Downloader (244 pts)

Di sini kita diberikan file Quarantined.zip dan diminta menjawab beberapa pertanyaan yang bisa diverifikasi lewat service nc 103.167.136.75 1112.

Ketika di unzip, isi dari file .zip tersebut adalah sebuah file shortcut MS Windows. Saya mencoba menjalankan command cat terhadap file tersebut untuk melihat isinya. Di dalamnya, tampak ada command Powershell untuk men-download sebuah file .exe dan menjalankannya.

Di sini kita dapat melihat ada baris yang menyebutkan ‘http://2filmes.com/svchost.exe’. Dari sini berarti kita telah mendapat jawaban untuk pertanyaan nomor 1 dan 2 yakni 2filmes dan svchost.exe. Untuk pertanyaan-pertanyaan berikutnya, saya mencoba memanfaatkan URL yang sudah diketahui untuk mencari jawabannya.

Setelah beberapa lama mencari jawaban dan menggunakan berbagai tools, saya menemukan sebuah write-up yang cukup berguna: https://ctftime.org/writeup/19137. Write-up ini mengarahkan pada tool https://www.virustotal.com/.

Memasukkan URL yang diketahui pada situs tersebut, saya berhasil mendapatkan IP-nya, yakni 104.37.35.127. Setelah itu saya menggunakan tool pada https://www.iplocation.net/ip-lookup untuk menemukan negara yang meluncurkan domain-nya, yaitu Denmark.

Flag: NCW22{2filmes_svchost.exe_104.37.35.127_Denmark}