🔐 보안,정보보호/📘 [STUDY] 포렌식

[ 2주차 ] N0Named Wargame - [B] 유출된 자료 거래 사건[3]

문제 분석 이전 문제에서 파일이 제공되었다: 문제 풀이 앞서 NTFS Log Tracker를 주의깊게 보았다. 동거자가 존재했으므로, 동거자의 계정이 존재 및 사용되었을 것으로 예상하여 사용기록중 nonamed 계정이 아닌 다른 사용자 계정을 찾아보았다. 너무 당당하게 나와있었다. 따라서 다른 사용자의 이름은 cocktail임을 알 수 있었다. 다음에 알아내야 하는 것이 사용자 삭제 시점이다. 삭제 시점 등은 계정작업이므로 로그가 남았을 것으로 예상, evtx를 확인하기로 했다. 기본적인 기록파일을 포함해 그룹정책을 관리하는 모든 기록을 꺼냈다. 하지만 기록을 까서 읽어봐도 뭔말인지, 어떤 이벤트인지 이해하기 어려웠다. 그래서 현재 cocktile 사용자의 디렉토리는 남아있기 때문에, 레지스트리에도 사용..

[ 2주차 ] N0Named Wargame - [B] 유출된 자료 거래 사건[2]

문제 분석 이전 문제에서 파일이 제공되었다: 문제 풀이 우선 가상디스크 파일 안의 내용을 보기 위해 FTK Imager를 실행하여 열었다. 총 3개의 파티션으로 이루어져있으며, 순서대로 시스템 파티션, 주 파티션, 인식불가 파티션으로 이루어져 있다. 문제에서는 이름이 변경된 파일을 찾기를 원했다. 따라서 문제가 이름이 변경된 데이터를 찾길 원했으므로, 관련 기록을 확인했다. 교육 PPT에 관련된 내용이 있어, NTFS Log Tracker 툴을 구글링하여 사용했다. Tracker를 사용하기 위해 필요한 $LogFile, $MFT, $UsnJrnl:$J를 구하기 위해 /[root] 에서 $LogFIle 과 $MFT를, /[root]에서 $UsnJrnl을 추출했다. +) $LogFile을 통해 파일 생성/삭..

[ 2주차 ] N0Named Wargame - 우리의 추억들

문제 분석 문제 풀이 우선 문제에서 주어진 파일을 다운로드 받아 열면 아래와 같이 표시된다: 익숙한 ad1 파일이 보여 지체없이 바로 FTK Imager로 열었다. 우선 사진을 지웠다고 했으니, 휴지통을 뒤졌다. 여러 데이터들 중 레지스트리와 유튜브 썸네일 이미지를 찾았다. 이를 참고하여 Youtube 접속 기록을 레지스트리에서 찾는 것으로 확인, 크롬 접속기록을 들어갔다 (큰 실수) 우선 크롬 접속기록을 찾아 추출하고, DB Browser로 열었다. 총 5개의 youtube 접속 기록을 찾았다. 이제 얘네들의 썸네일 (?)이나 캐시파일을 찾으면 된다 (고 생각했다) 근데 캐시파일은 우리가 눈으로 확인 가능한 이미지 형태가 아니라는걸 구글링을 통해 알게 되었다 ( => 실패 ) 다시 원점으로 돌아가 레지..

[ 2주차 ] N0Named Wargame - infect

문제 분석 문제 풀이 우선 문제에서 주어진 AD1파일을 열기 위해 FTK Imager를 사용했다. 우선 [root]에 NTFS log를 위한 파일들은 보이지 않았다. 일단 디스크 로그를 확인하는 것은 아닌것으로 판단하고 패스. 문제에서 악성코드의 파일명과 실행시간을 알아내라고 했으므로 실행을 위해 생성되는 pk 파일을 확인하면 될 것으로 예상하였다. pk 파일들을 확인하기 전에, 사용자 폴더들을 해집어보았다. Desktop에 VboxTester.exe, Downloads에 VB0x~.exe가 '굉.장.히' 의심스럽게 혼자 있다. 바탕화면과 다운로드 폴더는 항상 데이터가 많은 곳인데, 이렇듯 데이터가 1개만 있다면 굉장히 의심스럽다. 이 프로그램명을 기억하고, pk 파일을 확인하기위해 [root]/Wind..

[ 1주차 ] Suninatas - 21번

문제 분석 다른 지시사항은 없다 문제 풀이 우선 이미지를 다운로드 받아 Hex Fiend로 뜯어보았다. 보통 JPEG는 FF D9 뒤에 데이터를 넣는 방식으로 데이터를 숨기기 때문에 이 방식을 확인하고자 모든 JPEG 파일에는 다수 들어가는 "Exif" 키워드를 검색해보았다 역시나 숨겨져있다. Exif앞쪽에 가장 가까운 FF D8을 기준으로 파일들을 하나하나 자르기 시작했다. 수십장의 사진이 숨겨져 있었지만, 결과적으로 3장의 사진들이 반복되어 나왔다: 1번 이미지는 우리가 바로 볼 수 있던 이미지, 2번과 3번이 숨겨진 이미지라고 판단, 둘을 합하여 답을 구했다. 풀이 결과 더보기 " Solution Key is H4CC3R_IN_TH3_MIDD33_4TT4CK "