Analyse mémoire 3/5 - Où est le pansement ?

Description

Le processus à l’origine du malware parait légitime. L’attaquant a certainement dû le modifier pour injecter son code et exécuter sa chaine de compromission. Retrouvez le Thread malveillant. À partir de là, retrouvez l’adresse virtuelle de la PTE modifiée par l’attaquant.

Le flag est au format FCSC{<thread_id>:<virtual_address>} où :

• <thread_id> est l’identifiant du Thread (TID) malveillant et
• <virtual_address> est l’adresse virtuelle (dans le contexte du processus malveillant) du début de la page mémoire (PTE) modifiée.

Par exemple : FCSC{420:0x0022446688aaccee}.

Cette épreuve fait partie d’une série à faire dans l’ordre :

• Analyse mémoire 1/5 - Exfiltration
• Analyse mémoire 2/5 - Origine de la menace
• Analyse mémoire 3/5 - Où est le pansement ?
• Analyse mémoire 4/5 - Un échelon de plus dans la chaîne
• Analyse mémoire 5/5 - Le commencement