czabatta/thm-tempestTryHackMe SOC Level 1 — Follina CVE-2022-30190, Nim C2, Chisel, PrintSpoofer, comptes backdoor
Parcours SOC Niveau 1 | Investigation de réponse aux incidents
Investigation complète de réponse aux incidents d'une machine Windows compromise. L'attaquant a obtenu un accès initial via un document Word malveillant exploitant CVE-2022-30190 (Follina), a établi une persistance, a tunnelisé à travers le réseau à l'aide de Chisel, a élevé ses privilèges via PrintSpoofer, et a créé des comptes backdoor avec un service malveillant persistant.
Période : 20–21 juin 2022 Outils : EvtxEcmd, Timeline Explorer, Wireshark, Brim, Sysmon Hôte victime : TEMPEST | Utilisateur : benimaru
| # | Étape | TTP |
|---|---|---|
| 1 | Accès initial | .doc malveillant via Chrome — CVE-2022-30190 (Follina) |
| 2 | Livraison de la charge utile | Stager PowerShell déposé dans le dossier Démarrage |
| 3 | Exécution et persistance | certutil a téléchargé first.exe — s'exécute à chaque connexion |
| 4 | Communications C2 | Binaire basé sur Nim communiquant vers resolvecyber.xyz:80 via HTTP/Base64 |
| 5 | Découverte | Reconnaissance interne via le trafic C2 décodé — identifiants et ports ouverts trouvés |
| 6 | Tunneling et mouvement latéral | Proxy Socks inverse Chisel + WinRM via identifiants récoltés |
| 7 | Élévation de privilèges | PrintSpoofer exploitant SeImpersonatePrivilege → SYSTEM |
| 8 | Persistance (SYSTEM) | Comptes backdoor shion/shuna + service malveillant TempestUpdate2 |
Voir Tempest_Attack_Chain.pdf pour l'analyse complète incluant les hachages des artefacts et la table des IOCs.
TryHackMe Parcours SOC Niveau 1 — Tempest | Analyste : czabatta
| Type | Valeur |
|---|
| Fichier | free_magicules.doc |
| IP | 167.71.199.191 |
| URL | hxxp://phishteam[.]xyz/02dcf07/index.html |
| URL | hxxp://phishteam[.]xyz/02dcf07/first.exe |
| Domaine:Port | resolvecyber[.]xyz:80 |
| SHA256 | CE278CA242AA2023A4FE04067B0A32FBD3CA1599746C160949868FFC7FC3D7D8 (first.exe) |
| SHA256 | 8A99353662CCAE117D2BB22EFD8C43D7169060450BE413AF763E8AD7522D2451 (ch.exe — Chisel) |
| SHA256 | 8524FBC0D73E711E69D60C64F1F1B7BEF35C986705880643DD4D5E17779E586D (spf.exe — PrintSpoofer) |
| Comptes | shion, shuna |
| Service | TempestUpdate2 |
| ID d'événement | 4720 (création de compte), 4732 (ajouté aux administrateurs) |
| ID | Technique |
|---|
| T1566.001 | Phishing : Pièce jointe de spearphishing |
| T1203 | Exploitation pour exécution côté client (CVE-2022-30190) |
| T1059.001 | Commandes et scripts : PowerShell |
| T1547.001 | Démarrage automatique : dossier Démarrage |
| T1105 | Transfert d'outil entrant |
| T1071.001 | C2 : Protocoles Web |
| T1090 | Proxy : Proxy Socks inverse (Chisel) |
| T1078 | Comptes valides |
| T1134 | Manipulation de jeton d'accès (PrintSpoofer) |
| T1136.001 | Création de compte : Compte local |
| T1098 | Manipulation de compte |
| T1543.003 | Création/Modification de processus système : Service Windows |
