Challenge non résolu pendant le concours : cette page résume les pistes explorées, pas une solution.
Le défi
Un fichier Invoice_4402.pdf.lnk piégé, un exécutable NSysUpdate.exe et un flag.txt.age chiffré.
Il faut remonter la chaîne d’infection jusqu’à l’attaquant et récupérer de quoi déchiffrer le flag.
Ce qui a été trouvé
- Le raccourci
.lnklance un PowerShell obfusqué (concaténations de chaînes, casse aléatoire). Une fois désobfusqué, ce premier étage :- appelle
eth_callsur un smart contract via un nœud RPC Ethereum ; - décode la valeur renvoyée (base64), puis la déchiffre par XOR avec une clé de 32 octets codée en dur ;
- obtient ainsi l’URL du deuxième étage, le télécharge et l’exécute.
- appelle
- Le C2 est donc caché « on-chain » : l’historique des transactions du contrat donne les adresses successives.
- Le deuxième étage parle un protocole de type Empire. Un petit client a été écrit pour s’enregistrer et lire les tâches envoyées par le serveur.
Où ça bloque
L’enregistrement sur le C2 fonctionne. Il reste à trouver la tâche ou la clé qui permet de déchiffrer flag.txt.age.