Holmes CTF 2025 - The Watchman's Residue [3/4]

Troisième épreuves du CTF “Holmes CTF 2025”

The Watchman's Residue

Description : “With help from D.I. Lestrade, Holmes acquires logs from a compromised MSP connected to the city’s financial core. The MSP’s AI servicedesk bot looks to have been manipulated into leaking remote access keys - an old trick of Moriarty’s.“

Pour ce challenge nous avons 3 ressources :

• Un dossier d’artefact KAPE

• Un fichier KDBX (Keepass Database)

• Un fichier de capture réseau .pcapng

Difficulté : 🟩🟧◻️ - Medium

Questions

Pour les premières questions, j’ai analysé la capture réseau msp-helpdesk-ai_day5982_section5_traffic.pcapng avec Wireshark afin d’identifier la machine utilisée par l’attaquant pour interagir avec le chatbot MSP-HELPDESK-AI.

Méthodologie

• Filtre principal dans Wireshark : http — la conversation avec l’IA se fait via requêtes HTTP, ce filtre permet d’isoler rapidement les échanges pertinents.

• On parcourt les requêtes HTTP et on inspecte le contenu (POST/GET, body, en-têtes) : les messages échangés avec le chatbot sont inclus dans le corps des requêtes et s’accumulent d’une requête à l’autre, ce qui facilite le suivi de la conversation.

1 - What was the IP address of the decommissioned machine used by the attacker to start a chat session with MSP-HELPDESK-AI? (IPv4 address)

En cherchant dans les requêtes on tombe sur cette conversation :

Si on continue :

Et ce qui vient confirmer qu’on est sur la bonne voie :

En isolant les paquets HTTP correspondant aux échanges suspects avec le chatbot et en suivant la conversation, on peut extraire l’adresse IP source de la machine initiatrice :

✅ Réponse : 10.0.69.45

2 - What was the hostname of the decommissioned machine? (string)

En appliquant le filtre ip.addr == 10.0.69.45 et en inspectant les paquets (en-têtes HTTP, éventuelles requêtes NetBIOS/MDNS, ou payloads contenant des métadonnées), on retrouve le nom d’hôte transmis par la machine :

✅ Réponse : WATSON-ALPHA-2

3 - What was the first message the attacker sent to the AI chatbot? (string)

Le tout premier message visible dans la première requête HTTP contenant le payload de conversation est :

✅Réponse : Hello Old Friend

4 - When did the attacker's prompt injection attack make MSP-HELPDESK-AI leak remote management tool info? (YYYY-MM-DD HH:MM:SS)

Pour cette question, il est nécessaire d’analyser la conversation entre l’attaquant et l’IA :

L’attaquant s’est servi d’une prompt injection qui est une attaque visant les systèmes d’IA conversationnelle. Elle consiste à insérer, dans un prompt envoyée au modèle, des instructions malveillantes ou détournées qui contredisent les règles initiales définies par les développeurs.

la réponse du bot contenant les identifiants apparaît avec le timestamp suivant :

✅Réponse : 2025-08-19 12:02:06

5 - What is the Remote management tool Device ID and password? (IDwithoutspace:Password)

Les identifiants sont fournis par la réponse de l’IA (cf. question précédente).

✅ Réponse : 565963039:CogWork_Central_97&65

6 - What was the last message the attacker sent to MSP-HELPDESK-AI? (string)

Si on cherche dans les derniers messages on peut tomber sur ça :

✅ Réponse : JM WILL BE BACK

7 - What was the RMM Account name used by the attacker? (string)

Rappel de ce qu’est un RMM pour Remote Monitoring and Management, c’est une solution utilisée pour prendre le contrôle à distance des machines. Quelques exemples connus :

• AnyDesk

• TeamViewer

• ScreenConnect

• Etc..

