Analyse mémoire 5/5 - Le commencement

Description

Le Device que vous avez retrouvé nous confirme que l’attaquant s’est injecté assez tôt dans la séquence de démarrage. Le démarrage UEFIet le SecureBoot étaient pourtant bien activés sur le poste. Pour s’en assurer, nous avons récupéré les métadonnées de la partition EFI du démarrage Windows (partition FAT32) grâce à l’outil DFIR-Orc. Voir le fichier analyse-memoire-efi-fatinfo.csv. Retrouvez la vulnérabilité qui a été exploitée par l’attaquant et le fichier contenant la charge malveillante initiale à l’attaque.

Le flag est au format FCSC{<CVE_number>:<file_name>} où :

• <CVE_number> est l’identifiant de la CVE exploitée et
• <file_name> est le nom du fichier contenant la charge malveillante initiale.

Par exemple : FCSC{CVE-2022-4225:payload.bin}.

Cette épreuve fait partie d’une série à faire dans l’ordre :

• Analyse mémoire 1/5 - Exfiltration
• Analyse mémoire 2/5 - Origine de la menace
• Analyse mémoire 3/5 - Où est le pansement ?
• Analyse mémoire 4/5 - Un échelon de plus dans la chaîne
• Analyse mémoire 5/5 - Le commencement