M4ndU의 만두만두한 블로그

10.42.42.253에서 포트스캐닝을 한 것을 찾을 수 있다.

10.42.42.253

닫힌 포트일 경우 공격자가 TCP SYN을 보내고 서버가 TCP RST, ACK을 보내므로 TCP SYN 또는 TCP Connect이다.

그런데 열린 포트일 경우(779,786,791,821번 프레임), 공격자가 TCP SYN을 보내고 서버로부터 TCP SYN, ACK을 받은 뒤에 공격자가 TCP ACK과 TCP RST, ACK을 보내는 것을 확인할 수 있다. 따라서 TCP Connect 스캔이다.

서버로부터 TCP SYN, ACK을 받은 뒤 공격자가 TCP RST를 보냈다면 TCP SYN 스캔이다.

10.42.42.25, 10.42.42.50, 10.42.42.56

3곳 모두에 포트스캐닝을 시도하였다.

00:16:cb:92:6e:dc

Use Image search engine.

find a similar one.

Get keyword; Berlin, TV TOP.

Then find a building with a flag on top.

View the surroundings through Google Maps Roadview near TV Top.

good

Secret Document - Forensics

A Classified.docx file is given.

However, this files is not docx file.

This file is pcap file.

Rename .docx to .pcapng, then convert pcapng to pcap (https://pcapng.com/) (for using networkminer).

Open a Projan.pcap with networkminer.

The windows Defender detect a malware.

Upload goog1e_born_help.exe to virustotal.

ponmocup

ImposterApp - forensics

A memdump file is given.

Win8SP0x64

chrome, ie ,cmd, powershell, calc

-> chromehistory, iehistory, cmdscan, clipboard ... : nothing

calc.exe is suspicious.

procdump -p 2816

flag.