File and Hash Threat Intel

File and Hash Threat Intel is an Easy-difficulty Blue Team room on TryHackMe aimed at SOC analysts. You step into the shoes of an L1 analyst who must triage suspicious binaries flagged by EDR and decide, in under 60 minutes, whether they are benign or malicious. The walkthrough teaches how to spot deceptive filenames, compute file hashes on Windows, and enrich the investigation with VirusTotal, MalwareBazaar, and Hybrid Analysis, mapping behavior to MITRE ATT&CK.

Task 1 — Introduction

No questions. The room sets the scene: you are an L1 analyst and several binaries have been flagged by EDR tooling. Your job is to analyze them and determine whether they are benign or malicious within a 60-minute window, mirroring the real pressure of a SOC shift.

File and Hash Threat Intel es un room Blue Team de nivel Easy en TryHackMe orientado a analistas SOC. Te pones en la piel de un analista L1 que debe triar binarios sospechosos marcados por el EDR y decidir, en menos de 60 minutos, si son benignos o maliciosos. El recorrido enseña a detectar nombres de archivo engañosos, calcular hashes en Windows y enriquecer la investigación con VirusTotal, MalwareBazaar e Hybrid Analysis, mapeando el comportamiento a MITRE ATT&CK.

Task 1 — Introduction

Sin preguntas. El room plantea el escenario: eres un analista L1 y varios binarios han sido marcados por herramientas EDR. Tu misión es analizarlos y determinar si son benignos o maliciosos dentro de una ventana de 60 minutos, simulando la presión real de un turno de SOC.

Task 2 — Filenames and Paths

The first clue to a malicious file is often the name itself. Attackers rely on several masquerading techniques:

• Double extensions: files such as payroll.pdf.exe, where a legitimate extension is prepended to the real executable extension so the file looks like a harmless document.
• System binary impersonation: malware named after legitimate Windows executables.
• Misleading names: files named to look like everyday, trustworthy content.

Beyond the room: double extensions work because Windows Explorer hides known file extensions by default ("Hide extensions for known file types", on since Windows 95). A file saved as payroll.pdf.exe is displayed to the user as just payroll.pdf — no exploit required, just a UI default that most users never disable.

Inspecting the files in the CTI folder on the desktop reveals payroll.pdf.exe, which appears to be a PDF but is actually an executable.

Q: One file displays one of the indicators mentioned. Can you identify the file and the indicator? (Format: file, property)
A: payroll.pdf, Double extensions

Task 3 — File Hash Lookup

A filename can lie, but a hash cannot. A cryptographic hash is a file's unique fingerprint: it does not change when the file is renamed, and it lets you look the file up on threat intelligence platforms. On Windows we can generate it without external tooling:

certutil -hashfile <filename> SHA256

Get-FileHash -Algorithm SHA256 <filename>

The challenge files live in C:\Users\Matthew.Collins\Desktop\CTI_Files\. Once you have the hash, look it up on VirusTotal and MalwareBazaar.

Q1: What is the SHA256 hash of the file bl0gger?

cd C:\Users\Matthew.Collins\Desktop\CTI_Files
certutil -hashfile bl0gger SHA256

A: 2672b6688d7b32a90f9153d2ff607d6801e6cbde61f509ed36d0450745998d58

Q2: On VirusTotal, what threat label identifies the malicious file?
A: trojan.graftor/flystudio

Beyond the room: "Graftor" is a generic/heuristic label some antivirus engines apply to files that look suspicious but don't match a specific known family, while "FlyStudio" refers to a legitimate Chinese RAD/GUI-builder toolkit that malware authors have repeatedly abused to compile simple trojans and downloaders. Different vendors often attach different — sometimes combined — labels to the very same sample, which is exactly why cross-referencing VirusTotal, MalwareBazaar, and a sandbox report is more reliable than trusting a single AV label.

