Corrigé – Analyse mémoire Windows compromis

Objectif de l'exercice

À partir d’un dump mémoire Windows (memdump.mem), il faut reconstituer le déroulement de l’attaque et mettre en évidence les indices laissés par l’attaquant.

L’analyse doit permettre de :

1. Retrouver le processus Python utilisé pour exécuter le reverse shell.
2. Identifier si l’attaquant a scanné le réseau.
3. Mettre en évidence le fichier et la faille utilisés pour compromettre le NAS Debian.
4. Conclure sur la vulnérabilité exploitée (CVE).

Étape 1 – Observation des processus actifs

La première étape d’une analyse mémoire consiste à examiner la liste des processus en cours d’exécution au moment de la capture. Cela permet de détecter rapidement des programmes suspects qui n’ont rien à faire sur un poste utilisateur.

python vol.py -f memdump.mem windows.pslist

On observe ici un processus python3.13.exe qui exécute un script nommé payload.py.

La présence d’un tel script Python est inhabituelle et suspecte : il s’agit du code malveillant utilisé par l’attaquant pour établir un reverse shell.

Ce processus est bien celui qui a initié la connexion TCP inhabituelle demandée dans la Q1.

Étape 2 – Analyse des arguments des processus

Après avoir repéré des processus suspects, il faut regarder leurs arguments de lancement. Les lignes de commande révèlent les actions exactes de l’attaquant.

python vol.py -f memdump.mem windows.cmdline

2.1 – Listener Ncat

On retrouve :

ncat.exe -l 4444

Cette commande met en place un listener sur le port 4444. Une fois le NAS compromis, celui-ci se connectera sur ce port et l’attaquant obtiendra un shell interactif.

2.2 – Scan réseau avec Nmap

On voit aussi :

nmap.exe -Pn ***** ******

Explication des options :

• -Pn : ignore le ping et considère toutes les machines comme vivantes.
• -sT : scan TCP connect basique mais efficace.
• -p 1-1000 : scan des 1000 premiers ports.
• --randomize-hosts : change l’ordre des adresses pour brouiller les pistes.
• 192.168.159.0/24 : cible l’ensemble du sous-réseau local.

Ce scan a permis à l’attaquant de détecter le NAS Debian et son service SMB (port 445).

2.3 – Corrélation des résultats

La combinaison des arguments montre une séquence cohérente :

• nmap.exe a servi à cartographier le réseau et identifier le service vulnérable.
• ncat.exe a ouvert un port d’écoute (4444) pour recevoir un reverse shell.
• python3.13.exe a exécuté payload.py, le script utilisé pour établir la connexion malveillante.

Conclusion finale

L’analyse mémoire met en évidence le scénario suivant :

1. Exécution d’un script Python qui a initié le reverse shell.
2. Scan réseau avec Nmap → détection du service SMB exposé par le NAS Debian.
3. Mise en place d’un listener avec Ncat sur le port 4444.
4. Transfert et exécution d’un fichier malveillant via le protocole SMB.

Tous ces éléments permettent de conclure que l’attaquant a exploité la vulnérabilité critique SMBGhost.