Aller au contenu
Enzo Rossi, accueil
Me contacter

Projets

Parcours DFIR sur HackTheBox

Forensic et réponse à incident.

Cadre
Modules et boxes
Domaines
Forensic, SOC
Décoder un payload PowerShell -EncodedCommandBase64argument -eUTF-16LEpas UTF-8Gzipen-tête1f 8bStageren clairCe que j’ai aussi pratiquéAnalyse mémoireVolatilityEnviron 105 endpointsVelociraptorMalfind, Netstat, persistance
Décodage d’un payload PowerShell -EncodedCommand : Base64, puis UTF-16LE, puis Gzip, jusqu’au stager en clair. Et deux autres pratiques : analyse mémoire avec Volatility, chasse avec Velociraptor sur environ 105 endpoints.

Analyse mémoire avec Volatility, décodage d’un payload PowerShell révélant un stager, chasse sur environ 105 endpoints avec Velociraptor.

Ce que j’ai pratiqué

  • Analyse mémoire avec Volatility
  • Décodage d’un payload PowerShell -EncodedCommand (Base64/UTF-16LE et Gzip) révélant un stager de type Cobalt Strike
  • Chasse sur un parc d’environ 105 endpoints avec Velociraptor : Malfind, Netstat, persistance dans le registre