[ 2주차 ] N0Named Wargame - infect

문제 분석

 

---

문제 이미지

 

문제 풀이

---

우선 문제에서 주어진 AD1파일을 열기 위해 FTK Imager를 사용했다.

 

infect.ad1 실행화면

 

우선 [root]에 NTFS log를 위한 파일들은 보이지 않았다. 일단 디스크 로그를 확인하는 것은 아닌것으로 판단하고 패스.

문제에서 악성코드의 파일명과 실행시간을 알아내라고 했으므로 실행을 위해 생성되는 pk 파일을 확인하면 될 것으로 예상하였다.

 

pk 파일들을 확인하기 전에, 사용자 폴더들을 해집어보았다.

 

해집어놓은 infect.ad1

 

Desktop에 VboxTester.exe, Downloads에 VB0x~.exe가 '굉.장.히' 의심스럽게 혼자 있다. 바탕화면과 다운로드 폴더는 항상 데이터가 많은 곳인데, 이렇듯 데이터가 1개만 있다면 굉장히 의심스럽다. 이 프로그램명을 기억하고, pk 파일을 확인하기위해 [root]/Windows/Prefetch를 통으로 빼냈다.

 

 

Prefetch 추출샷

 

추출 후 pf파일들을 통해 정보를 알아보기 위해 추출한 경로를 PrefetchViewer와 연결하여 확인했다.

 

 

WinPrefetchView

 

위에서 아까 그 프로그램이 실행된 기록을 찾아본 결과..

 

VBOXTESTER.EXE의 실행흔적

VBOXTESTER.EXE의 실행흔적을 찾았다.

다와서 헤맸는데, 실행시간을 물어봤으므로 Last Run Time을 flag에 적어야 한다.

 

풀이 결과

---

 

Flag: NND{VboxTester.exe_1028.23:14:04}

Flag를 얻었다.