YogoshESD-CTF - OSINT Challenges

[NO ENGLISH VERSION - Only French is available for this post]

Le Yogosh-ESD CTF est un évènement en ligne proposé par l’école ESD en partenariat avec Yogosha et BZHack. Plusieurs catégories de challenges étaient présentes, comme pour la majorité des évènements de ce type. Arrivé 7e au classement, en m’étant notamment concentré sur les challenges OSINT, ce billet détaille les solutions de quelques un de ces challenges (hors challenge CLUEDOSINT qui a droit à un articlé dédié!).

ESD Challenge (100 points)

A la fin du premier hiver de la vie du compte ESD academy, celui-ci a posté 
une photo prise par un stagiaire. Trouvez le numéro de téléphone du batiment
 avec un toit en alliage de cuivre et d étain sur la photo. exemple : FLAG{+33805626000}

Ce premier challenge se décompose en deux parties distinctes :

• Identifier la photo mentionnée dans l’énoncé
• Localiser le lieu dont ce dernier fait référence

Une recherche rapide sur Twitter nous amène vers le compte suivant : @esd_academy. La période mentionnée est plutôt vague, puisqu’on nous parle de “la fin du premier hiver de la vie du compte”. Il va dônc être nécessaire non seulement d’identifier la date de création du compte, mais plus important encore, de remonter l’historique de tweets de ce dernier.

Heureusement, il existe pour cela des outils en ligne très pratiques, tels que “All My Tweets” (lien). Grâce à ce dernier, on peut remonter jusqu’au premier tweet du compte, le 23/11/2017 (lien). Suite à cela et en retraçant progressivement l’historique de publication, on arrive logiquement autour du 21/03/2018, période de fin de l’hiver.

En réalité, deux tweets ont été postés le 20 Mars 2018 :

• https://twitter.com/esd_academy/status/975968288659386368
• https://twitter.com/esd_academy/status/975997964039663616

Cependant, le premier des deux n’affiche aucun batiment avec un alliage, comme celui mentionné dans l’énoncé. Le second tweet correspond quant à lui à la description faite.

Bien, il faut maintenant trouver quel est ce batiment, puis le numéro de téléphone associé. Première indication, on sait via le tweet que nous sommes à Singapour.

Sans aller trop loin dans l’analyse des éléments visuels, voici quelques informations utiles à relever :

• Terrain de sport au premier plan ;
• Batiment de HSBC en arrière plan, à gauche ;
• Batiment de Singtel en arrière plan, à droite.

Dans les faits, ces seules informations sont suffisantes pour trouver l’endroit. En effet, en cherchant successivement les batiments Singtel, mais surtout HSBC à Singapour sur Maps, on trouve assez rapidement une correspondance, notamment grâce aux photos des différents batiments de HSBC sur place. Une tour comme celle ci, il n’y en a pas 40 :).

Si on se déplace maintenant légèrement au Nord, on trouve un terrain ressemblant en tous points à notre image, nommé “Padang”. De fil en aiguille, en regardant les batiments situés à côté de ce dernier, on tombe rapidement sur la Galerie Nationale de Singapour, ainsi que sur son numéro, via la page Google. \o/

Bonus : Les éléments sur ce challenge étant plutôt reconnaissables (du moins, pour notre cher Internet) il est possible de se passer de cette recherche manuelle au profit d’une recherche par image. L’outil Duplichecker (lien) permet notamment de comparer les résultats de plusieurs moteurs de recherches, dont Yandex et Bing, généralement pertinents pour ce type de recherche.

Et en effet.. ;-)

Email Investigation (150 points)

Il y a une personne qui s'appelle Alexandre ALBERT. Il est enquêteur forensic, et il a le flag.

Selon ma source :

il a récemment visité l'Espagne pour une tournée, et il a gardé le flag quelque part en Espagne.
Le flag est enveloppé sous les services Google. Alors trouvez-le, je veux une enquête limpide.
Prenez toutes les mesures que vous devez prendre. Nous avons reçu que son adresse e-mail 
qu'il a utilisé pour réserver les billets. E-mail : alexandrea6nmm8@gmail.com

Ce challenge se concentre sur la recherche d’informations associées à un compte Gmail, en pivotant sur l’adresse e-mail comme point de départ. J’utiliserai comme base deux super articles de @Sector035 sur le sujet :

• https://sector035.nl/articles/getting-a-grasp-on-google-ids
• https://sector035.nl/articles/keeping-a-grip-on-google-ids

Pour faire court, à chaque utilisateur possédant un compte Google est associé un identifiant de la forme “11XXXXXXXXXXXXXXXXXXX” qu’il est possible d’utiliser au travers des autres services de Google.

