디지털 포렌식 2주차 스터디

해당 강의를 수강하며 정리한 내용입니다.

[무료] 기초부터 따라하는 디지털포렌식 - 인프런 | 강의

---

1. 도구 설치, 환경 설정, 문제 다운로드

(1) volatility 설치

https://www.volatilityfoundation.org/26

-> 크롬에서 하면 설치 불가능. 웨일에서 설치 진행

 

 

 

(2) windows 터미널 설치

- 윈도우11에는 기본으로 설치되어 있음 

Windows Terminal 사용법

 

 

(3) 시스템 환경 변수 설정

환경 변수를 설정하는 이유 
- 시스템 환경 변수: 어떤 경로에서도 접근할 수 있도록 하는 것

 

-> 어떤 경로에서든 접근 가능

-> tab 버튼을 누르면 바로 불러올 수 있음 (windows 터미널)

 

 

(4) 문제 다운로드

 

• Malware - Cridex ( https://github.com/volatilityfoundation/volatility/wiki/Memory-Samples )

 

---

2. Volatility Cridex 풀이

Volatility: 데이터를 수집해주는 도구 

 

(1) Volatility 활용해보기

해당 실습은 이미지 파일이 존재하는 디렉토리 내에서 진행

 

• volatility_2.6_win64_standalone.exe -f .\cridex.vmem imageinfo
  • imageinfo: 메모리 덤프를 보고 어떤 운영체제의 메모리 덤프인지 확인하는 것
    • 어떤 운영체제인지에 대해서 아는 것은 분석에서 매우 중요한 부분!
  • 결과
    •  Suggested Profile(s) : WinXPSP2x86, WinXPSP3x86 (Instantiated with WinXPSP2x86)
      
      • 여기서 아무거나 써도 되는데, 제일 처음꺼 쓰겠음 우리는

 

 

• volatility_2.6_win64_standalone.exe -f  .\cridex.vmem --profile=WinXPSP2x86 pslist
  • 프로세스들의 리스트 출력

 

+) 출력값이 길기 때문에  ' > pslist.log' 입력해주면 pslist.log 파일이 생성되고 해당 파일에 실행 결과가 저장됨

 

 

- notepad++ 로 파일 열기

• 이미지에 들어있던 프로세스의 리스트가 보임 

 

- 의심스러운 프로세스 목록 찾기 

 

(2) 프로세스의 리스트를 출력할 수 있는 도구들 사용해보기 

 

- pslist : 시간 순서대로 출력 

 

- psscan: offset 순서대로 출력 

• 숨김 프로세스를 볼 수 있다고 알려짐

 

- pstree: 모양이 구조화되어서 보여짐

• PID와 PPID를 기반으로 구조화되어서 보여짐

 

- psxview: pslist와 psscan 등을 비롯한 7가지의 도구를 결합. pslist와 psscan을 한 눈에 볼 수 있음 

• pslist: False, psscan: True 일 경우:  해당 파일이 숨겨진 프로세스 (공격자가 의도적으로 숨긴 프로세스)일 것이라는 의심을 해볼 수 있음

 

프로세스 모르겠으면 프로세스의 역할 하나하나 구글링해서 확인하기 

 

but, 악성 프로세스도 일반 프로세스와 이름을 똑같이 지정하는 경우가 있음 

 

• svchost.exe (서비스를 처리하는 프로세스)의 경우 악성코드들이 해당 이름으로 변조를 많이 함
  • 현재는 정상적으로 보임 (트릭모양으로 보았을 때)

 

 

• explorer.exe
  • 윈도우즈 탐색기 (폴더 탐색기)
• reader_sl.exe 
  • 어도비의 소프트웨어 구성 요소
  • [psxview] 0x0207bda0 reader_sl.exe          1640 True   True  : 숨겨진 파일은 아님 

어도비 -> PDF 파일을 읽음 -> PDF 문서를 통한 악성코드들이 매우 많음 
=> 의심스러운 프로세스로 생각해볼 수 있음 
=> 그렇다면 이 이후에 실행된 프로세스들도 의심해볼만 함 (시간순: pslist)

