Pi Hediyem Vardı, Verdim, Gitti #4 :)

18 Kasım 2015 tarihinde dördüncüsü düzenlenen Pi Hediyem Var oyununun çözüm yolu ve Raspberry Pi kazanan talihli karşınızda!

ÇÖZÜM YOLU:

Yapacağınız ilk iş, her zararlı yazılım analizinde olduğu gibi ctf4.exe isimli bu zararlı yazılımı VirusTotal web sitesine yüklemek ve zararlı yazılım ile ilgili olarak olabildiğince bilgi toplamaya çalışmaktı. VirusTotal’a dosyayı yüklediğinizde karşınıza çıkan Antivirüs çıktılarından bunun Murofet isimli bir zararlı yazılım olduğunu anlayabilirdiniz.

Ardından ctf4.exe zararlı yazılımını Windows XP işletim sistemi üzerinde çalıştırsaydınız, zararlı yazılımın göçtüğünü ancak yazılımı kapatmadığınız taktirde arka planda çalışmaya devam ettiğini görebilirdiniz. Zararlı yazılımı Immunity Debugger aracı ile analiz ettiğinizde, programın akışının çalıştıktan kısa bir süre sonra işlem parçacığı (thread) üzerinden ilerlediğini görebilirdiniz. İşlem parçacığı üzerinden analizi devam ettirmek için ise Immunity Debugger aracının hata ayıklama ayarlarında, “break on new thread” ayarının aktif olması yeterliydi.

Size 1 Aralık 2015 tarihinde zararlı yazılım tarafından oluşturulacak 10 tane alan adının neler olduğunu sorduğum için de, sistem tarihini 1 Aralık 2015 yapmanız gerekiyordu.

Adım adım ilgili komutların üzerinden ilerlediğinizde, zararlı yazılımın GetSystemTime API’sini çağırdığını görebilirdiniz. Hata ayıklamaya devam ettiğinizde, 00401B80 fonksiyonu (subroutine) çağrıldıktan sonra alan adınının oluşturulduğunu görebilirdiniz.

Bu fonksiyonun tamamını kopyalamanız ve ardından Fiddler, Charles Proxy, Burp Suite gibi bir proxy aracı ile oluşturulan web trafiğinden tespit ettiğiniz 10 tane alan adı ile birlikte bana göndermeniz, oyunu başarıyla tamamlamanız için yeterli olacaktı.

OYUNU BAŞARIYLA TAMAMLAYANLAR: Ramazan UYSAL, Semih GÜZELEL, Kerem KAT

ÇEKİLİŞ ve KAZANAN TALİHLİ: Ramazan UYSAL

Başta kazanan talihli Ramazan UYSAL olmak üzere oyunu başarıyla çözen, katılan, destekleyen, sponsor olan herkese teşekkür eder, yeni oyunlarda görüşmek dileğiyle herkese güvenli günler dilerim.

Not: Murofet’in DGA’sı hakkında detaylı bilgi almak için bu sayfayı ziyaret edebilirsiniz.