Summary
We have pcapng and 5 questions to answer:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
Q1. Care este numele malware-ului care a fost rulat aici?
OSC{string}
Q2. În ce este scris malware-ul?
OSC{string}
Q3. Care este numele serverului de Command and Control (C2)?
OSC{string}
Q4. Ce tip de malware a fost acesta?
OSC{string}
Q5. Care sunt fișierele scrise de aplicația HTML (HTML Application)?
OSC{fisier1,fisier2,fisier3} (Fără spații. Sortate în ordine alfabetică.)
Q1
Packet 1469 contains a DNS query to:
1
pub-3bc1de741f8149f49bdbafa703067f24.r2.dev
A quick Google search of this domain identifies the malware as XWorm.
Answer:
OSC{XWorm}
Q2
Using the Google dork query “XWorm” “written in” reveals that XWorm is written in .NET.
Answer:
OSC{.NET}
Q3
Filtering for dns in Wireshark shows a DNS query to berlin101.com in packet 1958, identifying the C2 server name.
Answer:
OSC{berlin101.com}
Q4
XWorm is classified as a RAT (Remote Access Trojan).
Answer:
OSC{RAT}
Q5
Answer:
OSC{__PSScriptPolicyTest_xmtkmcro.n1h.psm1,powershell.exe.log,StartupProfileData-NonInteractive}}
Tags:
network
forensics