NetworkMediumFree

Silent Beacon

Company: Mercur Retail LLP

50 min7 questions110 pointsMITRE ATT&CK:T1071T1041T1571

Briefing

You are reviewing a day of connection records. Mercur Retail LLP is a retail chain. A network engineer noticed traffic leaving the office at night, when nobody is there, and handed the export to you.

There are no packet contents here — only who, where, when and how many bytes. That is enough: regularity and volume are visible without decryption, and most traffic is encrypted anyway.

Start by looking for regularity, not size: people do not open a connection every few minutes to the second.

Artifacts

The same data as files for real tools: open in Wireshark or Excel, or load into Elastic. The answers match — it is the same data.

Frames in the PCAP are truncated at capture to 96 bytes, as on a real perimeter: headers are enough for analysis and the on-wire length is genuine, so volumes in Statistics → Conversations match the table.

168 connections

			Protocol		Details
2026-09-21T04:45:57Z	10.30.5.11:53991	203.0.113.22:443	tcp/ssl	51 948 ↑ 380 950 ↓	TLS · корпоративный портал · 2 s
2026-09-21T04:46:18Z	10.30.5.55:52507	192.0.2.41:80	tcp/http	15 315 ↑ 176 128 ↓	HTTP · проверка доступности сети · 2 s
2026-09-21T04:46:30Z	10.30.5.73:61452	192.0.2.40:443	tcp/ssl	44 070 ↑ 231 368 ↓	TLS · видеоконференции · 19 s
2026-09-21T04:53:17Z	10.30.5.11:63795	192.0.2.41:80	tcp/http	28 263 ↑ 189 146 ↓	HTTP · проверка доступности сети · 16 s
2026-09-21T05:20:39Z	10.30.5.42:63359	203.0.113.20:443	tcp/ssl	3 391 ↑ 53 125 ↓	TLS · обновления ОС · 6 s
2026-09-21T05:26:30Z	10.30.5.11:65449	192.0.2.40:443	tcp/ssl	3 623 ↑ 56 766 ↓	TLS · видеоконференции · 6 s
2026-09-21T05:28:32Z	10.30.5.24:64947	203.0.113.22:443	tcp/ssl	11 224 ↑ 175 835 ↓	TLS · корпоративный портал
2026-09-21T05:28:46Z	10.30.5.88:55360	203.0.113.21:443	tcp/ssl	32 150 ↑ 197 495 ↓	TLS · почтовый клиент · 8 s
2026-09-21T05:30:29Z	10.30.5.11:64660	192.0.2.41:80	tcp/http	14 132 ↑ 68 997 ↓	HTTP · проверка доступности сети · 14 s
2026-09-21T05:35:44Z	10.30.5.73:59910	203.0.113.20:443	tcp/ssl	11 892 ↑ 186 302 ↓	TLS · обновления ОС · 20 s
2026-09-21T05:41:57Z	10.30.5.64:57946	203.0.113.20:443	tcp/ssl	28 148 ↑ 440 980 ↓	TLS · обновления ОС · 13 s
2026-09-21T05:46:30Z	10.30.5.64:60389	203.0.113.22:443	tcp/ssl	41 638 ↑ 235 947 ↓	TLS · корпоративный портал · 7 s
2026-09-21T05:55:02Z	10.30.5.31:61827	192.0.2.40:443	tcp/ssl	24 007 ↑ 242 741 ↓	TLS · видеоконференции · 3 s
2026-09-21T06:16:04Z	10.30.5.64:53844	192.0.2.41:80	tcp/http	2 716 ↑ 27 463 ↓	HTTP · проверка доступности сети · 4 s
2026-09-21T06:35:48Z	10.30.5.55:64918	203.0.113.21:443	tcp/ssl	6 785 ↑ 49 758 ↓	TLS · почтовый клиент · 22 s
