Immagine evento non impostata
Archivio eventi
Spring 2024
HackInBo® Forensic Games Spring 2024
Caso Iron Shield: compromissione di una server farm segreta, esfiltrazione di documenti classificati e identificazione dell’assassino tramite log, server remoto e tracce digitali.
Iron Shield e l’esfiltrazione dei documenti segreti
Trama del caso
Nel cuore di Bologna, una città ricca di storia e fascino, un hotel discreto cela il segreto meglio custodito d’Italia: l’agenzia Iron Shield. Dietro l’elegante facciata si nascondono uffici segreti e una sofisticata server farm, protetta da occhi indiscreti.
Iron Shield, conosciuta solo da pochi eletti, opera all’avanguardia dello spionaggio. Dal suo quartier generale situato in un hotel del centro storico di Bologna, l’agenzia gestisce una vasta rete di agenti, missioni e informazioni top secret memorizzate in server accuratamente protetti.
La server farm, nascosta nei piani inferiori dell’hotel, rappresenta il cuore pulsante delle operazioni di Iron Shield. Contiene dati classificati su identità degli agenti, piani delle missioni, progetti di armi e infrastrutture segrete.
L’agenzia scopre nel dark web documenti classificati messi in vendita. Il responsabile IT viene trovato morto.
Contesto del crimine
La vittima è l’amministratore di sistema dell’Agenzia di Spionaggio. Il DVR lo riprende mentre usa il volto per accedere al PC.
Sul PC sono attivi login con riconoscimento del volto, impronta digitale e password. Sul computer è presente PuTTY con una chiave privata per collegarsi al server.
Dal server sono stati trafugati file e documenti segreti. Gli investigatori devono recuperare i log per capire che cosa è stato rubato e verso quale indirizzo IP sono stati esfiltrati i dati.
A uno degli indirizzi IP rinvenuti è collegato un web server con una pagina ad hoc che rappresenta la flag del caso. L’indagine porta anche all’analisi di file cancellati, immagini del PC e del server, chat WhatsApp, copia forense e verifica dell’integrità tramite hash.
Descrizione della scena
Introduzione operativa: i partecipanti devono trattare correttamente le evidenze digitali, evitare compromissioni dell’integrità, ispezionare i dispositivi e metterli offline entro 15 minuti dall’inizio.
Prove richieste: sbloccare il PC con il volto, individuare nel PC i dati per accedere al server, recuperare cache di PuTTY e chiave privata, analizzare il server locale, individuare i file trafugati e il log del collegamento SSH/SCP verso il server esterno su cui sono stati copiati i file.
Devono inoltre repertare correttamente i dispositivi digitali, produrre un report scritto sintetico con le attività svolte, spiegare le modalità di creazione della copia forense, verificare la copia forense del PC con file cancellati e un hash sbagliato, analizzare l’immagine del PC e del server per trovare documenti segreti cancellati, indirizzo IP del server remoto e chat WhatsApp.
Previa autorizzazione del PM, devono chiedere positioning e intercettazione del numero dell’amante, quindi guidare Carabinieri e Polizia di Stato all’arresto.
Materiale: 2 videoproiettori, 2 PC, 2 server, 2 switch, 10 cavi di rete lunghi, 2 monitor per server, 2 tastiere, 2 mouse, ciabatte per server e portatile, pendrive Kingston con cifratura attivata, SSD per copia forense e chiavette USB premio.
Configurazione: IP pubblico Zanhotel 2.228.226.99. IP server esfiltrazione 51.178.83.109. Rete fissa portatili 192.168.27.x. IP Forensic-NB02 192.168.27.5. IP Forensic-NB01 192.168.27.23.
Portatile: volto attore configurato per Windows Hello, indirizzo IP fisso ethernet, documenti segreti nella cartella documenti DOCS, LAST-CHAT e SOFTWARE, chiave per accesso con PuTTY, connessioni PuTTY sia con .8 sia con .13.
Server locale: IP fisso, accesso con password e chiave SSH, documenti segreti, connessione SSH a server remoto, copia SCP file verso server remoto, file chat zippato con password presente nella pendrive, finta bash_history.
Pendrive: documenti segreti e file password con 10 password. Password presenti nel materiale: MQcuTM5j)}%TGyLP, ]B=4}*v=C[Lx4r$F, C{^tA5g5U$V+v-6j, RqhSa2}V)kWkdj/*, D6hz4QGXL4^uY]PN, -+&]qSL{a4)Hsr5(, 2]38WbN[9X->6B2j, JpQP{V77q(fd&mD9, cJ37yD$?S4XUV*J6->password, qjbMe8RDBrrKa>[4, Pu2Zfu34H8!YfnjE, =rhN_DV5uTZH*4rR, ($=zZTg$_ragWP+9.