Si le sujet vous intéresse je vous conseille vivement les deux articles ci-dessus. Non pas que je ne veuille pas expliquer et le faire manuellement, mais cela me permet de citer l’excellent outil de (@Epieos, permettant d’automatiser le tout : Email Lookup

Voilà ce quue nous pouvons récupérer avec l’adresse e-mail donnée dans l’énoncé :

• Email : alexandrea6nmm8@gmail.com
• Name : Alexandre ALBERT
• GoogleID : 117060489864398968853
• Last Update : 2021-05-26 04:12:12
• Maps https://www.google.com/maps/contrib/117060489864398968853
• Photos https://get.google.com/albumarchive/117060489864398968853/albums/profile-photos
• Calendar : https://calendar.google.com/calendar/htmlembed?src=alexandrea6nmm8@gmail.com

L’énoncé mentionne un voyage en Espagne où il aurait laissé un flag. Ce qu’il faut comprendre ici, c’est qu’il est possible de retracer les différents messages ou photos postés par un utilisateur sur les lieux référencés dans Maps. Appelés contributions, ces messages peuvent par exemple être des avis laissés.

L’analyse ci-dessus permet notamment de récupérer les différentes contributions de l’utilisateur et ainsi de voir que Alexandre a laissé un avis sur le stade Santiago Bernabéu, à Madrid.

Flag \o/

Ph nglui mglw-nafh (200 points)

Durant sa vie le créateur du mythe des grands anciens fut cité dans un journal d'une 
université américaine ou il gagna un prix. Mais pouvez vous me donnez le nom du magasin
actuellement à la place du vendeur de ventilateur de l'époque ? exemple : FLAG{Ascendances}

Challenge légèrement plus complexe, mais pas moins intéressant car il m’a permis de découvrir un nouvel outil !

Première chose à faire, comprendre de quoi nous parle cet énoncé pour le moins… flou :

• Créateur du mythe des grands anciens ?
• Journal d’une université américaine –> Ok, ça, plus tard
• Le nom du magasin actuellement à la place du vendeur de ventilateur de l’époque –> Gné ?? On verra plus tard, peut être lié au journal.

Bon. Peut être que ma culture générale est limitée, mais il m’a fallu chercher qui était ce fameux créateur. Une rapide recherche Google nous indique que le mythe des grands anciens fait référence à l’oeuvre de Howard Phillips Lovecraft. Peut être le nom de Cthulhu vous parait-il plus familier ? Il s’agit bien de cet univers.

On sait donc que notre cher Lovecraft a été cité, durant sa vie (et c’est important), dans le journal d’une université américaine, où il a gagné un prix. On sait donc quoi chercher.

Et là, c’est le drame. Peut-être existe-t-il des écrits facilement accessibles à ce sujet sur Internet, mais les 2 heures passées ne m’ont pas permis de récupérer ce fameux journal, ni même de l’identifier.

C’est à ce moment qu’intervient un indice MAJEUR donné sur le channel Discord du CTF :

prends une tisane éléphant pour te réchauffer sur cthulhu !D

Kesako ? Ce n’est que quelques recherches plus tard, croisant les éléments en notre possession que l’on découvre l’existant du Graal (du moins, pour ce challenge :D), j’ai nommé Elephind, qui, comme le titre le dit si bien, permet de chercher dans les journaux historiques du monde entier !

On peut donc commencer notre recherche avec le terme “Lovecraft” puis en filtrant sur le pays : United States. Oui, mais pas que ! On sait également que cette citation a été réalisée de son vivant. On peut donc également se faciliter le travail en rajoutant un filtre sur la date.

Lovecraft est né en 1890 et est décédé en 1937. En supposant qu’il avait au moins 10 ans au moment de cette parution, on filtre sur 1900-1937.

Seulement 5 résultats à traiter, et inutile d’aller bien loin. Le premier journal, “The Cambridge Tribune” du 03/07/1920 cite notamment Lovecraft avec la phrase suivante :

It is interesting to note that the first award went to Howard Phillips Lovecraft, of Providence...

C’est donc cohérent avec l’énoncé. Mais l’élément qui nous permet de confirmer que nous sommes sur le bon document est également sur la page, puisque dans le coin supérieur droit, une publicité est faite pour “Cambridge Electric Light Co.”, un vendeur de ventilateurs !

Situé à l’époque au 8 Brattle Street à Harvard Square, il ne nous reste plus qu’à chercher quel commerce y est actuellement installé.

Et c’est donc Origins !

Sound2teuf (200 points)

frédéric Thouin a fait une vidéo sur son jeu préféré publique sur internet.
Il a utilisé un son. Trouvez l'artiste de ce son, il a appartenu a 2 sound
System associatif, dont un d'angers. A partir de nom de l'association d'Angers,
trouvez le speudo de la personne qui faisait des émissions de radio sur Radio-G
et qui les a publié en vidéo.

