Hack The Box Sherlock – LogJammer
Moeilijkheidsgraad: Easy
Released: 13 november 2023
Gemaakt door: CyberJunkie
Categorie: Blue Team / Windows Forensics / DFIR
Deze write-up is geschreven door inqwert
Officiële scenario-omschrijving (Hack The Box)
You have been presented with the opportunity to work as a junior DFIR consultant for a big consultancy. However, they have provided a technical assessment for you to complete. The consultancy Forela-Security would like to gauge your knowledge of Windows Event Log Analysis. Please analyse and report back on the questions they have asked.
Kort samengevat: je krijgt vijf Windows Event Log-bestanden (.evtx) en moet als junior DFIR-analist reconstrueren wat de gebruiker cyberjunkie op het systeem heeft gedaan. Dit is een klassieke Windows Event Log-oefening.
Bestanden in de download
| Bestand | Type | Doel |
|---|---|---|
Security.evtx | Windows Event Log | Logons, audit policy changes, scheduled tasks, log clearing |
System.evtx | Windows Event Log | Event Log service events (log clearing) |
Powershell-Operational.evtx | Windows Event Log | PowerShell ScriptBlock logging |
Windows Defender-Operational.evtx | Windows Event Log | Antivirus detections & actions |
Windows Firewall-Firewall.evtx | Windows Event Log | Firewall rule changes |
Voorbereiding – bestanden uitpakken
Waarom eerst dit?
Altijd eerst kijken wat er in de zip zit en welke logs je krijgt. Bij Windows Event Logs is het belangrijk om te weten welke kanalen beschikbaar zijn.
mkdir -p /home/workdir/artifacts/logjammer
7z x -y -phacktheblue -o/home/workdir/artifacts/logjammer/ logjammer.zip
ls -la /home/workdir/artifacts/logjammer/Event-Logs/Waarom 7z?
De zip gebruikt AES-encryptie. Standaard unzip kan dat vaak niet aan.
Task 1 – When did the cyberjunkie user first successfully log into his computer? (UTC)
Denkproces:
Succesvolle logons staan in het Security-log met Event ID 4624. Ik zoek specifiek naar de gebruiker CyberJunkie.
# Met python-evtx of Event Viewer / EvtxECmd
# Filter op EventID 4624 + TargetUserName = CyberJunkieDe eerste succesvolle logon is:
27/03/2023 14:37:09| Task | Antwoord |
|---|---|
| 1 | 27/03/2023 14:37:09 |
Task 2 & 3 – Firewall rule toegevoegd
Denkproces:
Firewall-wijzigingen staan in Windows Firewall-Firewall.evtx. Event ID 2004 = “A rule has been added to the Windows Firewall exception list”.
# Zoek naar EventID 2004 rond de tijd van de logon
# Relevant veld: RuleName en DirectionGevonden regel:
RuleName : Metasploit C2 Bypass
Direction : 2 (Outbound)Waarom Direction 2 = Outbound?
In Windows Firewall-events betekent:
1 = Inbound
2 = Outbound
| Task | Antwoord |
|---|---|
| 2 | Metasploit C2 Bypass |
| 3 | Outbound |
Task 4 – Audit policy gewijzigd
Denkproces:
Wijzigingen aan de audit policy staan in Security.evtx met Event ID 4719.
# EventID 4719 – System audit policy was changed
# SubcategoryGuid {0cce9227-69ae-11d9-bed3-505054503030} = Other Object Access Events| Task | Antwoord |
|---|---|
| 4 | Other Object Access Events |
Task 5, 6 & 7 – Scheduled Task
Denkproces:
Nieuwe scheduled tasks worden gelogd met Event ID 4698 in Security.evtx. In het EventData-veld TaskContent staat de volledige XML van de taak.
TaskName : \HTB-AUTOMATION
Command : C:\Users\CyberJunkie\Desktop\Automation-HTB.ps1
Arguments : -A cyberjunkie@hackthebox.eu| Task | Antwoord |
|---|---|
| 5 | HTB-AUTOMATION |
| 6 | C:\Users\CyberJunkie\Desktop\Automation-HTB.ps1 |
| 7 | -A cyberjunkie@hackthebox.eu |
Task 8, 9 & 10 – Windows Defender detectie
Denkproces:
Antivirus-detecties staan in Windows Defender-Operational.evtx. Belangrijke Event IDs:
– 1116 = malware detected
– 1117 = action taken
Threat Name : HackTool:MSIL/SharpHound!MSR
Path : C:\Users\CyberJunkie\Downloads\SharpHound-v1.1.0.zip
Action : Quarantine| Task | Antwoord |
|---|---|
| 8 | SharpHound |
| 9 | C:\Users\CyberJunkie\Downloads\SharpHound-v1.1.0.zip |
| 10 | Quarantine |
Task 11 – PowerShell-commando
Denkproces:
PowerShell ScriptBlock logging staat in Powershell-Operational.evtx met Event ID 4104.
