Blue Team CTF: walkthrough di un'investigazione SOC (PCAP + Splunk)

Scenario: il SOC riceve un notable per traffico in uscita verso un IP sospetto. Obiettivo: confermare la compromissione, isolare il payload e ricostruire la timeline. Strumenti: Splunk per i log, Wireshark/tshark per il PCAP.

1. L'allarme iniziale

Partiamo dal SIEM, cercando i flussi anomali: alto volume in uscita o porte non standard.

index=netflow OR index=ids
| stats sum(bytes_out) as out, values(dest_port) as ports by src_ip, dest_ip
| where dest_port=4444 OR out > 5000000
| sort - out

Emerge un host interno (10.0.30.8) che parla con 45.77.x.x sulla porta 4444: candidato C2.

2. Analisi del PCAP

Apriamo la cattura e isoliamo la conversazione sospetta. Con tshark:

# elenca le conversazioni TCP per volume
tshark -r capture.pcap -q -z conv,tcp

# filtra la sessione verso il C2 e mostra l'handshake
tshark -r capture.pcap -Y "ip.addr==45.77.x.x && tcp.port==4444"

3. Tracciare l'IP dell'attaccante e il payload

Seguiamo lo stream TCP ed estraiamo il contenuto trasferito:

# segui lo stream numero 7 ed esporta il payload grezzo
tshark -r capture.pcap -q -z follow,tcp,raw,7

# estrai eventuali oggetti HTTP scaricati
tshark -r capture.pcap --export-objects http,./out

Il payload contiene un comando PowerShell offuscato in Base64. Lo decodifichiamo per analizzarlo in sicurezza:

echo 'cG93ZXJzaGVsbCAtbm9wIC1lbmMgSQBFAFgAKAAuAC4ALgApAA==' | base64 -d
# -> powershell -nop -enc IEX(...)  : downloader del secondo stadio

4. Ricostruzione della timeline

Correlando l'orario dei pacchetti con i log di Splunk ricostruiamo la sequenza dell'incidente:

• T0 — alert IDS per scan esterno verso l'edge.
• T0+6m — sfruttamento del servizio VPN/firewall esposto.
• T0+22m — dump credenziali (accesso a LSASS).
• T0+58m — movimento laterale via SMB.
• T0+2h — beacon C2 sulla porta 4444 ed esfiltrazione.

5. Flag e lessons learned

La "flag" dell'esercizio è l'IP del C2 (45.77.x.x) e l'hash del payload di secondo stadio. Lezioni operative:

• Una porta non standard verso un dominio mai visto è già un forte segnale.
• PCAP e log SIEM si validano a vicenda: nessuna fonte da sola basta.
• La timeline è l'output che rende l'analisi azionabile per il management.

Conclusione

Un'investigazione efficace non è magia: è metodo. Partire dall'anomalia, scendere al pacchetto, isolare il payload e ricostruire la storia. Ogni passo restringe il campo finché l'incidente non è completamente compreso.