# Утечка данных с сервера Pinecraft | 3 флага | Форензика

## Информация

> Во время Гранд-Турнира Pinecraft один из серверных плагинов начал вести себя подозрительно:
> файрвол зафиксировал аномальные DNS-запросы и HTTP-трафик, уходящий на неизвестный внешний хост.
> Администратор оперативно снял дамп сетевого трафика. Разберись, куда утекали данные
> и что именно было украдено.

## Описание

Задача на анализ сетевого трафика с элементами DNS-туннелирования. В PCAP-файле (~14 КБ)
содержится смесь легитимного трафика (DNS к mojang.com/minecraft.net, TCP 25565 Minecraft,
HTTPS) и вредоносной активности: DNS A-запросы к C2-домену, DNS-эксфильтрация данных
через hex-кодированные поддомены и HTTP POST с base64-кодированным JSON-телом.

Участнику необходимо последовательно обнаружить C2-домен, извлечь и декодировать
hex-данные из DNS-запросов, а также найти и декодировать base64-тело HTTP POST-запроса.

Сложность: 10 класс (средний уровень).

## Решение

1. Фильтр DNS-запросов — среди легитимных доменов обнаружить подозрительный `mc-textures.evil.net`
2. Фильтр DNS-запросов к `*.data.mc-textures.evil.net` — извлечь hex-поддомены, склеить, декодировать
3. Фильтр HTTP POST — найти запрос к C2, декодировать base64-тело, извлечь `admin_token` из JSON

[Решение](solve/task.md)

## Флаги

1. `vsosh{mc-textures.evil.net}` — домен C2-сервера, на который уходили данные
2. `vsosh{p1n3cr4ft_l34k}` — декодированные hex-данные из DNS-туннеля
3. `vsosh{4dm1n_t0k3n_st0l3n}` — значение admin_token из base64-кодированного JSON в HTTP POST
