morimori Security Blog

A practical guide to CyberChef — encoding/decoding, XOR brute force, JWT inspection, regex extraction, and the Magic operation for CTF and security analysis.

CyberChef 実践ガイド — エンコード・デコード・XORブルートフォース・JWT確認・正規表現抽出・Magic機能を CTF・セキュリティ調査で使いこなす。

HackTheBox Sherlock TickTock walkthrough: reconstructing a TeamViewer-led intrusion on the gladys workstation from a KAPE triage — the dropped Merlin C2 (merlin.exe), its C2 IP and SHA1/SHA2 from Windows Defender MPLog, a BitLocker password attempt, and anti-forensic system-time manipulation (Invoke-TimeWizard.ps1, 2371 changes via Event ID 4616).

HackTheBox Sherlock TickTock 解説。KAPE トリアージから gladys ワークステーションへの TeamViewer 経由の侵入を再構築する — 投下された Merlin C2(merlin.exe)、その C2 IP と Windows Defender MPLog から得る SHA1/SHA2、BitLocker パスワード試行、そして Invoke-TimeWizard.ps1 による反フォレンジックなシステム時刻改ざん(Event ID 4616 が 2371 回)。

HackTheBox Sherlock Unit42 walkthrough: reconstructing a malware infection from a single Sysmon event log — malicious double-extension binary, time stomping, connectivity check, C2 reachout, and a backdoored UltraVNC implant.

HackTheBox Sherlock Unit42 解説。たった1つの Sysmon イベントログから、二重拡張子マルウェア・タイムスタンプ改ざん・到達性チェック・C2通信・バックドア化された UltraVNC までの感染チェーンを再構築する。

HackTheBox Sherlock Tracer walkthrough: tracing PsExec lateral movement on a Windows workstation from the PsExec Operational log alone — counting executions, identifying the dropped PSEXESVC service binary, the .key file and named pipes, and proving which host the attacker moved laterally from by reading the recorded command line.

HackTheBox Sherlock Tracer 解説。PSEXESVC の Operational ログ「だけ」から Windows ワークステーション上の PsExec 横展開を追跡する。実行回数を数え、ドロップされた PSEXESVC サービスバイナリ・.key ファイル・名前付きパイプを特定し、記録されたコマンドラインから攻撃者がどのホストから横展開してきたかを立証する。

HackTheBox Sherlock LogJammer walkthrough: reconstructing an attacker's post-compromise activity from a single Windows host's event logs — tracing the first logon (4624), a malicious outbound firewall rule (2004), an audit-policy change (4719), a scheduled task (4698), a Defender SharpHound detection (1116/1117), PowerShell ScriptBlock logging (4104), and the firewall log being cleared (104) across five EVTX channels.

HackTheBox Sherlock LogJammer 解説。1台の Windows ホストのイベントログだけから攻撃者の侵入後の活動を復元する。初回ログオン(4624)、悪性のアウトバウンド・ファイアウォール規則(2004)、監査ポリシー変更(4719)、スケジュールタスク(4698)、Defender の SharpHound 検知(1116/1117)、PowerShell の ScriptBlock ログ(4104)、そしてファイアウォールログのクリア(104)を、5つの EVTX チャネルに跨って追う。

HackTheBox Sherlock Campfire-2 walkthrough: detecting an AS-REP Roasting attack against Active Directory from the Domain Controller security log alone — spotting Event ID 4768 with Pre-Authentication Type 0 and RC4 (0x17), then correlating logons to attribute the compromised account that launched it.

HackTheBox Sherlock Campfire-2 解説。ドメインコントローラのセキュリティログ「だけ」から Active Directory への AS-REP Roasting 攻撃を検知する。Event ID 4768 の事前認証タイプ 0 と RC4(0x17)を見抜き、ログオンを突き合わせて攻撃を実行した侵害アカウントを特定する。

HackTheBox Sherlock Campfire-1 walkthrough: detecting a Kerberoasting attack against an Active Directory domain by correlating Domain Controller Event ID 4769 (RC4 TGS requests) with endpoint PowerShell ScriptBlock logs (PowerView) and Prefetch (Rubeus).

HackTheBox Sherlock Campfire-1 解説。ドメインコントローラの Event ID 4769(RC4 の TGS 要求)と、エンドポイントの PowerShell ScriptBlock ログ(PowerView)・Prefetch(Rubeus)を突き合わせ、Active Directory への Kerberoasting 攻撃を検知・特定する。

HackTheBox Sherlock BFT walkthrough: reconstructing an intrusion from the NTFS $MFT alone — Zone.Identifier (Mark-of-the-Web) IOCs, $STANDARD_INFORMATION vs $FILE_NAME timestamps, MFT record hex offsets, and recovering C2 details from an MFT-resident file.