[ 2주차 ] N0Named Wargame - [B] 유출된 자료 거래 사건[2]

문제 분석

 

---

문제 이미지

이전 문제에서 파일이 제공되었다:

 

제공된 파일

 

문제 풀이

---

 

우선 가상디스크 파일 안의 내용을 보기 위해 FTK Imager를 실행하여 열었다.

 

 

총 3개의 파티션으로 이루어져있으며, 순서대로 시스템 파티션, 주 파티션, 인식불가 파티션으로 이루어져 있다.

 

문제에서는 이름이 변경된 파일을 찾기를 원했다.

따라서 문제가 이름이 변경된 데이터를 찾길 원했으므로, 관련 기록을 확인했다.

 

 

교육 PPT에 관련된 내용이 있어, NTFS Log Tracker 툴을 구글링하여 사용했다.

 

Tracker를 사용하기 위해 필요한 $LogFile, $MFT, $UsnJrnl:$J를 구하기 위해

 

/[root] 에서 $LogFIle 과 $MFT를,

/[root]에서 $UsnJrnl을 추출했다.

 

추출된 기록들

+)

$LogFile을 통해 파일 생성/삭제/수정/파일명 변경기록을 확인할 수 있고,

$UsnJrnl$J를 통해 파일이나 경로의 속성의 변경기록을 확인할 수 있으며,

$MFT파일을 통해 파일 중심의 파일 시스템을 분석할 수 있다.

 

#Reference: https://wave1994.tistory.com/32

디지털 포렌식 : : 파일시스템 로그 분석

 

 

근데 무슨 파일을 찾아야 할지 감이 잡히지 않았다.

다시 문제로 돌아가 보았다.

 

파일을 입수한 경로, 즉 파일을 어떤 형식으로든 외부에서 가져왔다는 뜻이다.

일반적으로 가장 많이 가져올 수 있는 경로는 인터넷이므로, 대표적인 Chrome의 접속기록을 확인해보았다.

 

 

SQLite: Chrome Download 기록

 

 

SQLite로 Downloads 기록을 확인한 결과, 10여개의 다운로드 기록이 있었고, 위의 기록들에서도 확인할 수 있었던 한컴 뷰어의 기록을 참고하여 다운로드 기록을 필터링한 결과 한글 파일인 'Confidential_doc.hwp'의 다운로드 기록을 찾을 수 있었다.

 

문제에서 파일의 이름이 변경되었다고 했으므로, 문서명의 변경을 기록하는 $LogFile에서 이 문서의 이름을 검색했다.

여기에서 검색결과가 '...(Search Result)'탭에 따로 나온다는 것을 알지 못해 한참 해맸다.

 

 

 

오후 4시 52분경 파일이 삭제된 것을 제외하고는 다른 정보를 찾을 수 없었다.

 

그래서 $UsnJrnl$J에서도 검색해보았다.

 

 

드디어 Event에 어느정도의 정보가 나왔다. 크롬에서 다운로드가 완료되자 임시파일 (.crdownload)에서 Confidential_Doc.hwp로 파일명이 변경되었고 (시간으로 다시 검색하여 확인함), 사용자가 임의로 파일명을 다시 변경한 것을 확인했다.

 

변경한 파일명을 확인하기위해 가장 마지막 시간을 검색하였다.

새롭게 변경된 파일명은 'todaysmemo.hwp'였다.  변경된 시간은 검색을 위해 입력했던 타임스탬프 (2020-02-02 17:40:31)였다.

 

 

풀이 결과

---

 

Flag: NND{Confidential_Doc.hwp_todaysmemo.hwp_0220.17:40:31}

Flag를 얻었다.