keepass-exfil-forensics — Network forensics writeup + herramientas para un desafío DFIR de TryHackMe: revierte una cadena de exfiltración hex→Base64→XOR a partir del tráfico PCAP, y luego recupera la contraseña maestra de KeePass desde un volcado de memoria de proceso mediante CVE-2023-32784. | Kitploit

Exfiltración de Memoria de KeePass — Investigación de Forense de Red

Recupera datos exfiltrados del tráfico PCAP revirtiendo una cadena de ofuscación hexadecimal → Base64 → XOR utilizada en un escenario real de DFIR CTF (TryHackMe), y luego explota CVE-2023-32784 para recuperar la contraseña maestra de KeePass directamente desde un volcado de memoria de un proceso.

El Ataque, en un Diagrama

Victim workstation                          Attacker C2 Server
-------------------                         -------------------
Malicious .ps1 downloaded over HTTP
        |
        v
Downloads ProcDump (legit Sysinternals tool)
        |
        v
Dumps KeePass process memory ---------------------->  port 1337
   (XOR 0x41 + Base64 encoded first)

Steals Database1337.kdbx -------------------------->  port 1338
   (XOR 0x42 + Base64 encoded first)

Qué Hay en Este Repositorio

# 1. Extract the raw exfil stream from a pcap with tshark
tshark -r capture.pcapng -T fields -e data \
  -Y "ip.dst == <C2_IP> and tcp.port == <PORT>" > payload.txt

# 2. Reverse the obfuscation
python3 decoder.py payload.txt recovered_file.bin --xor-key 0x41

`docs/writeup.md`	Informe completo de la investigación paso a paso
`decoder.py`	Herramienta de propósito general para revertir la cadena hexadecimal → Base64 → XOR
`evidence/xxxmmdcclxxxiv.ps1`	El script malicioso de PowerShell recuperado

keepass-exfil-forensics

Más Populares

Inicio Rápido

Técnicas Clave Demostradas

Créditos

Descargo de Responsabilidad