアドレス」を解読します。プレーンテキストの値は何ですか?

Desktop上にある「RansomeNote」を開くと以下のようなメモが確認できます。

以下のように、Base64でエンコードされているような文字列が確認できます。

bitcoin address (bm9tb3JlYmVzdGZlc3RpdmFsY29tcGFueQ==)

これをデコードしてflagを得ます。

ランサムウェアは、暗号化されたファイルのファイル拡張子を変更することがあります。暗号化された各ファイルのファイル拡張子は何ですか?

エクスプローラーを確認し、暗号化されているファイルを確認することでflagを獲得できます。

怪しいスケジュールタスクの名称は？

「Task Scheduler」を確認すると、それらしいスケジュールタスクを確認できるので、それがflagとなります。

スケジュールされたタスクのプロパティを調べます。ログイン時に実行される実行可能ファイルの場所は?

「Task Scheduler」にて、該当のタスクを確認します。Actionsタブに「Start Programs」が確認できます。

Detailsに書かれているPathを入力して終了です。

VSS に関連する別のスケジュールされたタスクがあります。 ShadowCopyVolume ID とは何ですか?

同様に「Task Scheduler」の「ShadowCopyVolume」を確認します。

UUIDが確認できるので、それがflagです。

隠しパーティションに文字を割り当てます。隠しフォルダの名前は何ですか?

「Disk Management」を確認します。

Backupパーティションを右クリックで選択し、「Change Drive Letter and Paths」を選択します。

Backupパーティションを追加してあげることでが、Dドライブとして認識されたことを確認します。

Backupディレクトリの中は、以下の様になっていることが確認できます。

エクスプローラー上で隠しフォルダを表示して隠しディレクトリが確認できます。

右クリックして、隠しフォルダーのプロパティを調べます。 [以前のバージョン] タブを使用して、この隠しフォルダー内にある暗号化されたファイルを以前のバージョンに復元します。ファイル内のパスワードは何ですか?

遷移の通りに確認するとファイルが確認できます。ファイルの中身がflagになります。

今回はWindows端末がランサムウェアに感染した場合を想定したRoomでした。

時間は1時間程度で終了しました。

問題自体は簡単ですが、Windowsの保護機能などを深く学ぶきっかけになると思います。