<h1>Koi Stealer</h1>
<blockquote>
<a href="https://labs.thehackerslabs.com/machine/153">https://labs.thehackerslabs.com/machine/153</a>
</blockquote>
<img src="/post-images/TheHackersLabsKoi%20Stealer/image.png" alt="image.png">
<ul>
<li>
nálisis forense de tráfico de red (PCAP) para la reconstrucción del flujo de ataque e infección de malware.
对网络流量进行取证分析（PCAP），以重建恶意软件攻击和感染流程。
</li>
<li>
Identificación de sistemas afectados (IP, MAC, Hostname) mediante el análisis de protocolos de descubrimiento como DHCP y NBNS.
通过分析 DHCP 和 NBNS 等发现协议来识别受影响的系统（IP、MAC、主机名）。
</li>
<li>
Identificación de usuarios comprometidos a través de la inspección de tráfico de autenticación Kerberos y consultas LDAP.
通过检查 Kerberos 身份验证流量和 LDAP 查询来识别受感染用户。
</li>
<li>
Filtrado y análisis de tráfico HTTP/TLS para detectar descargas de payloads y conexiones a dominios maliciosos.
对 HTTP/TLS 流量进行过滤和分析，以检测有效载荷下载和与恶意域的连接。
</li>
<li>
Extracción de artefactos maliciosos (archivos ZIP y DLL) directamente del flujo de red para su análisis.
直接从网络流中提取恶意工件（ZIP 和 DLL 文件）进行分析。
</li>
<li>
Cálculo de hash (SHA256) de los archivos extraídos para identificación de la amenaza (IOCs).
对提取的文件进行哈希计算（SHA256），以进行威胁识别（IOC）。
</li>
<li>
Análisis del comportamiento de Command &#x26; Control (C2) identificando callbacks mediante solicitudes HTTP POST.
通过识别 HTTP POST 请求中的回调来分析命令与控制 (C2) 行为。
</li>
</ul>
<h3>受害者的 IP 地址是什么？</h3>
¿Cuál es la IP de la victima?
前面四个为 DHCP 的包，并且下面紧跟着 ARP 包：<code>Who has 172.17.0.17? Tell 172.17.0.99</code>
<img src="/post-images/TheHackersLabsKoi%20Stealer/image1.png" alt="image.png">
所以大概能判断受害主机是 <code>172.17.0.99</code>
<h3>受害者的 MAC 地址是什么？</h3>
¿Cuál es la dirección MAC de la victima?
<img src="/post-images/TheHackersLabsKoi%20Stealer/image2.png" alt="image.png">
知道 IP 看 ARP 包就能拿到 MAC <code>18:3d:a2:b6:8d:c4</code>
<h3>受害者的主机名是什么？</h3>
¿Cuál es el Hostname de la victima?
通过 NBNS 协议能得到
NBNS 全称为 NetBIOS Name Service（NetBIOS 名称服务）
简而言之，它是一种用于将计算机主机名（NetBIOS 名称）转换为 IP 地址的协议，主要用于局域网（LAN）环境，尤其是 Windows 网络中
可以看到 172.17.0.99 注册为 <code>DESKTOP-RNVO9AT</code>
<img src="/post-images/TheHackersLabsKoi%20Stealer/image3.png" alt="image.png">
<h3>受害主机的 Windows 用户名是什么？</h3>
¿Cuál es el usuario de Windows del host victima?
受害主机的 Windows 用户名是 afletcher。这一信息可以直接从 Wireshark 抓包中的 Kerberos 协议 AS-REQ 请求（第 293 号数据包）的 <code>cname</code> 字段中确认。
<img src="/post-images/TheHackersLabsKoi%20Stealer/image4.png" alt="image.png">
<h3>用户的全名（LDAP）是什么？</h3>
¿Cuál es el nombre completo del usuario (LDAP)?
<ul>
<li>在第 293 号数据包（Kerberos 认证请求）中，我们查看 <code>req-body</code> -> <code>cname</code> 字段。</li>
<li>可以看到 <code>CNameString: afletcher</code>。</li>
<li>这证实了该员工在系统登录时使用的账号 ID 是 <code>afletcher</code>。</li>
</ul>
<img src="/post-images/TheHackersLabsKoi%20Stealer/image5.png" alt="image.png">
<h3>恶意 IP 地址（C2）是什么？</h3>
¿Cuál es la dirección IP maliciosa (C2)?
一直和 <code>79.124.78.197</code> 进行通信，很明显 <code>79.124.78.197</code>
<img src="/post-images/TheHackersLabsKoi%20Stealer/image6.png" alt="image.png">
<h3>与感染相关的附加域是什么？例如：<a href="http://www.thehackerslabs.com">www.thehackerslabs.com</a></h3>
¿Cuál es el dominio adicional relacionado con la infección?Ej: <a href="http://www.thehackerslabs.com">www.thehackerslabs.com</a>
这个问题是在询问：除了内部正常的域名（如 <code>bepositive.com</code>）之外，受感染的主机还访问了哪个外部的、恶意的域名？
找域名筛选 DNS 包并在过滤器使用：<code>tls.handshake.extensions_server_name</code>
可惜的是，没找到任何相关的域名，所以我只能从外部地址下手
过滤掉内部地址，就只有：<code>46.254.34.201</code>，<code>20.10.31.115</code>
<img src="/post-images/TheHackersLabsKoi%20Stealer/image7.png" alt="image.png">
结果是：<a href="https://urlhaus.abuse.ch/host/www.bellantonicioccolato.it/">https://urlhaus.abuse.ch/host/www.bellantonicioccolato.it/</a>

Koi Stealer https://labs.thehackerslabs.com/machine/153 nálisis forense de tráfico de red (PCAP) para la reconstrucción del flujo de ataque e infecció...

TheHackersLabs - Koi Stealer

Machine - victorique