Server remoto: server web con pagina HTML base contenente la flag. Pianificazione: quiz online per i partecipanti 50/60 minuti, tre settimane prima; 1 ora di sopralluogo squadra A mentre squadra B fa correzione; 1 ora di sopralluogo squadra B mentre squadra A fa correzione; inizio ore 11:00, pranzo, 1:30 per analisi e report.
Ambientazione
Hotel discreto nel centro storico di Bologna, sede di copertura dell'agenzia Iron Shield. Nei piani inferiori è nascosta una server farm con dati classificati, documenti segreti e infrastrutture operative.
Persone coinvolte
Amministratore di sistema
Vittima. Amministratore di sistema dell’Agenzia di Spionaggio Iron Shield, trovato morto dopo l’esfiltrazione di documenti classificati.
Operatore sotto copertura
Figura sotto copertura nell’hotel di Bologna, con accesso privilegiato alla server farm e al cuore dell’operazione Iron Shield.
Amante della vittima
Numero da sottoporre, previa autorizzazione del PM, a positioning e intercettazione per guidare Carabinieri e Polizia di Stato all’arresto.
Dispositivi
Computer portatile Forensic-NB01 / Forensic-NB02
- Proprietario
- Amministratore di sistema
- Tipo
- Computer portatile Forensic-NB01 / Forensic-NB02
- Sistema operativo
- Windows con Windows Hello
PC con accesso tramite volto, impronta e password. IP Forensic-NB02 192.168.27.5, IP Forensic-NB01 192.168.27.23. Contiene documenti segreti in DOCS, LAST-CHAT e SOFTWARE, cache PuTTY, chiave privata e connessioni PuTTY verso .8 e .13.
Server locale
- Proprietario
- Iron Shield
- Tipo
- Server locale
Server con IP fisso, accesso con password e chiave SSH, documenti segreti, connessione SSH verso server remoto, SCP di file verso server remoto, file chat zippato con password presente nella pendrive e finta bash_history.
Server remoto / server esfiltrazione
- Proprietario
- Iron Shield
- Tipo
- Server remoto / server esfiltrazione
Server web remoto con pagina HTML base contenente la flag. IP server esfiltrazione: 51.178.83.109. IP pubblico Zanhotel: 2.228.226.99.
Kingston
- Proprietario
- Iron Shield
- Tipo
- Pendrive cifrata
Pendrive Kingston con cifratura attivata. Contiene documenti segreti, password per file zip della chat e file password. PIN su foglio con scrittura visibile UV.
SSD / supporto copia forense
- Proprietario
- Laboratorio
- Tipo
- SSD / supporto copia forense
SSD usato per copia forense. La prova include verifica della copia forense del PC con file cancellati e hash sbagliato.
Soluzione del caso
La compromissione riguarda la server farm segreta dell'agenzia Iron Shield.
Il responsabile IT viene trovato morto dopo che documenti classificati dell'agenzia sono comparsi nel dark web. Il DVR mostra la vittima mentre accede al PC con il riconoscimento del volto. Sul PC sono presenti gli elementi per accedere al server: cache PuTTY, chiave privata e dati di connessione.
L'analisi dei log del server consente di ricostruire l'esfiltrazione dei file, individuando l'indirizzo IP remoto 51.178.83.109. Su uno degli indirizzi IP emersi è presente un web server con una pagina HTML predisposta come flag dell'indagine.
Gli elementi principali sono: documenti segreti cancellati, immagine del PC, immagine del server, log SSH/SCP, copia forense con hash errato, chat WhatsApp, file zip della chat con password su pendrive, chiave privata, server remoto, IP pubblico Zanhotel 2.228.226.99 e rete locale 192.168.27.x.
Dopo l'autorizzazione del PM, il positioning e l'intercettazione del numero dell'amante permettono di guidare Carabinieri e Polizia di Stato all'arresto.
Il responsabile IT viene trovato morto dopo che documenti classificati dell'agenzia sono comparsi nel dark web. Il DVR mostra la vittima mentre accede al PC con il riconoscimento del volto. Sul PC sono presenti gli elementi per accedere al server: cache PuTTY, chiave privata e dati di connessione.
L'analisi dei log del server consente di ricostruire l'esfiltrazione dei file, individuando l'indirizzo IP remoto 51.178.83.109. Su uno degli indirizzi IP emersi è presente un web server con una pagina HTML predisposta come flag dell'indagine.
Gli elementi principali sono: documenti segreti cancellati, immagine del PC, immagine del server, log SSH/SCP, copia forense con hash errato, chat WhatsApp, file zip della chat con password su pendrive, chiave privata, server remoto, IP pubblico Zanhotel 2.228.226.99 e rete locale 192.168.27.x.
Dopo l'autorizzazione del PM, il positioning e l'intercettazione del numero dell'amante permettono di guidare Carabinieri e Polizia di Stato all'arresto.
Sponsor e partner
