Lab: The Return of the Yeti | STY IT Labs
STY IT Labs · TryHackMe · Hard · Advent of Cyber 2023 — Side Quest 1

Lab: The Return of the Yeti
تحليل شبكة Wi-Fi وRDP مشفّرة

لاب DFIR بحت — مفيش استغلال ولا Shell، بس ملف التقاط شبكي (PCAP-NG) واحد. مهمتك تكسر تشفير الـ Wi-Fi، تكتشف إن المهاجم سرق شهادة RDP بـ Mimikatz، وتستخدمها عشان تفك تشفير جلسة كاملة وتلاقي أول مفتاح من مفاتيح الـ Yeti.

Hard Difficulty WPA2 Cracking RDP TLS Decryption Mimikatz Traffic Analysis Side Quest 1/4
ابدأ اللاب المهام
VanSpy.pcapng YETI YETI
Hard
2 – 4 ساعات
DFIR / Forensics
1 / 4
TryHackMe
ملف PCAP فقط

عن اللاب

Advent of Cyber 2023 — Side Quest 1: The Return of the Yeti

مهاجم يُلقَّب بـ Bandit Yeti بيهاجم شركة Best Festival Company، ومهمة Elf McSkidy وفريقها إنهم يجمعوا الأدلة. الدليل الوحيد المتاح: التقاط شبكي واحد (VanSpy.pcapng) لجلسة Wi-Fi مشفّرة بالكامل.

اللاب ده أول جزء من سلسلة “Bandit Yeti” (4 أجزاء متصلة)، وعلى عكس باقي اللابات في الموقع، مفيش هنا استغلال ولا Shell — بس تحليل حركة مرور شبكية طبقة فوق طبقة: تكسير Wi-Fi، فك تشفير RDP، وتتبّع أثر Mimikatz.

قبل ما تلعب اللاب، لازم توصله عن طريق كود QR متقسّم لـ 4 أجزاء موزّعة على وسائل التواصل الرسمية لـ TryHackMe (Discord، LinkedIn، X). ده جزء من التحدي نفسه.

Bandit Yeti Badge — الجزء 1

أول 4 أجزاء متصلة تحكي قصة اختراق Best Festival Company كاملة

مسار التحليل الكامل

1

اسم شبكة الـ Wi-Fi

فتح VanSpy.pcapng في Wireshark بيوريك Beacon Frames في أول الحركة — دي بتكشف الـ SSID مباشرة من غير أي فك تشفير.

Beacon Frames → SSID
2

كسر كلمة مرور الـ Wi-Fi

Aircrack-ng مبيدعمش صيغة pcapng الجديدة، فلازم نحفظ الملف من Wireshark كـ PCAP قديم الأول. بعدين Aircrack-ng مع rockyou.txt بيكسر كلمة مرور شبكة الـ WPA.

File → Save As → .pcapaircrack-ng -w rockyou.txt
3

فك تشفير حركة الـ Wi-Fi كاملة

بالـ SSID والباسورد، Airdecap-ng بيحوّل الحركة المشفّرة لملف -dec.pcap نظيف. فتحه في Wireshark بيوريك تريد RDP ضخم (port 3389) وبعده حركة على port 4444 (منفذ Reverse Shell كلاسيكي).

airdecap-ng -e SSID -p PASSWORDport 3389 · port 4444
4

اكتشاف أداة المهاجم — Mimikatz

حركة الـ Reverse Shell (port 4444) مش مشفّرة. متابعة الـ TCP Stream بتوريك نص صريح فيه استخدام واضح لأداة Mimikatz — أداة استخراج بيانات اعتماد شهيرة على أنظمة Windows.

Follow → TCP StreamMimikatz commands
5

سرقة شهادة RDP — ملف PFX

نفس الـ Stream بيوريك إن المهاجم استخدم Mimikatz لتصدير شهادة RDP الخاصة بالـ Administrator (ملف PFX) وبعتها base64-encoded عبر نفس القناة — ده المفتاح اللي هيفتح تشفير الـ RDP كله.

Mimikatz crypto::certificates /exportbase64 PFX in cleartext
6

تحويل الـ PFX واستخدامه في Wireshark

نسخ الـ base64 وتحويله لملف PFX حقيقي (بـ PowerShell أو base64 -d). الباسورد الافتراضي اللي بيحطه Mimikatz على الشهادات المصدَّرة هو mimikatz. نضيف الملف في إعدادات Wireshark (Protocols → TLS → RSA Keys List) بالبروتوكول tpkt وport 3389.

PFX password: mimikatzEdit → Preferences → TLS → RSA Keys
7

فك تشفير RDP كامل واستخراج المفتاح الأول

بمجرد إضافة المفتاح، Wireshark بيبدأ يفك تشفير آلاف الحزم RDP فعليًا. متابعة الـ TLS Stream بتوريك محتوى HTML طويل جدًا (بمسافة بين كل حرف). بالبحث عن كلمات زي “case” و”Yeti” جوّه النص، بنلاقي رقم القضية اللي بلّغت بيه McSkidy، وكمان محتوى yetikey1.txt — أول مفتاح من مفاتيح الـ Yeti الأربعة.