En recoupant les échanges réseau (Wireshark) et les artefacts KAPE (dossiers/ logs TeamViewer récupérés), le nom d’utilisateur RMM visible dans les artefacts correspond aux premières lettres et au nom utilisé dans le chat :

✅ Réponse : James Moriarty

8 - What was the machine's internal IP address from which the attacker connected? (IPv4 address)

En inspectant le fichier Teamviewer15_Logfile.log (présent dans les artefacts KAPE) et en recherchant les adresses IP privées (filtres 192.168.*, 10.*, 172.16.*), on retrouve l’adresse interne utilisée par l’attaquant :

✅ Réponse : 192.168.69.213

9 - The attacker brought some tools to the compromised workstation to achieve its objectives. Under which path were these tools staged? (C:\FOLDER\PATH)

Toujours dans Teamviewer15_Logfile.log, les entrées indiquent l’envoi/déploiement d’exécutables vers un répertoire temporaire sur la machine compromise :

✅ Réponse : C:\Windows\Temp\safe\

10 - Among the tools that the attacker staged was a browser credential harvesting tool. Find out how long it ran before it was closed? (Answer in milliseconds) (number)

Contexte

L’objectif était d’identifier quel outil l’attaquant avait utilisé pour récupérer des identifiants de navigateurs, puis de déterminer à quel moment il l’a exécuté (ouvert/fermé) — en particulier l’intervalle d’exécution en millisecondes.

Outil identifié

Par recoupement (nom de fichier de configuration retrouvé webbrowserpassview.cfg et documentation publique), l’outil utilisé est WebBrowserPassView (https://www.nirsoft.net/utils/web_browser_password.html) . C’est un utilitaire portable qui récupère et affiche les identifiants enregistrés par les navigateurs. WebBrowserPassView crée/actualise un fichier WebBrowserPassView.cfg à la fermeture de l’application, ce qui permet d’utiliser la présence/horodatage de ce fichier comme indicateur de fermeture.

Méthodologie et étapes

1. Extraction du journal USN ($J) : Le journal USN ($Extend\$UsnJrnl:$J) a été exporté depuis les artefacts KAPE.

2. Pour pouvoir le lire plus facilement on utilise MFTECmd pour le transformer en fichier CSV (https://github.com/EricZimmerman/MFTECmd)

MFTECmd.exe -f "$J" --csv "\Desktop\HTB\HTB_Sherlock\watchman\

3. Analyse temporelle avec TimelineExplorer (https://ericzimmerman.github.io/#!index.md) : Le CSV généré est ouvert dans TimelineExplorer pour visualiser les événements (créations/modifications de fichiers, fermetures etc.). Cela permet d’identifier la mise à jour/création de webbrowserpassview.cfg à un instant précis (indiquant la fermeture de l’application).

Et voila ce que ça donne :

En cherchant WebBrowserPassView.cfg :

On sait maintenant l’heure de fermeture de l’application → 10:09:22 .

4. Il faut maintenant trouver l’heure d’ouverture. Après plusieurs recherches dans tout les fichiers possibles, je suis finalement tombé sur NTuser.dat de l’utilisateur Cogwork_admin

Le fichier NTUSER.DAT est un fichier système de Windows qui contient toutes les informations personnelles et les paramètres propres à un utilisateur. Il enregistre par exemple, les préférences du bureau, les configurations des applications, et l’historique de certaines actions (comme les fichiers récemment ouverts ou les programmes lancés).

Pour pouvoir l’exploiter j’utilise Regripper :

rip.exe -r \TRIAGE_IMAGE_COGWORK-CENTRAL\C\Users\Cogwork_Admin\NTUSER.DAT -f ntuser -a > nt_result.txt

Et dans les résultats :

La clé UserAssist dans le fichier NTUSER.DAT sert à enregistrer les programmes et applications exécutés par un utilisateur depuis l’interface Windows (comme le menu Démarrer, l’Explorateur de fichiers ou les raccourcis). Nous avons donc l’heure de début → 10:09:14

Les preuves temporelles combinées (USN + UserAssist) montrent que l’application a été ouverte à 10:09:14 et fermée à 10:09:22, soit une exécution durant 8 s (8000 ms).

