⚔️HZ-2022-Final-You Have Been Hacked

VBS script | Image Factor | Base64 | Rot13

За 2-р шатанд ямар ч баг бодоогүй You Have Been Hacked даалгавар Финалын шатанд жаахан өөрчлөгдөөд дахиад ороод ирвээ гэж Файлаа татаж авбал VBScript Script File байсан

9KB

etseg_hVv_ariun_sunsnii_umnuus_Burhan_chamd_tuShaaj_bn

Notepad-дээр кодыг нээгээд үзвэл Obfuscation хийгдсэн код байх бөгөөд хамгийн урд талын хэсэгт Execute буюу энэхүү код нь шууд ажиллах төлөвтэй байгаа. Тэмцээний үеэр энэхүү хэсгийг анзааралгүй шууд ажиллуулаад ямархуу үйлдэл хийхийг үзсэн. Тэгэхэд энэхүү скрипт нь Mouse 1-г Mouse 2 болгож replace хийгээд компьютерийг түгждэг код байсан бөгөөд эхлээд жаахан гайхаад Ransomware нтр арай даалгаварт оруулна гэж байхгүй байлгүй дээ гээд хэсэг инээж суусан ха ха

Дараа нь Execute хэсгийг WScript.Echo буюу тухайн кодыг шууд харах кодыг нэмж өгөөд ажиллуулна

wshShell.Run "rundll32 user32 ,SwapMouseButton" ( Mouse Swap-лах код )
wshShell.Run "rundll32.exe user32.dll,LockWorkStation" ( Компьютер Lock-лох код )

За тэгээд 2-р шатны You Have Been Hacked даалгавар нь Base32 байсан бөгөөд финал дээр өөрчилсөн нь Base64 оруулсан байна лээ

IP хаягаар хандаад орвол Internal Server Error зааж байсан

За тэгээд robots.txt шалгаад үзвэл даалгаврын үргэлжлэл хэсэг харагдах болно. User Agent: {Hero} буюу Valorant тоглоомын баатруудын нэр, файлын нэр нь Lomama.txt-гэж хандах ёстойг ойлгоно

За эхлээд бидэнд Valorant баатруудын үгсийн сан хэрэгтэй болсон

Curl-аар нэг бүрчлэн Request шидэж болно эсвэл Python requests ашиглаад List-оруулаад хийсэн ч болно. Манай баг хайж байгаад Kay/O баатар дээр утгууд олсон бөгөөд маш их хэмжээтэй байсан учраас шууд файлруу бичиж авсан

Output.txt-г харвал 1-р шатанд орж ирсэн Who's Your Daddy даалгавар дээр гарч ирсэн зураг болох боломжтой өгөгдөл байсан бөгөөд энэхүү утгуудыг нийлүүлээд зураг болгох код бичиж болно

Манай багийн хувьд зургаа үүсгэхдээ код дээрээ жаахан алдаа гаргасан бөгөөд зургийн хэмжээ нь нэг л таарж өгөхгүй сонин харагдаад тухайн үед мэдрэмжээрээ янзалж байгаа OCR to Text хийгээд төгсгөл хэсгийн утгуудтай ажилласан

Энэхүү утгуудыг цэг (.) хүртэл аваад rot13-луу decode хийгээд гаралтын үр дүнгээ дахиад Base64 decode хийхэд флаг гарч ирсэн. Манай багийн гаргасан алдаа нь зураг нь жаахан сонин гарсан учраас ( L , l , I , 1 ) гэх мэт үсэгнүүдийг ялгахад жаахан хэцүү учраас флаг маань wh1ÿ64r9s_w1n6"} гэх мэтээр сонин болоод байсан энэхүү утгыг засаад олвол бидний эцсийн флаг HZ{wh0_64r9s_w1n6} гэж гарж ирсэн

HZ{wh0_64r9s_w1n6}