0x00 背景

学校购进了以色列著名的Cyberbit Range靶场，该靶场面向于蓝队成员。通过模拟多个攻击场景，训练蓝队队员的反入侵、溯源、取证等能力。个人觉得比较有意思，复盘一下这两天的演练情况。

0x01 Windows下勒索软件场景

知识点：邮件、宏病毒、Powershell、SMB横向移动

攻击者向用户A的邮箱发送钓鱼邮件，钓鱼邮件中包含一个含宏文档
用户A打开宏文档，宏病毒执行，从C&C服务器下载恶意PowerShell payload
若当前电脑没有被勒索，恶意payload会生成当前主机的唯一uuid，并利用RSA和DES加密对用户文件进行加密。
将所有被加密的文件路径保存在注册表HKCU/Software/MicroSoft/UDE中，将用户uuid与RSA秘钥回传给C&C服务器。在用户主文件夹下生成一个readme.html，用于对用户进行勒索。
利用SMB模块弱密码或漏洞进行横向移动。

根据当时的情况进行推演。教官在靶场管理员界面点击攻击按钮，提示某一台Windows 7电脑中了勒索病毒。我们通过远程桌面登录被勒索的电脑，查看防火墙日志、Qradar日志。

发现用户User082的文档文件被加密，同时系统日志发现vssadmin操作（删除备份文件）
邮件组提示我们User082最近收到了一封恶意邮件，邮件附件中含有恶意宏文档
我们将文件按时间排序，找到可疑word文件。无法直接获得word文档中的宏代码，利用文件编辑器搜索http关键字，定位到C&C，同时获得Powershell脚本，脚本攻击方式与攻击流程中相似
教官提示，勒索软件已经横向移动了，我们登陆到User055的主机，同样用户文件已经被加密，注册表中HKCU/Software/MicroSoft/UDE文件列表比User082的文件列表多，多了一个共享盘文件路径
防火墙ban C&C服务器ip

第一次我们用管理员身份登陆用户主机，注册表中不存在HKCU/Software/MicroSoft/UDE，这是因为User082与管理员的HCKU表不一样，实际审计在这里卡了很久。
User082与User055用一个共享盘，虽然我们先登陆的是User082，但实际攻击先发生在User055的主机上，只不过后来横向移动到User082上。所以User055的勒索软件会先加密共享盘的内容，后续User082上的勒索软件不再对共享盘进行加密

知识点：ssh暴力破解、crontab

攻击者对web服务器进行端口扫描，发现22端口，暴力破解用户ssh密码，并登陆成功
设置两个计划任务
- 每秒钟 service apache2 stop
- 每秒钟执行恶意python脚本，将/etc/passwd、/etc/shadow复制到/tmp目录，将文件内容发送给C&C，达到持续控制目的

教官提示攻击开始，没有任何提示

在Qradar上发现高危告警，某台服务器A上面的http服务挂了，我通过ssh登录服务器A，按照以往思路，依次排查
- /var/log下面的日志文件auth.log等
- 查看www文件夹下是否有webshell
- 查看apache2的access.log和error.log
- 查看计划任务/etc/crontab
- w查看当前登录用户是否包含攻击者
按照时间排序对告警事件进行回溯，攻击者首先利用port scan发起大量SYN请求，然后告警事件提示ssh密码输入错误
开始排查auth.log.1文件，发现有攻击者的ssh爆破信息，攻击者已经成功登陆
这里我们有个小问题，计划任务排查不完全，导致我们没有发现让apache服务停止的计划任务。后续用crontab -l列出当前计划任务项，发现两项计划任务，对代码进行分析，获得C&C服务器地址
crontab -e编辑模式清除计划任务

知识点：MSSQL日志、FTP漏洞、ssh隧道数据传输

教官提示ftp