# Бэкдор в процессе текстур-кэша | 2 флага | Форензика

## Информация

> После обнаружения DNS-туннеля на сервере Pinecraft (задание 10-1) администраторы провели
> аудит запущенных процессов и нашли подозрительный Python-скрипт, маскировавшийся под
> «обновлятор кэша текстур». Прежде чем убить процесс, админ снял дамп памяти через `gcore`.
> В дампе скрыты адрес командного центра (C2) и украденный пароль администратора.

## Описание

Задача на анализ дампа памяти реального процесса (core dump Python-приложения).
Участнику необходимо извлечь из сырого дампа два артефакта: URL вредоносного C2-сервера
(простой поиск строк) и украденный пароль, спрятанный в закодированном
конфигурационном блоке (обнаружение base64, декодирование, парсинг JSON).

Сложность: 10 класс (средний уровень).

## Решение

1. `strings suspicious_process.dmp | grep -i "http.*evil"` — найти URL командного центра
2. `strings suspicious_process.dmp | grep "cached_config"` — найти закодированную конфигурацию
3. Декодировать base64 — получить JSON с полем `stolen_password`

[Решение](solve/task.md)

## Флаги

1. `vsosh{http://mc-update.evil.net/beacon}` — URL командного C2-сервера
2. `vsosh{N3th3r_P0rt4l_S3cr3t}` — украденный пароль администратора из конфигурации бэкдора