Follow → TLS Streamyetikey1.txt

مراحل اللاب

Wi-Fi Cracking
Traffic Decryption
Traffic Analysis
Certificate Theft
RDP Decryption
Yeti Key 1

Commands Cheat Sheet

الأمرالوصفالمرحلة
aircrack-ng VanSpy.pcap -w rockyou.txtكسر كلمة مرور WPA2 بالقوة الغاشمةWi-Fi
airdecap-ng VanSpy.pcap -e SSID -p PASSWORDفك تشفير كل حركة الـ Wi-Fi بالمفتاح المكتشفDecrypt
$bytes = [Convert]::FromBase64String($b64)تحويل نص base64 لملف PFX حقيقي (PowerShell)Cert Extract
openssl pkcs12 -in file.pfx -out key.pem -nodesتحويل PFX لصيغة PEM (بديل لينكس)Cert Convert
Wireshark → Edit → Preferences → Protocols → TLS → RSA Keys Listإضافة الشهادة المسروقة لفك تشفير RDPRDP Decrypt
Right-click packet → Follow → TLS Streamقراءة محتوى جلسة RDP كاملة كنصAnalysis

الأسئلة والـ Flag

01

اسم شبكة الـ Wi-Fi

من Beacon Frames مباشرة

سؤال
02

كلمة مرور الـ Wi-Fi

Aircrack-ng + rockyou.txt

سؤال
03

أداة المهاجم

Mimikatz — من الـ TCP Stream الصريح

سؤال
04

رقم قضية الـ CyberPolice

من داخل جلسة RDP المفكوكة

سؤال
05

yetikey1.txt

أول مفتاح من مفاتيح الـ Yeti الأربعة

Flag
▶ أدخل محتوى yetikey1.txt

Terminal — Yeti PCAP Analysis

root@kali — Yeti PCAP
# ── Wi-Fi Cracking ───────────────────────────────
└─# # Wireshark: File → Save As → VanSpy.pcap (legacy format)
└─# aircrack-ng VanSpy.pcap -w /usr/share/wordlists/rockyou.txt
KEY FOUND! [ WiFi_Password ]

# ── Decrypt + Locate Reverse Shell ──────────────
└─# airdecap-ng VanSpy.pcap -e “SSID_NAME” -p WiFi_Password
VanSpy-dec.pcap written — RDP (3389) then plaintext on 4444
└─# # Follow TCP Stream on port 4444
mimikatz # crypto::certificates /export
—–BEGIN CERTIFICATE—– [base64 PFX] —–END CERTIFICATE—–

# ── Rebuild PFX + Decrypt RDP ────────────────────
PS> [IO.File]::WriteAllBytes(“cert.pfx”,[Convert]::FromBase64String($b64))
└─# # Wireshark → TLS → RSA Keys List → cert.pfx (password: mimikatz), protocol tpkt, port 3389
[+] RDP traffic fully decrypted — 17,000+ packets
└─# # Follow TLS Stream, search for “yeti”
yetikey1.txt: yeti{…} ← Flag

└─#

المهارات المكتسبة

PCAP Analysis (Wireshark)
WPA2 Cracking
Wi-Fi Traffic Decryption
RDP / TLS Decryption
Mimikatz Artifact Recognition
Certificate Forensics (PFX)
Manual Text Search in Large Streams
DFIR Methodology

الأدوات المستخدمة

Wiresharkتحليل وفك تشفير كل حركة المرور
Aircrack-ng / Airdecap-ngكسر وفك تشفير حركة الـ Wi-Fi (WPA2)
PowerShell / OpenSSLتحويل base64 لملف شهادة PFX قابل للاستخدام
لو Wireshark بيهنج معاك في متابعة الـ Stream الضخم، جرب تحفظ محتواه كملف نص وتفتحه في محرر نصوص عادي (Notepad أو VS Code) — أسرع وأثبت بكتير من البحث جوّه الواجهة نفسها.

تقدمك في اللاب

0%PROGRESS

0 / 5 أسئلة مكتملة

ابدأ اللاب على TryHackMe شوف الـ Writeup تحميل Cheat Sheet

Hard · Side Quest 1/4 · Advent of Cyber 2023

Hints

Hint 1 — مشكلة صيغة الملف−10 XP
Hint 2 — باسورد الشهادة−15 XP
Hint 3 — إعدادات فك تشفير RDP−15 XP

باقي سلسلة Bandit Yeti

Snowy ARMageddon

Side Quest 2/4 · قريباً

Frosteau Busy with Vim

Side Quest 3/4 · قريباً

The Bandit Surfer

Side Quest 4/4 · قريباً