Window Pains 3

Window Pains で使ったファイルについて、悪意のあるプロセスの名前を要求された。

Volatility 3 を用い、vol.py -h の出力から使えそうなものを探すと、以下のものがあった。

Regarding the file used in Window Pains, the name of the malicious process was asked.

Using Volatility 3, I searched for something that looks useful from the output of vol.py -h. As a result, I found this:

windows.malfind.Malfind Lists process memory ranges that potentially contain injected code.

この windows.malfind.Malfind の結果から grep で exe を含む行を抽出すると、以下の結果が得られた。

I used grep to extract lines that contains exe from the result of windows.malfind.Malfind. This is the result:

malfind_grep_exe.txt

この結果には5種類のプロセスが含まれ、ここから以下の5種類がflagの候補として挙がった。

This result contained 5 kinds of processes, and these turned into these 5 candidates of the flag.

flag{MsMpEng.exe_1620}
flag{SearchApp.exe_5780}
flag{powershell.exe_1796}
flag{powershell.exe_10284}
flag{userinit.exe_8180}

この問題のattempt数の制限はちょうど5回までだったので、これらの候補を順に試したところ、最後の候補がCorrectとなった。

The limit of the number of attempts for this challenge was 5 times, and this number is just as many as the number of candidates.
I tried these candidates one-by-one, and the last one was judged as Correct.

flag{userinit.exe_8180}

DEADFACE CTF