CTF-2 : Investigation Numérique

Bienvenue face au dernier Capture The Flag de l'édition Prologin 2025 !

Cette première épreuve se décompose en trois parties, qui peuvent se résoudre de manière indépendante :

• Un challenge de système
• Un challenge de cryptographie
• Un challenge d'OSINT

Les trois challenges prennent place dans le même contexte, mais il n'est pas nécessaire de les résoudre dans l'ordre.

Introduction

Après avoir récemment rencontré et discuté avec un interlocuteur par mail, Joseph Marchand réalise qu'il s'est fait avoir ! Il a exécuté une commande qu'il n'aurait sûrement pas dû, et a perdu l'accès au contenu d'un dossier très important sur sa machine. Il vous appelle à l'aide pour comprendre ce qu'il s'est passé, récupérer ses fichiers, et retrouver l'attaquant.

Les trois étapes de cette épreuves se feront sur cette machine virtuelle[1], une copie conforme de l'ordi de Joseph Marchand. Pour vous aider à accéder à la machine, un guide de l'analyste débutant vous est remis.

[1] - Checksum md5 de JosephMachine.zip : cd8f98bb0a09466b2aef3f88776e2cd7. Le fichier pèse 7.735Gio.

Étape 1 - Système

Ayant suivi le guide, vous avez probablement réussi à vous introduire sur son ordinateur en contournant la page de connexion. Mais, en trifouillant dans ses Documents, vous trouvez une note que Joseph Marchand a laissé, qui pourrait bien vous aider à retrouver son mot de passe pour de bon. Le flag de cette étape est le mot de passe du compte de Joseph Marchand sur sa machine. Le mot de passe est déjà dans le format PROLOGIN{...}.

Étape 2 - Cryptographie

Ayant accès à la machine, vous décidez de fouiller l'historique des dernières commandes que Joseph Marchand aurait exécuté avant de perdre certains de ses fichiers. Ce faisant, vous parvenez à comprendre exactement comment l'attaquant s'y est pris pour chiffrer le précieux dossier de Joseph. En analysant de plus près la méthode de l'attaquant, vous vous rendez compte qu'il est possible de restaurer intégralement les fichiers de Joseph ! Le flag se trouve dans la version originale du fichier flag.txt, et est déjà dans le format PROLOGIN{...}

Étape 3 - OSINT

En fouillant un peu les téléchargements de Joseph, ou son historique Firefox, vous comprenez vite qu'il utilisait thunderbird comme client mail. En démarrant thunderbird, vous réalisez que Joseph s'est récemment déconnecté de sa session. Pour autant, il est possible que certaines traces des mails qu'il a reçu soient toujours présents et accessible sur son ordinateur... En lisant les derniers mails, vous retrouverez une photo d'un bus stationné à un arrêt. Le flag est simplement le nom de l'arrêt comme écrit sur le panneau (malheureusement tout juste hors cadre). Il n'est pas nécessaire d'encadrer le flag avec PROLOGIN{...}