Hackllebarde ransomware 1/4 (Forensics) - 404CTF2022

Principe:
Reconstituer un fichier PDF exfiltré en utilisant les flags TCP comme tunnel

Infos (cf menu latéral):
🚩 Flaggué! +968 points gagnés — 💾 Téléchargez les fichiers du challenge
404CTF{L3s_fL4gS_TCP_Pr1S_3n_fL4G}

Le challenge

Le challenge nous demande d'analyser un dump réseau (dispo ici) et d'en trouver des informations

Un flag en flags

Dans le dump, on voit beaucoup de TCP RESET! mais aussi d'autres flags dans tous les sens (ECN, URG, FIND…)
On observe alors les deux bytes utilisés pour les flags TCP: ici, P%
En faisant défiler chaque paquet TCP ainsi, on voit que les bytes des flags forment P% PP PD PF P- P1 P. P7 soit le header %PDF-1.7 d'un fichier PDF

Extraire les flags

On crée une colonne Wireshark avec les deux bytes des flags TCP et on exporte les données
On se crée un script qui va parser ces données extraites, récupérer les deux bytes des flags TCP, et ne garder que le deuxième pour reconstituer le fichier PDF
Après quelques essais, le script finit par fonctionner

Flag

On ouvre alors le fichier PDF reconstitué et en dernière page, on trouve le flag

Flag: 404CTF{L3s_fL4gS_TCP_Pr1S_3n_fL4G}