Bricks Heist

Para esta room vamos a comenzar añadiendo la ip de tryhackme a nuestro archivo /etc/hosts:

Luego para variar un poco vamos en vez de utilizar namp vamos a utilizar rustscan , pero lo haremos a traves de docker que es la forma recomendada por el creador:

docker run -it --rm --name rustscan rustscan/rustscan:latest -a 10.10.119.134

De este comando cabe comentar que estamos lanzando el contenedor con el argumento que queramos de rustscan , en este caso -a y la ip que queremos analizar. Al terminar el escaneo veremos algo asi :

En realidad otro puerto abierto en el 3306 no se por que no lo encuentra rustscan

Sabiendo esto vamos a acceder a la web , si accedes el puerto 80 por http no veras nada pero si accedes al 443 por https :

Vemos esta portada , si estas pensanso en hacer un exiftool a la imagen no vas a sacar nada , asi que vamos a revisar el codigo de esta web:

Y vemos la siguiente ruta /wp-content/themes , con esto sabemos que estamos tratando con un wordpress , asi que vamos a probar si la ruta por defecto del login es wp-admin:

Y como podemos ver asi es , ya hemos encontrado un login con wordpress.Nuestro siguiente paso sera buscar vulnerabilidades del wp con wpscan:

wpscan --url https://bricks.thm/ --disable-tls-checks

El disable es para que no de errores el wpscan

Si bajamos un poco:

Vemos como el tema que esta utilizando wordpress es bricks , y como asi es como se llama la room , lo dice en la descripcion y ademas en dicha descripcion nos dicen que hagamos la room mediante un cve , vamos a obviar que tiene que haber alguna cve relacionada con el theme bricks... Vamos a buscarlo:

Y tras googlear un poco lo encontramos..

Lo ejecutamos:

y vemos como hemos ganado control de la maquina.

Parece que tenemos la primera flag.

Luego nos piden el nombre del servicio malicioso , asi que vamos a filtrar los procesos que estan corriendo en el equipo y que sean servicios:

systemctl list-units --type=service --state=running

Si nos fijamos hay un servicio que tiene como descripcion tryhackme asi que supondremos que es ese , vamos a ver el servicio mas detenidamente:

Y parece que se llama nm-inet-dialog.

Tras esto nos piden el nombre del archivo log que utiliza este proceso , asi que primero de todo vamos a examinar la ruta de dicho proceso nm-inet-dialog:

Y nos encontramos con estos archivos , tras revisar cada uno de ellos si hacemos un cat al inet.conf:

Vemos como en realidad en un archivo log del cripto programa.Pero si le hacemos un head al archivo:

podemos ver tambien la direccion de la wallet del atacante.Aunque primero debemos descifrarla con cyberchef ya que esta encriptada:

Una vez descifrado:

Hay que tener en cuenta que las direcciones de bitcion en este caso empiezan por bc1 por lo que en esta cadena de caracteres tenemos dos direcciones de wallet , para nuestra room utilizaremos la primera.

Para nuestra ultima tarea debemos encontrar cual es el nombre del grupo detras del ataque , para ello comenzaremos en el directorio que empezamos anda mas utilizar el exploit y visualizamos el archivo wp-config.php:

Vemos como tenemos el usuario y la contraseña de la base de datos de phpmyadmin root/lamp.sh :

Si accedemos con estas credenciales:

Vemos como en la base de datos de wordpress tenemos una tabla users con el usuario administrator.Ahora para hackear esto aprendi un buen truco que es el siguiente.Vamos a buscar un wordpress password hash generator:

Le ponemos por ejemplo ratita de contraseña , y ese hash lo pegamos en la contraseeña de administrator:

Y asi ya hemos cambiado la contraseña del usuario y podremos acceder al wordpress:

Y ya estariamos dentro.

Esto del WP es solo opcional para ver como se hackearia pero para saber el APT que ataco , debemos coger la direccion de la wallet , ir a blockchair y poner la direccion de la wallet:

Y vemos las diferentes transacciones , vamos a clickar en una de ellas e irnos al apartado privacy:

Y asi veremos el que envio el dinero y el destinatario.luego si buscamos la wallet del destinatario en google daremos con esta web:

En la que veremos de una persona rusa que si la buscamos en google nos dice que esta asociado con el APT , Lockbit y esta seria la flag final.