2026-09-21T06:42:16Z	10.30.5.88:61758	192.0.2.40:443	tcp/ssl	47 730 ↑ 293 197 ↓	TLS · видеоконференции · 6 s
2026-09-21T06:44:32Z	10.30.5.55:55889	192.0.2.40:443	tcp/ssl	29 058 ↑ 386 055 ↓	TLS · видеоконференции · 5 s
2026-09-21T06:48:29Z	10.30.5.24:54005	203.0.113.21:443	tcp/ssl	32 788 ↑ 435 614 ↓	TLS · почтовый клиент · 20 s
2026-09-21T06:49:11Z	10.30.5.24:57982	203.0.113.20:443	tcp/ssl	53 336 ↑ 327 638 ↓	TLS · обновления ОС · 4 s
2026-09-21T06:54:06Z	10.30.5.55:56274	192.0.2.40:443	tcp/ssl	54 969 ↑ 288 589 ↓	TLS · видеоконференции · 3 s
2026-09-21T07:22:06Z	10.30.5.96:61094	203.0.113.21:443	tcp/ssl	39 240 ↑ 262 604 ↓	TLS · почтовый клиент · 5 s
2026-09-21T07:22:11Z	10.30.5.31:63889	203.0.113.21:443	tcp/ssl	31 647 ↑ 154 514 ↓	TLS · почтовый клиент · 6 s
2026-09-21T07:23:37Z	10.30.5.73:59756	203.0.113.21:443	tcp/ssl	15 135 ↑ 237 122 ↓	TLS · почтовый клиент · 22 s
2026-09-21T07:25:33Z	10.30.5.11:52269	192.0.2.40:443	tcp/ssl	45 155 ↑ 255 876 ↓	TLS · видеоконференции · 21 s
2026-09-21T07:33:07Z	10.30.5.55:53767	192.0.2.40:443	tcp/ssl	54 361 ↑ 363 799 ↓	TLS · видеоконференции · 3 s
2026-09-21T07:37:40Z	10.30.5.64:54326	192.0.2.41:80	tcp/http	45 773 ↑ 223 480 ↓	HTTP · проверка доступности сети · 7 s
2026-09-21T07:42:10Z	10.30.5.96:56640	192.0.2.41:80	tcp/http	8 805 ↑ 116 985 ↓	HTTP · проверка доступности сети · 13 s
2026-09-21T07:43:03Z	10.30.5.42:52464	192.0.2.41:80	tcp/http	54 101 ↑ 306 572 ↓	HTTP · проверка доступности сети · 22 s
2026-09-21T07:44:45Z	10.30.5.73:56417	203.0.113.22:443	tcp/ssl	39 861 ↑ 358 749 ↓	TLS · корпоративный портал · 9 s
2026-09-21T07:56:50Z	10.30.5.42:58866	192.0.2.41:80	tcp/http	26 333 ↑ 149 222 ↓	HTTP · проверка доступности сети · 12 s
2026-09-21T08:05:06Z	10.30.5.31:49344	203.0.113.21:443	tcp/ssl	52 396 ↑ 350 648 ↓	TLS · почтовый клиент · 23 s
2026-09-21T08:09:36Z	10.30.5.73:62729	203.0.113.22:443	tcp/ssl	61 865 ↑ 380 031 ↓	TLS · корпоративный портал · 4 s
2026-09-21T08:11:35Z	10.30.5.31:55175	203.0.113.21:443	tcp/ssl	63 951 ↑ 392 843 ↓	TLS · почтовый клиент · 14 s
2026-09-21T08:16:35Z	10.30.5.31:52278	192.0.2.40:443	tcp/ssl	63 094 ↑ 287 429 ↓	TLS · видеоконференции · 24 s
2026-09-21T08:19:04Z	10.30.5.64:63825	203.0.113.21:443	tcp/ssl	60 099 ↑ 369 180 ↓	TLS · почтовый клиент · 2 s
2026-09-21T08:19:46Z	10.30.5.24:64391	192.0.2.41:80	tcp/http	28 624 ↑ 257 613 ↓	HTTP · проверка доступности сети · 8 s
2026-09-21T08:21:49Z	10.30.5.24:53289	203.0.113.20:443	tcp/ssl	23 765 ↑ 108 261 ↓	TLS · обновления ОС · 19 s
2026-09-21T08:32:36Z	10.30.5.31:49317	192.0.2.40:443	tcp/ssl	24 406 ↑ 197 465 ↓	TLS · видеоконференции · 17 s
2026-09-21T08:32:38Z	10.30.5.24:60263	203.0.113.22:443	tcp/ssl	15 957 ↑ 98 024 ↓	TLS · корпоративный портал · 23 s