A partir de ce pseudo trouvez l'unique mix qu'il a mis a disposition sur une plateforme
de son en ligne, et donner le nom du mix. Hint : frédéric thouin a commenté le mix avec son speudo

exemple : FLAG{taTayoyo Hardcore Mix 25.12.06 by bibi.}

Plusieurs étapes dans ce challenge qui n’était au final pas si compliqué, mais plus long. Découpons l’énoncé :

• Premièrement, trouver Frédéric Thouin, son jeu préféré ainsi que la vidéo ;
• Puis, identifier le son, ainsi que l’artiste ;
• Puis identifier l’association mentionée ainsi que le pseudo de la personne ;
• Enfin, aller chercher le mix publié sur une plateforme de son en ligne.

Ok. Première chose, une rapide recherche sur le nom “Frédéric Thouin” nous amène à son pseudo, plus utile dans le cadre de ce challenge : penthium2 ! (lien)

Bonjour, pourrais-tu te présenter en deux ou trois phrases ? Quatre seront acceptées aussi.

Je m’appelle Frédéric Thouin, 37 ans. Je fais de l’informatique ludique depuis 1982
( TI99A, Spectrum, to7, cpc464, Commodore Amiga, Apple 2C, pc,..) et je suis devenu
informaticien professionnel en 1999. J’ai d’abord travaillé pour NEC computer SAS,
et maintenant je suis Formateur à ENI école. Je joue avec linux depuis 2009.

Quel est l’origine de ton pseudo, si tu en utilises un ?

Pseudo : penthium2 ! L’explication est une longue histoire personnelle, la seule
chose que je puisse dire c’est qu’il y a un H comme dans thouin.

A partir de là, une nouvelle recherche toute simple permet d’identifier une chaine Dailymotion associée à notre ami.

La chaine en question ne convient qu’une vidéo, publiée il y a 9 ans sur le jeu Minecraft (lien).

Premier point : check =)

La description de la vidéo est tout autant intéressante :

un trip de 10000block environ en train
music : pedro l'ane aka kankrelune
http://soundcloud.com/kankrelune

Je crois bien que le second point est également : check !

Passons maintenant aux Sound System (associations) ainsi qu’à la personne sur Radio-G. Dans la continuité des précédentes collectes d’information, une recherche sur “kankrelune” nous amène directement sur le site “son2teuf” (lien), visiblement en lien direct avec le nom de notre challenge… Et notamment sur le message suivant :

Pédro l'Âne aka Kankrelune... Mixouilleur bidouilleur compositeur emmerdeur depuis le
milieu des années 90... membres d'USF jusqu'en 2001 puis de Cir-K-Son et de Kohort...
co organisateur de divers évènements (pour les) petits et grands... blabla bla bla...

http://kankrelune.cir-k-son.org/
http://www.cir-k-son.org/
http://kriktus.cir-k-son.org/

http://www.mixcloud.com/Kankrelune
http://www.soundcloud.com/kankrelune

Passons les liens vers diverses plateformes, on obtient deux éléments intéressants : Cir-k-son et Kohort, qui pourraient être les deux associations dont parle l’énoncé.

On avance, on avance ! On continue les pivots en cherchant un lien entre Radio-G et l’un des deux termes précédents, et on trouve ça.

Un thread, d’un certain “kohort”, régulièrement alimenté d’une programmation radio pour l’émission “MIAOUMIX” sur Radio-G ! Cerise sur le gateau, on nous donne le nom de trois animateurs : Aliocha, Scratchy et Itchy.

Troisième point, check !

Dernière ligne droite, retrouver le mix. La plateforme de prédilection pour ce type de contenu étant SoundCloud, c’est tout naturellement que nous commençons nos recherches par là. Mais bon, ces pseudos sont assez “communs” :

• Aliocha : 126 utilisateurs
• Scratchy : +500 utilisateurs
• Itchy : +500 utilisateurs

Hors de question de tous se les faire. On va donc utiliser la dernière partie de l’énoncé nous disant que notre cher penthium2 a commencé le mix recherché, avec son pseudo.

C’est déjà mieux ! :)

On file dans les commentaires voir qu’un unique post a été effectué sur un mix de “DJ Scratchy” nommé “RADIKAL IMPRO MiX D&Bass 27.07.07 By Dj Scratchy.” (Le point, c’est important pour flag!)

Quatrième et dernier point, check. Et flag, on a notre mix ! \o/

Bonus : Mais… Au fait, il se passe quoi si après la toute première recherche visant à trouver le pseudo de notre compère, on fouille un peu en détails les résultats Google ?

Réponse : On bypass tout le challenge et on s’épargne des tonnes de recherches :D

Petite remarque/pensée personnelle : Bien que le challenge ait été intéressant à résoudre, j’ai trouvé l’énoncé quelque peu hasardeux ou flou dans les tournures, ne facilitant pas la chose !

Fin des challenges OSINT pour ce CTF ! Du moins, pour les challenges indépendant. En effet, un scénario nommé “CLUEDOSINT” a également été joué, mais c’est un autre histoire (cf. un autre billet juste après!).