Q3: When was the file first submitted for analysis? (Format: YYYY-MM-DD HH:MM:SS). Check the Details tab on VirusTotal, First submission field.
A: 2025-05-15 12:03:49

Q4: According to MalwareBazaar, which vendor classified the Morse-Code-Analyzer file as non-malicious? First generate its hash and search MalwareBazaar:

certutil -hashfile "Morse-Code-Analyzer" SHA256

Hash: 1f8806869616c18cbae9ffcf581c0428915d32fb70119df16d08078d92d1a5e3
A: CyberFortress

Q5: On VirusTotal (Behavior tab), what MITRE technique is flagged for persistence and privilege escalation for the Morse-Code-Analyzer file?
A: DLL Side-Loading

Task 4 — Sandbox Analysis

Static analysis tells us what a file is; a sandbox tells us what it does. Hybrid Analysis detonates the sample in a controlled environment and surfaces its behavior: commands launched, child processes, dropped files, and network communications.

Q1: What tags identify the malicious bl0gger.exe file on Hybrid Analysis? Search by the Task 3 hash (2672B6688D7B32A90F9153D2FF607D6801E6CBDE61F509ED36D0450745998D58).
A: BlackMoon, Discovery, windows-server-utility

Q2: What stealth command line was executed from the file?
A: regsvr32 %WINDIR%\Media\ActiveX.ocx /s

The /s (silent) flag registers the ActiveX component without showing any user notification, a classic covert-execution technique.

Beyond the room: using regsvr32 to silently register a malicious ActiveX/DLL is a documented MITRE ATT&CK technique — T1218.010, System Binary Proxy Execution: Regsvr32 — because regsvr32.exe is a signed Microsoft binary, so security tools that trust signed processes by default can miss the malicious payload it loads.

Q3: According to the process tree, which other process was spawned?
A: werfault.exe

Beyond the room: WerFault.exe is the legitimate Windows Error Reporting process, but its ubiquity and default-trusted status make it a frequent target for masquerading and process-injection tricks — malware spawns a copy of it, or a same-named binary from a non-standard path, to blend into a normal-looking process tree.

Q4: The payroll.pdf application appears to masquerade as which known Windows file?
A: svchost.exe

Q5: What associated URL is linked to the file? (Search by hash D202ED020ED8E36BD8A0F5B571A19D386C12ABECB2A28C989D50BBF92C78F54E, Associated URLs section.)
A: hxxp://121.182.174.27:3000/server.exe

Q6: How many extracted strings were identified from the sandbox analysis?
A: 454

Task 5 — Threat Intelligence Challenge

Final challenge: a comprehensive analysis of a sophisticated sample combining VirusTotal and sandbox intelligence. The goal is to reconstruct the full attack narrative, from identification to MITRE mapping.

Q1: What is the SHA256 hash of the file?
A: 43b0ac119ff957bb209d86ec206ea1ec3c51dd87bebf7b4a649c7e6c7f3756e7

Q2: What family labels are assigned to the file on VirusTotal?
A: akira, filecryptor

Q3: How many security vendors have flagged the file as malicious?
A: 61

Q4: Name the text file dropped during execution of the malicious file.
A: akira_readme.txt

Beyond the room: Akira is a real, active ransomware-as-a-service family first observed in March 2023. It runs a double-extortion model (data theft + encryption + a leak site), has a Linux/ESXi variant, and has been linked to intrusions via unpatched Cisco ASA/FTD VPN appliances (e.g. CVE-2023-20269). The akira_readme.txt ransom note and shadow-copy deletion seen in this sample match publicly documented Akira behavior.

Q5: What PowerShell script is observed being executed?
A: Get-WmiObject Win32_Shadowcopy | Remove-WmiObject

This command deletes the system's shadow copies, a common ransomware action to prevent file recovery.

Q6: What MITRE ATT&CK ID is associated with this execution?
A: T1490 — Inhibit System Recovery, used by ransomware to stop victims from restoring their files.

IOC Table

Key takeaways

• A file's name and extension are trivially manipulated; the cryptographic hash is the reliable fingerprint for identifying it and pivoting through threat-intel sources.
• Double extensions (.pdf.exe) and system-binary impersonation (svchost, ActiveX) are early masquerading signals.
• Cross-referencing VirusTotal, MalwareBazaar, and Hybrid Analysis gives a complete picture: classification, cross-vendor reputation, and dynamic behavior.
• Sandbox analysis reveals stealth commands, child processes, dropped files, and C2 URLs that static analysis misses.
• Mapping behavior to MITRE ATT&CK (e.g. T1490, T1218.010, DLL Side-Loading) standardizes findings and speeds up incident response.