✅ Réponse : 8000

11 - The attacker executed a OS Credential dumping tool on the system. When was the tool executed? (YYYY-MM-DD HH:MM:SS)

Les logs TeamViewer signalent le dépôt/exécution d’un binaire identifié comme mimikatz.exe :

Pour confirmer l’exécution et obtenir l’horodatage précis, j’ai recherché mimikatz.exe dans le CSV généré à partir du journal USN ($J) j’ai corroboré avec l’existence d’un fichier Prefetch (mimikatz.exe-*.pf), qui est mis à jour quand Windows lance un exécutable :

✅ Réponse : 2025-08-20 10:07:08

12 - Before exfiltration, several files were moved to the staged folder. When was the Heisen-9 facility backup database moved to the staged folder for exfiltration? (YYYY-MM-DD HH:MM:SS)

Dans les logs Teamviewer :

En recherchant Heisen-9 dans le CSV généré depuis $J (USN Journal), on récupère plusieurs événements liés au fichier (création, déplacement, modification). Ici, le déplacement vers le dossier staged correspond à une seconde entrée temporelle (la première indiquant sa création antérieure).

✅ Réponse : 2025-08-20 10:11:09

13 - When did the attacker access and read a txt file, which was probably the output of one of the tools they brought, due to the naming convention of the file? (YYYY-MM-DD HH:MM:SS)

On peut voir à différents endroits la mention de dump.txt :

Ou encore :

Le journal USN ($J) contient différents types d’événements (FileCreate, DataExtend, Close, etc.). Pour inférer qu’un fichier a été consulté (ouvert puis fermé, donc lu), l’événement pertinent est Close. Les autres n’indiquent que création/modification :

En recherchant dump.txt dans le CSV $J, la première entrée contenant l’événement Close correspond à l’accès/lecture attendu.

✅Réponse : 2025-08-20 10:08:06

14 - The attacker created a persistence mechanism on the workstation. When was the persistence setup? (YYYY-MM-DD HH:MM:SS)

En cherchant les mécanismes de persistance possibles sur un système Windows, j’ai trouvé :

Démarrage automatique via Winlogon / Shell :

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell
Userinit (Winlogon\Userinit) 
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify

Pour pouvoir vérifier on ouvre le fichier SOFTWARE via RegistryExplorer (https://ericzimmerman.github.io/#!index.md) :

On peut voir JM.exe qui est un exécutable envoyé par l'attaquant depuis Teamviewer. Maintenant ce que l'on veut c'est quand winlogon a été modifié, on peut voir ça via l'utilisation de RegRipper sur le fichier SOFTWARE :

rip.exe -r \TRIAGE_IMAGE_COGWORK-CENTRAL\C\Windows\System32\config\SOFTWARE -f software > result_software.txt

CTRL+F dans le fichier texte avec Winlogon :

✅Réponse : 2025-08-20 10:13:57

15 - What is the MITRE ID of the persistence subtechnique? (Txxxx.xxx)

En cherchant la sous‑technique correspondant à la persistance via modification de Userinit / Winlogon, on obtient la page MITRE ATT&CK correspondante :

• https://attack.mitre.org/techniques/T1547/004/ (Boot or Logon Autostart Execution: Winlogon Helper DLL)

✅ Réponse : T1547.004

16 - When did the malicious RMM session end? (YYYY-MM-DD HH:MM:SS)

La fin de la session RMM est repérable dans les logs TeamViewer. L’horodatage correspondant à la terminaison de la session est :

✅ Réponse : 2025-08-20 10:14:27

17 - The attacker found a password from exfiltrated files, allowing him to move laterally further into CogWork-1 infrastructure. What are the credentials for Heisen-9-WS-6? (user:password)

Nous avions dans les fichiers à notre disposition un fichier coffre-fort de mot de passe Keepass. Pour pouvoir extraire le mot de passe, on peut utiliser keepass2john, une extension de John the Ripper :

keepass2john acquired_file_critical.kdbx > hash.txt

On utilise en suite John the Ripper pour tenter de cracker le mot de passe avec une attaque par dictionnaire :

Le mot de passe est cutiepie14 , plus qu’à ouvrir le fichier .kdbx :

✅ Réponse : Werni:Quantum1!