O raio do estrago

Você está de plantão na equipe de resposta a incidentes da Apex Precision Manufacturing, uma empresa de engenharia que projeta peças industriais. Os engenheiros trabalham em estações Windows em rede e guardam os arquivos de CAD (os desenhos técnicos) localmente; uma biblioteca de peças padrão fica num servidor de arquivos central.

Às 02:17 UTC de 10/06/2025, a estação WRK-01 amanheceu com todos os arquivos da pasta de trabalho do usuário cifrados e uma nota de resgate na área de trabalho. A nota pede Bitcoin e, como prova de acesso, traz os hashes de três arquivos de projeto que os criminosos dizem ter levado.

Parece um ransomware comum com roubo de dados. Mas a equipe de inteligência não está convencida: os hashes provam que dados foram roubados, não que saíram só da WRK-01. Cifrar arquivos faz barulho; tirar dados da rede é silencioso, e várias máquinas registraram autenticações estranhas na mesma janela. Os três arquivos da nota são só uma amostra.

Sua tarefa é medir o raio do estrago: quais sistemas o atacante realmente comprometeu (com evidência de acesso não autorizado, roubo de credencial ou movimento lateral, e não só tentativas)?

Host	IP	Função
WRK-01	192.168.10.11	Estação (RDP exposto à internet)
WRK-02	192.168.10.12	Estação
WRK-03	192.168.10.13	Estação
WRK-04	192.168.10.14	Estação
WRK-05	192.168.10.15	Estação
SRV-CAD	192.168.10.20	Servidor da biblioteca de CAD
(externo)	203.0.113.88	Atacante
(interno)	192.168.10.5	Controlador de domínio

Todas as máquinas são do domínio APEX. Os anexos são exportações em texto do log de segurança do Windows de cada máquina (*_Security_v3.txt), cobrindo de 00:00 a 02:35 UTC de 10/06/2025, com auditoria de criação de processos (com linha de comando), de arquivos e de compartilhamentos ligada; a nota de resgate encontrada na WRK-01; e a listagem das pastas de CAD de todas as máquinas, coletada às 02:17:30.

A flag são os nomes das máquinas comprometidas, exatamente como aparecem nos logs, unidos por sublinhado, na ordem em que o atacante chegou a elas (a primeira é a porta de entrada). A flag aparece no formato CTF{HOST_HOST} ou CTF{HOST_HOST_HOST}; envie como tocaia{...} (maiúsculas e minúsculas não importam). Por exemplo, tocaia{wrk-05_wrk-04} teria esse formato (não é a resposta).