2026-09-21T08:32:42Z	10.30.5.96:57253	192.0.2.40:443	tcp/ssl	65 479 ↑ 402 228 ↓	TLS · видеоконференции · 2 s
2026-09-21T08:33:31Z	10.30.5.31:59091	192.0.2.40:443	tcp/ssl	37 551 ↑ 275 376 ↓	TLS · видеоконференции · 3 s
2026-09-21T08:34:04Z	10.30.5.73:61113	192.0.2.40:443	tcp/ssl	16 242 ↑ 119 105 ↓	TLS · видеоконференции · 6 s
2026-09-21T09:05:24Z	10.30.5.42:64927	203.0.113.22:443	tcp/ssl	10 094 ↑ 81 670 ↓	TLS · корпоративный портал · 13 s
2026-09-21T09:07:19Z	10.30.5.11:52411	203.0.113.22:443	tcp/ssl	44 179 ↑ 201 262 ↓	TLS · корпоративный портал · 21 s
2026-09-21T09:11:18Z	10.30.5.11:57314	203.0.113.20:443	tcp/ssl	11 731 ↑ 118 610 ↓	TLS · обновления ОС · 10 s
2026-09-21T09:31:31Z	10.30.5.88:53207	203.0.113.21:443	tcp/ssl	14 343 ↑ 190 562 ↓	TLS · почтовый клиент · 3 s
2026-09-21T09:32:47Z	10.30.5.42:50580	203.0.113.21:443	tcp/ssl	40 235 ↑ 196 441 ↓	TLS · почтовый клиент · 18 s
2026-09-21T09:54:44Z	10.30.5.73:54764	203.0.113.21:443	tcp/ssl	2 447 ↑ 38 336 ↓	TLS · почтовый клиент · 9 s
2026-09-21T09:57:00Z	10.30.5.73:49197	203.0.113.22:443	tcp/ssl	20 776 ↑ 325 495 ↓	TLS · корпоративный портал · 18 s
2026-09-21T09:58:36Z	10.30.5.11:63910	192.0.2.40:443	tcp/ssl	20 817 ↑ 326 140 ↓	TLS · видеоконференции · 24 s
2026-09-21T10:16:10Z	10.30.5.42:59216	203.0.113.22:443	tcp/ssl	41 142 ↑ 415 995 ↓	TLS · корпоративный портал · 13 s
2026-09-21T10:25:55Z	10.30.5.24:63737	192.0.2.40:443	tcp/ssl	47 858 ↑ 233 661 ↓	TLS · видеоконференции · 14 s
2026-09-21T10:33:41Z	10.30.5.31:61001	192.0.2.41:80	tcp/http	51 791 ↑ 379 798 ↓	HTTP · проверка доступности сети
2026-09-21T10:52:32Z	10.30.5.88:52249	203.0.113.20:443	tcp/ssl	21 339 ↑ 120 923 ↓	TLS · обновления ОС · 15 s
2026-09-21T10:53:47Z	10.30.5.64:51109	192.0.2.40:443	tcp/ssl	20 826 ↑ 326 273 ↓	TLS · видеоконференции · 15 s
2026-09-21T10:55:19Z	10.30.5.73:59811	203.0.113.20:443	tcp/ssl	13 638 ↑ 122 739 ↓	TLS · обновления ОС · 17 s
2026-09-21T11:06:18Z	10.30.5.64:53541	192.0.2.40:443	tcp/ssl	16 329 ↑ 255 820 ↓	TLS · видеоконференции · 4 s
2026-09-21T11:07:10Z	10.30.5.55:54466	203.0.113.21:443	tcp/ssl	26 974 ↑ 131 699 ↓	TLS · почтовый клиент · 18 s
2026-09-21T11:13:38Z	10.30.5.88:50718	192.0.2.41:80	tcp/http	24 730 ↑ 328 559 ↓	HTTP · проверка доступности сети · 15 s
2026-09-21T11:15:48Z	10.30.5.42:51764	203.0.113.21:443	tcp/ssl	20 857 ↑ 168 755 ↓	TLS · почтовый клиент · 22 s
2026-09-21T11:20:18Z	10.30.5.31:55699	203.0.113.22:443	tcp/ssl	33 288 ↑ 382 809 ↓	TLS · корпоративный портал · 5 s
2026-09-21T11:21:42Z	10.30.5.73:57639	203.0.113.22:443	tcp/ssl	12 382 ↑ 60 456 ↓	TLS · корпоративный портал · 3 s
2026-09-21T11:30:09Z	10.30.5.55:62893	192.0.2.41:80	tcp/http	47 877 ↑ 271 300 ↓	HTTP · проверка доступности сети · 2 s