ScriptBlockText : Get-FileHash -Algorithm md5 .\Desktop\Automation-HTB.ps1| Task | Antwoord |
|---|---|
| 11 | Get-FileHash -Algorithm md5 .\Desktop\Automation-HTB.ps1 |
Task 12 – Welk Event Log is gewist?
Denkproces:
Wanneer een Event Log wordt gewist, verschijnt Event ID 104 in het System-log (of 1102 in Security). Het veld Channel vertelt welk logbestand is gewist.
Channel : Microsoft-Windows-Windows Firewall With Advanced Security/Firewall| Task | Antwoord |
|---|---|
| 12 | Microsoft-Windows-Windows Firewall With Advanced Security/Firewall |
Complete antwoordenoverzicht
| Task | Vraag | Antwoord |
|---|---|---|
| 1 | Eerste succesvolle logon cyberjunkie (UTC) | 27/03/2023 14:37:09 |
| 2 | Naam van de firewall-regel | Metasploit C2 Bypass |
| 3 | Richting van de firewall-regel | Outbound |
| 4 | Subcategory van gewijzigde audit policy | Other Object Access Events |
| 5 | Naam van de scheduled task | HTB-AUTOMATION |
| 6 | Volledig pad van het geplande bestand | C:\Users\CyberJunkie\Desktop\Automation-HTB.ps1 |
| 7 | Argumenten van het commando | -A cyberjunkie@hackthebox.eu |
| 8 | Tool die door antivirus is gedetecteerd | SharpHound |
| 9 | Volledig pad van de malware | C:\Users\CyberJunkie\Downloads\SharpHound-v1.1.0.zip |
| 10 | Actie van de antivirus | Quarantine |
| 11 | Uitgevoerd PowerShell-commando | Get-FileHash -Algorithm md5 .\Desktop\Automation-HTB.ps1 |
| 12 | Gewist Event Log | Microsoft-Windows-Windows Firewall With Advanced Security/Firewall |
Aanvalsketen samengevat
- Gebruiker cyberjunkie logt succesvol in op 27/03/2023 14:37:09
- Maakt een outbound firewall-regel aan genaamd Metasploit C2 Bypass
- Wijzigt de audit policy (Other Object Access Events)
- Maakt scheduled task HTB-AUTOMATION die
Automation-HTB.ps1uitvoert met argument-A cyberjunkie@hackthebox.eu - Downloadt SharpHound (BloodHound collector) → wordt door Defender in quarantaine gezet
- Voert
Get-FileHashuit op het PowerShell-script - Wist het Windows Firewall-eventlog om sporen te wissen
Blue Team lessen & mitigaties
| Maatregel | Waarom effectief | Hoe implementeren |
|---|---|---|
| PowerShell ScriptBlock Logging | Ziet exact welke commands worden uitgevoerd | Enable via GPO (Event ID 4104) |
| Windows Defender + ASR rules | Blokkeert bekende tools zoals SharpHound | Attack Surface Reduction rules inschakelen |
| Firewall change monitoring | Detecteert verdachte outbound regels | Alert op Event ID 2004 met verdachte namen |
| Scheduled Task monitoring | Persistence-detectie | Alert op Event ID 4698 |
| Event Log clearing alerts | Tegenstander probeert sporen te wissen | Alert op Event ID 104 / 1102 |
| Centraliseer logs (SIEM) | Lokale logs kunnen gewist worden | Wazuh, Splunk, Elastic, Sentinel |
Verder lezen op hackerscollectief.nl/
- HTB Sherlock: Brutus – Complete Nederlandse Write-up
- HTB Sherlocks: forensisch en blue team leren in het Nederlands
- Wat is Hack The Box? De complete gids
LogJammer is een uitstekende Easy Sherlock om Windows Event Log-analyse onder de knie te krijgen. Je leert de belangrijkste Event IDs voor logons, firewall-wijzigingen, scheduled tasks, Defender-detecties en log clearing.
De kracht zit weer in het systematisch leggen van de puzzelstukjes — precies wat een goede blue-teamer elke dag doet.
Write-up door inqwert – Kennis zonder ruis.