Campfire-2

Forela’s Network is constantly under attack. The security system raised an alert about an old admin account requesting a ticket from KDC on a domain controller. Inventory shows that this user account is not used as of now so you are tasked to take a look at this. This may be an AsREP roasting attack as anyone can request any user’s ticket which has preauthentication disabled.

Forela 的网络不断受到攻击。安全系统发出了有关旧管理员帐户向域控制器上的 KDC 请求票证的警报。库存显示该用户帐户目前尚未使用，因此您需要查看一下。这可能是 AsREP 烘焙攻击，因为任何人都可以请求任何已禁用预身份验证的用户的票证。

任务列表

1、ASREP Roasting 攻击何时发生？攻击者何时为易受攻击的用户请求 Kerberos 票证？

When did the ASREP Roasting attack occur, and when did the attacker request the Kerberos ticket for the vulnerable user?

2024-05-29 06:36:40

2 、请确认攻击者针对的用户帐户。

Please confirm the User Account that was targeted by the attacker.

arthur.kyle

3、该帐户的 SID 是什么？

What was the SID of the account?

S-1-5-21-3239415629-1862073780-2394361899-1601

4、识别受损的用户帐户和负责此攻击的工作站至关重要。请列出受损资产的内部 IP 地址，以协助我们的威胁追踪团队。

It is crucial to identify the compromised user account and the workstation responsible for this attack. Please list the internal IP address of the compromised asset to assist our threat-hunting team.

172.17.79.129

5、我们还没有来自源机器的任何工件。使用相同的 DC 安全日志，您能否确认用于执行 ASREP Roasting 攻击的用户帐户，以便我们可以控制受感染的帐户？

We do not have any artifacts from the source machine yet. Using the same DC Security logs, can you confirm the user account used to perform the ASREP Roasting attack so we can contain the compromised account/s?

happy.grunwald

分析

Log

Security.evtx

ASREP Roasting 攻击需要目标域用户不要求 Kerberos 预身份验证，Kerberos 人中过程中，KDC 会直接返回 AS-REP 包，获取 TGT 票据 和此域用户 NTLM Hash 加密的 Login Session Key。进而可以离线爆破出域用户的密码。

记录请求 Kerberos 身份验证票证的日志事件 ID 为：4768，其中 PreAuthType 值为 0 表示不要求 Kerberos 预身份验证

攻击发生的时间为：2024-05-29 06:36:40 攻击者针对的用户账户为：arthur.kyle 该账户的 SID 为：S-1-5-21-3239415629-1862073780-2394361899-1601 受攻击的工作站 IP 为：172.17.79.129

找到这条日志的下一个 Kerberos 服务票据请求事件，可以找到受感染的账户

受感染的账户为：happy.grunwald

Hints

1. None
2. None
3. None
4. Look for the Client Address field in the same event.
5. None