Task 2 — Filenames and Paths

El primer indicio de un archivo malicioso suele estar en su propio nombre. Los atacantes recurren a varias técnicas de enmascaramiento:

• Doble extensión: archivos como payroll.pdf.exe, donde se antepone una extensión legítima a la ejecutable real para aparentar ser un documento inofensivo.
• Suplantación de binarios del sistema: malware bautizado con nombres de ejecutables legítimos de Windows.
• Nombres engañosos: ficheros nombrados para parecer contenido cotidiano y confiable.

Más allá del room: la doble extensión funciona porque el Explorador de Windows oculta las extensiones de archivo conocidas por defecto ("Ocultar las extensiones de archivo para tipos de archivo conocidos", activado desde Windows 95). Un archivo guardado como payroll.pdf.exe se muestra al usuario simplemente como payroll.pdf — sin necesidad de ningún exploit, solo aprovechando una opción por defecto que casi nadie desactiva.

Revisando los archivos de la carpeta CTI en el escritorio se localiza payroll.pdf.exe, que aparenta ser un PDF pero en realidad es un ejecutable.

Q: Un archivo muestra uno de los indicadores mencionados. ¿Puedes identificar el archivo y el indicador? (Formato: archivo, propiedad)
A: payroll.pdf, Double extensions

Task 3 — File Hash Lookup

El nombre puede mentir, pero el hash no. Un hash criptográfico es la huella única de un fichero: no cambia aunque se le renombre, y permite buscar el archivo en plataformas de inteligencia de amenazas. En Windows lo generamos sin herramientas externas:

certutil -hashfile <filename> SHA256

Get-FileHash -Algorithm SHA256 <filename>

Los ficheros del reto están en C:\Users\Matthew.Collins\Desktop\CTI_Files\. Una vez obtenido el hash, se consulta en VirusTotal y MalwareBazaar.

Q1: ¿Cuál es el hash SHA256 del archivo bl0gger?

cd C:\Users\Matthew.Collins\Desktop\CTI_Files
certutil -hashfile bl0gger SHA256

A: 2672b6688d7b32a90f9153d2ff607d6801e6cbde61f509ed36d0450745998d58

Q2: En VirusTotal, ¿qué threat label identifica al archivo malicioso?
A: trojan.graftor/flystudio

Más allá del room: "Graftor" es una etiqueta heurística/genérica que algunos motores antivirus aplican a archivos con características sospechosas que no encajan con una familia conocida concreta, mientras que "FlyStudio" hace referencia a un entorno RAD/GUI legítimo de origen chino que autores de malware han reutilizado repetidamente para compilar troyanos y downloaders sencillos. Distintos proveedores suelen asignar etiquetas diferentes —a veces combinadas— a la misma muestra, que es justo la razón por la que cruzar VirusTotal, MalwareBazaar y un informe de sandbox es más fiable que confiar en una sola etiqueta de un antivirus.

Q3: ¿Cuándo se envió el archivo por primera vez para análisis? (Formato: YYYY-MM-DD HH:MM:SS). En la pestaña Details de VirusTotal, campo First submission.
A: 2025-05-15 12:03:49

Q4: Según MalwareBazaar, ¿qué vendor clasificó el archivo Morse-Code-Analyzer como no malicioso? Primero se genera su hash y se busca en MalwareBazaar:

certutil -hashfile "Morse-Code-Analyzer" SHA256

Hash: 1f8806869616c18cbae9ffcf581c0428915d32fb70119df16d08078d92d1a5e3
A: CyberFortress

Q5: En VirusTotal (pestaña Behavior), ¿qué técnica MITRE se marca para persistencia y escalada de privilegios del archivo Morse-Code-Analyzer?
A: DLL Side-Loading

Task 4 — Sandbox Analysis

El análisis estático nos dice qué es un archivo; el sandbox nos dice qué hace. Hybrid Analysis ejecuta la muestra en un entorno controlado y expone su comportamiento: comandos lanzados, procesos hijos, ficheros soltados y comunicaciones de red.

