Abdi Bimantara

Abdi Bimantara

Security Analyst

Investigate Web Attack

3 minute read

Published:

Kami kembali menemukan insiden terkait dengan aktiivtas web attack. data log dari aktivitas tersebut telah berhasil kami amankan untuk selanjutnya kami lakukan analisis lebih. Melihat dari data yang disediakan cukup banyak, sehingga mengharuskan kami untuk menganalisa satu persatu.

Link Challenge : Lets.defend.io

Terdapat beberapa point yang harus kami ketahui mengenai insiden tersebut, berikut hasil analisa kami :

Terlebih dahulu kami membuka file yang telah disediakan. File tersebut berupa log aktivitas dari insiden web attack. File tersebut kami buka dengan bantuan tools sublime text, guna mempermudah kami dalam menganalisa satu persatu. Berikut adalah tampilan data log aktivitas yang kami dapatkan.



Which automated scan tool did attacker use for web reconnansiance?

Disini kami diminta untuk mencari tahu, automated scan tool apa yang digunakan oleh attacker dalam menjalankan aktivitas web attaknya. setelah kami mencari tahu, kami mendapati bahwa attacker menggunakan tool Nikto dengan versi 2.1.6..



berdasarkan hasil pemeriksaan yang kami lakukan, terlihat bahwa attacker mulai menggunakan tools Nitko pada jam 12:36:24. Namun dari percobaan pertama tersebut mendapatkan response code 200. Nikto sendiri merupakan Open Source (GPL) web server scanner yang melakukan tes komprehensif terhadap server web untuk beberapa item, termasuk lebih dari 6700 file yang berpotensi berbahaya / CGIS, cek untuk versi usang dari lebih dari 1.250 server, dan masalah versi tertentu di lebih dari 270 server. Hal ini juga memeriksa item konfigurasi server seperti kehadiran beberapa file indeks, pilihan server HTTP, dan akan berusaha untuk mengidentifikasi server web diinstal dan perangkat lunak. item Scan dan plugins sering diperbarui dan dapat diupdate secara otomatis.

After web reconnansiance activity, which technique did attacker use for directory listing discovery?

Setelah mengetahui tools apa yang digunakan oleh attacker dalam menjalankan aktivitas web attacknya, kami mencari tahu lebih detail teknik apa yang digunakan attacker. setelah melihat satu demi satu payload yang didapat, kami menyimpulkan bahwa attacker menggunakan teknik dictionary brute force attack. Dimana teknik tersebut merupakan teknik brute force namun terlebi dahulu telah dipersiapkan sebuah wordlist. Dimana wordlist tersebut berisi kalimat umum yang digunakan dalam web attak.

What is the third attack type after directory listing discovery?

kami dengan mudah menyimpulkan bahwa serangan ini menggunakan teknik yang juga sama yaitu brute force. Dimana attacker menggunakan metode req POST seperti terlihat pada gambar dibawah ini

Is the third attack success?

terlihat pada data log, aktivitas brute force tersebut berhasil dilakukan oleh attker. dibuktikan dengan attaker yang berhasil mendapatkan response code 300

What is the name of fourth atttack?

setelah berhasil mendapatkan akes ke target yang diinginkan, attaker berusaha mendapatkan informasi lebih detail mengenai sistem tersebut. aktivitas tersebut dibuktikan dengan log ditampilkan pada data. Dimana pada log tersebut terlihat bahwa attacker berusaha mengeksekusi suatu kode arbiter berupa %20system(%27whoami%27) yang dimana kode tersbeut telah encode terlebih dahulu. aktiivtas tersbeut dianamakan dnegan code injection.



What is the first payload for 4rd attack?

terlihat bahwa attaker mencoba mengeksekusi payload pertamakali yaitu "Whoami", seperti pada gambar diatas

Is there any persistency clue for the victim machine in the log file ? If yes, what is the related payload?

Terlihat juga aktiivtas attacker yang terindikasi sebagai aktivitas persistency, dianamana aktivitas tersebut berdampak pada attacker dapat meninggalakan akses guan mempertahankan akses kedalam lingkungan target, bahkan jika kata sandi diubah, atau host dimulai ulang. Payload yang coba di eksekusi oleh attacker adalah %27net%20user%20hacker%20asd123!!%20/add%27

You May Also Enjoy

Ransomware Investigated with splunk - BOTS Case

less than 1 minute read

Published:

Ransomware yang menginfeksi local environment adalah cerber ransomware. Media infeksi malware tersebut melalui removable media (Flashdisk) dengan nama MIRANDA_PRI, dan file malicious pertama kali yang diketahui adalah Miranda_Tate_unveiled.dotm. Malicious domain yang dikunjungi oleh host terinfeksi adalah solidaritedeproximite(.)org dan cerberhhyed5frqa(.)xmfir0(.)win. terdapat file .txt dan .pdf yang terindikasi terenkripsi oleh ransomware tersebut.

Pcap Investigasi - Scaning Activity from Internal Network

less than 1 minute read

Published:

Tim SOC mendapati adanya aktivitas anomaly yang terdeteksi pertanggal 7 Februari 2021. Aktivitas tersebut terindikasi sebagai aktivitas scanning yang berasal dari ip internal ke internal. Setelah dilakukan penelurusan aktivitas scanning tersebut berasal dari IP 10.251.96.4. Aktivitas Anomaly tersebut berupa port scanning, brute force url, file upload attack serta TCP reverse shell with python. Aktivitas tersebut terindikasi menggunakan tactic reconnaissance, Resource Development, serta Execution.

Malicious APK-Buka Undangan Pernikahan

less than 1 minute read

Published:

Terdapat aktivitas suspicious yang disebabkan oleh malicious apk dengan nama "Undangan Pernikahan". Malicious apk tersebut disebarkan melalui sosial media Whatsapp, sehingga memakan korban yang cukup banyak. Attacker tersebut menggunakan metode Sosial Engineering berupa pengiriman undangan pernikahan sehingga korban akan membuka apk tersebut dengan sendirinya. Attacker akan mendapatkan informasi pada device ter-Compromise melalui bot Telegram dengan nama gacorniannnbot.

Ransomware Attack Analysis - LetsDefend Case

less than 1 minute read

Published:

Berdasarkan informasi yang didapatkan oleh tim SOC, terdapat adanya aktivitas Malware yang terdeteksi pada lingkungan kerja disuatu perushaan klien. Malware tersebut termasuk jenis Ransomware yang dibuktikan dengan adanya notepad intruksi ancaman serta semua file telah terenkripsi dalam bentuk .2s6lc. Ransomware tersebut berasal dari grup Sodinokibi. Diketahui bahwa user yang menlakukan proses download file tersebut adalah “charles” dan malicious file tersebut juga disebarkan dari ip internal. Technique yang digunakan attacker adalah T1574 dengan tactics Persistence, Privilege Escalation, Defense Evasion.