2026-09-21T11:43:39Z	10.30.5.42:50990	203.0.113.21:443	tcp/ssl	40 616 ↑ 185 031 ↓	TLS · почтовый клиент · 5 s
2026-09-21T11:47:15Z	10.30.5.55:58717	192.0.2.40:443	tcp/ssl	34 085 ↑ 391 978 ↓	TLS · видеоконференции · 23 s
2026-09-21T12:07:53Z	10.30.5.24:63520	203.0.113.22:443	tcp/ssl	47 595 ↑ 428 354 ↓	TLS · корпоративный портал · 1 s
2026-09-21T12:15:29Z	10.30.5.64:58000	203.0.113.21:443	tcp/ssl	31 782 ↑ 180 100 ↓	TLS · почтовый клиент · 2 s
2026-09-21T12:25:40Z	10.30.5.96:53199	203.0.113.20:443	tcp/ssl	17 277 ↑ 155 493 ↓	TLS · обновления ОС · 6 s
2026-09-21T12:32:55Z	10.30.5.55:53768	192.0.2.41:80	tcp/http	2 690 ↑ 13 135 ↓	HTTP · проверка доступности сети · 3 s
2026-09-21T12:36:48Z	10.30.5.11:50457	192.0.2.41:80	tcp/http	8 640 ↑ 48 962 ↓	HTTP · проверка доступности сети · 3 s
2026-09-21T12:40:58Z	10.30.5.11:64120	203.0.113.20:443	tcp/ssl	38 608 ↑ 202 694 ↓	TLS · обновления ОС · 21 s
2026-09-21T12:41:00Z	10.30.5.11:53162	192.0.2.41:80	tcp/http	34 562 ↑ 311 053 ↓	HTTP · проверка доступности сети · 15 s
2026-09-21T12:47:30Z	10.30.5.96:58876	192.0.2.41:80	tcp/http	46 019 ↑ 337 469 ↓	HTTP · проверка доступности сети · 16 s
2026-09-21T12:57:18Z	10.30.5.88:51064	203.0.113.20:443	tcp/ssl	36 944 ↑ 247 241 ↓	TLS · обновления ОС · 7 s
2026-09-21T18:04:20Z	10.30.5.64:62400	10.30.5.5:53	udp/dns	78 ↑ 27 ↓	DNS A? cdn-metrics.example
2026-09-21T18:05:00Z	10.30.5.64:62026	198.51.100.23:443	tcp/ssl	1 053 ↑ 145 ↓	TLS · короткая сессия, ответ того же размера
2026-09-21T18:10:02Z	10.30.5.64:55960	198.51.100.23:443	tcp/ssl	1 260 ↑ 86 ↓	TLS · короткая сессия, ответ того же размера
2026-09-21T18:15:01Z	10.30.5.64:53505	198.51.100.23:443	tcp/ssl	1 254 ↑ 115 ↓	TLS · короткая сессия, ответ того же размера
2026-09-21T18:20:02Z	10.30.5.64:62416	198.51.100.23:443	tcp/ssl	1 123 ↑ 173 ↓	TLS · короткая сессия, ответ того же размера
2026-09-21T18:25:00Z	10.30.5.64:56474	198.51.100.23:443	tcp/ssl	1 243 ↑ 90 ↓	TLS · короткая сессия, ответ того же размера

Questions

0/7 · 0/110 points

Which internal address reaches out at a fixed interval?
Format: IPv4 address · 10 points
Which external address do those connections go to?
Format: IPv4 address · 15 points
What is the interval between the repeated connections, in seconds?
Format: Whole number of seconds · 20 points
Which name was looked up in DNS before the first such connection?
Format: Domain name · 15 points
How many bytes were sent in the largest session to that address?
Format: Whole number of bytes · 20 points
What is the hash of the process that started on MER-WS-64 before the series began?
Format: 64 hexadecimal characters · 20 points
Which MITRE ATT&CK technique covers a command channel over an ordinary protocol?
Format: Identifier like T1234 · 10 points