Q1: ¿Qué tags identifican al archivo malicioso bl0gger.exe en Hybrid Analysis? Se busca por el hash de la Task 3 (2672B6688D7B32A90F9153D2FF607D6801E6CBDE61F509ED36D0450745998D58).
A: BlackMoon, Discovery, windows-server-utility

Q2: ¿Qué comando sigiloso se ejecutó desde el archivo?
A: regsvr32 %WINDIR%\Media\ActiveX.ocx /s

El flag /s (silent) registra el componente ActiveX sin mostrar ninguna notificación al usuario, una técnica clásica de ejecución encubierta.

Más allá del room: usar regsvr32 para registrar silenciosamente un ActiveX/DLL malicioso es una técnica documentada de MITRE ATT&CK — T1218.010, System Binary Proxy Execution: Regsvr32 — porque regsvr32.exe es un binario firmado por Microsoft, así que las herramientas de seguridad que confían por defecto en procesos firmados pueden pasar por alto la carga maliciosa que ejecuta.

Q3: Según el árbol de procesos, ¿qué otro proceso se generó?
A: werfault.exe

Más allá del room: WerFault.exe es el proceso legítimo de Windows Error Reporting, pero su omnipresencia y su estatus de confianza por defecto lo convierten en un objetivo habitual para trucos de suplantación e inyección de procesos: el malware lanza una copia de este binario, o uno con el mismo nombre desde una ruta no estándar, para camuflarse entre los procesos normales.

Q4: La aplicación payroll.pdf parece suplantar a qué archivo conocido de Windows?
A: svchost.exe

Q5: ¿Qué URL asociada está vinculada al archivo? (Búsqueda por hash D202ED020ED8E36BD8A0F5B571A19D386C12ABECB2A28C989D50BBF92C78F54E, sección Associated URLs).
A: hxxp://121.182.174.27:3000/server.exe

Q6: ¿Cuántas cadenas (strings) se extrajeron del análisis en sandbox?
A: 454

Task 5 — Threat Intelligence Challenge

Reto final: análisis integral de una muestra sofisticada combinando VirusTotal y sandbox. El objetivo es reconstruir la narrativa completa del ataque, desde la identificación hasta el mapeo MITRE.

Q1: ¿Cuál es el hash SHA256 del archivo?
A: 43b0ac119ff957bb209d86ec206ea1ec3c51dd87bebf7b4a649c7e6c7f3756e7

Q2: ¿Qué family labels asigna VirusTotal al archivo?
A: akira, filecryptor

Q3: ¿Cuántos motores de seguridad marcan el archivo como malicioso?
A: 61

Q4: Nombra el fichero de texto soltado durante la ejecución del malware.
A: akira_readme.txt

Más allá del room: Akira es una familia de ransomware-as-a-service real y activa, observada por primera vez en marzo de 2023. Opera con un modelo de doble extorsión (robo de datos + cifrado + sitio de filtración), tiene una variante para Linux/ESXi y se ha vinculado a intrusiones a través de VPNs Cisco ASA/FTD sin parchear (p. ej. CVE-2023-20269). La nota de rescate akira_readme.txt y el borrado de shadow copies observados en esta muestra coinciden con el comportamiento de Akira documentado públicamente.

Q5: ¿Qué script de PowerShell se observa ejecutado?
A: Get-WmiObject Win32_Shadowcopy | Remove-WmiObject

Este comando elimina las shadow copies del sistema, una acción habitual del ransomware para impedir la recuperación de archivos.

Q6: ¿Qué ID de MITRE ATT&CK se asocia a esta ejecución?
A: T1490 — Inhibit System Recovery, usada por ransomware para evitar que la víctima restaure sus ficheros.

Tabla de IOCs

Puntos clave

• El nombre y la extensión de un fichero son manipulables; el hash criptográfico es la huella fiable para identificarlo y buscarlo en fuentes de threat intel.
• La doble extensión (.pdf.exe) y la suplantación de binarios del sistema (svchost, ActiveX) son señales tempranas de enmascaramiento.
• Cruzar VirusTotal, MalwareBazaar e Hybrid Analysis ofrece una visión completa: clasificación, reputación entre vendors y comportamiento dinámico.
• El análisis en sandbox revela comandos sigilosos, procesos hijos, ficheros soltados y URLs de C2 que el análisis estático no muestra.
• Mapear el comportamiento a MITRE ATT&CK (p. ej. T1490, T1218.010, DLL Side-Loading) estandariza los hallazgos y agiliza la respuesta a incidentes.