Forense (XV): Solución Reto 4 CyberOlympics 2018

Comienzo en este post a poner soluciones a los retos de la edición de 2018 de CyberOlympics, competición en modalidad 'on-line', estilo 'Capture the Flag'  y formato 'Jeopardy' dirigida a centros educativos y organizada por el Instituto Nacional de Ciberseguridad (INCIBE) en el marco de la actividad llamada CyberCamp.

En este caso se trata de un desafío de la categoría "Forense" que, en mi opinión, presentaba un nivel de dificultad medio (★★★☆☆), pero tirando a alto.

Su enunciado decía lo siguiente: Te remiten un fichero pcap para que averigües qué datos esconde detrás ya que nadie sabe de qué se trata, ¿Qué son exactamente estos datos?.

Solución: abro con 'Wireshark' el archivo asociado al reto (data.pcap) y veo que los paquetes capturados se corresponden con el tráfico de un dispositivo USB (teclado, ratón, memoria, etc.):

No veo paquetes que me puedan indicar el tipo de dispositivo USB al que corresponde este tráfico.

En cada uno de los paquetes el campo 'Leftover Capture Data' contiene los datos capturados del dispositivo USB:

Para ver en la sección superior de wireshark los valores de este campo en todos los paquetes, y así poder analizarlos más cómodamente, incluyo ese campo como una columna más y veo que todos ellos muestran un valor hexadecimal de longitud 8 Bytes. La mayor parte de los Bytes contienen el valor '00' y cuando un Byte contiene un valor diferente éste se encuentra en el tercer Byte:

Pero sigo sin saber lo fundamental, ¿qué tipo de dispositivo USB ha generado el tráfico?. Investigando por Internet con relación a este aspecto en los dispositivos USB más frecuentes llego a la conclusión de que se podría tratar del tráfico generado por un teclado USB.

Si es así, el formato de los 8 Bytes capturados en cada paquete sería el siguiente:

- Byte 0: bits modificadores del teclado (SHIFT, ALT, CTRL, etc.).
- Byte 1: reservado.
- Byte 2-7: hasta seis ID o códigos que representan las teclas que se pulsan en un momento dado.

Los códigos presentes en el tercer Byte se corresponderían con las siguientes teclas:

Compruebo si estoy en lo cierto:

0000090000000000 f

00000f0000000000 l

0000040000000000 a

00000a0000000000 g

00002c0000000000 ' '

00000c0000000000 i

0000160000000000 s

00002c0000000000 ' '

00001a0000000000 w

0000200000000000 3

0000110000000000 n

0000200000000000 3

0000200000000000 3

0000070000000000 d

0000100000000000 m

0000120000000000 o

0000150000000000 r

0000200000000000 3

0000090000000000 f

0000150000000000 r

0000080000000000 e

0000080000000000 e

0000070000000000 d

0000120000000000 o

0000100000000000 m

Es decir: flag is w3n33dmor3freedom.