 

 

(4) cmdline

 

 

• cmdscan
• consoles
• cmdline: 프로세스가 실행될 때의 인자값 확인 가능 
  • 3가지 중 cmdline.log에만 내용 존재했음 
  • 의심스러웠던 프로세스 확인 -> 경로만 나와있고 얻을 수 있는 정보 없음 

 

 

(5) filescan

• 메모리 내에 존재하는 모든 파일들에 대해 보여줌

 

 

- 의심스러웠던 파일 확인해보기  

-> '현재 문서에서 모두 찾기'

-> offset 값 복사하기 

 

• volatility_2.6_win64_standalone.exe -f .\cridex.vmem --profile=WinXPSP2x86 dumpfiles -Q 0x00000000023ccf90 -D .\files\ -n
  • 메모리 내에 reader_sl이라는 프로세스를 뽑아냄 

 

 

- 악성코드 검사를 위해 virus total에서 분석해본다 (두 파일 중 아무거나 상관X)

https://www.virustotal.com/gui/home/upload

 

- 결과: 68개의 검사 결과에서 6개만 악성코드라고 판단 -> 애매함 

 

 

 

 

(5) connections

• 네트워크 정보 확인 
• 연결된 TCP 통신 목록 출력

 

 

//원래는 더 내용이 많음

• Pid=1484라는 프로세스에서 통신함 
• Local Address: 분석하고자 하는 컴퓨터의 로컬 주소
• Remote Address: 원격지 주소
• 8080 포트 사용

 

- pid =1482 프로세스 확인

 

- 그 아래의 프로세스도 의심해볼 수 있음 

 

 

(6) memdump

 

explorer.exe는 크니까 작은 것(reader_sl.exe)부터 보는 거임

 

전체 메모리 중에 특정 프로세스가 사용하는 영역을 그냥 가져온 것이므로 dump 파일에는 쓰레기 값이 많다.

이를 제거하기 위해 strings를 사용한다. (SysinternalsSuite의 경로를 환경변수로 설정해줘야 함)

 

통신하는 주소에 대해서도 메모리 영역에서 확인해본다. 

 

- 생성된 로그 파일에서 41.168.5.140 검색

• 결과로 보이는 URL들이 해커의 웹사이트 주소라고 예측해볼 수 있다. 

 

 

- /zb/v_01_a/in/ <- 해당 주소가 반복적으로 나옴 

• 검색

 

 

- 이런 결과들을 토대로 예상 시나리오를 그려볼 수 있다.

• reader_sl.exe : 악성 PDF 문서 읽음 -> 취약점으로 인해서 해커의 URL로 접속 -> 은행 관련 피싱 

 

 

(7) procdump

• 프로세스 내부에서 직접 뽑아내는 것 
• 윈도우즈 보안 기능이 막기 때문에, 보안 기능 해제 후 사용해야 함
  • 실시간 보호 끄고 진행해야 함. 안그러면 파일 바로 삭제됨

 

- virustotal에서 검사 진행

• 71개의 검사 결과 35개의 검사에서 악성코드라고 판단함 

---

3. Volatility Cridex 정리

- 운영체제 식별 

• WinXPSP286

 

- 프로세스 검색

• reader_sl.exe(1640)가 수상한 프로세스로 보였음

 

- 네트워크 분석

• 공격자 IP:  41.168.5.140:8080
• PID: 1484 (explorer.exe)

- CMD 분석 -> 결과 없음

 

- 파일 분석 및 덤프

• filescan 결과로부터 reader_sl.exe 추출
• dumpfiles 이용하여 추출 -> virustotal 검색 -> 확실한 결과를 확인할 수 없었음

 

- 프로세스 세부 분석

• procdump 이용하여 reader_sl.exe 실행파일 추출 -> virustotal 검색 -> 악성코드임을 확인!
• memdump 이용하여 reader_sl.exe 메모리 영역을 덤프 -> strings 명령어 이용 -> 수상한 URL들 확인

 

분석 결과 정리시, 중요한 3가지
- 공격자가 어떤 경로로 들어왔는가
- 어떻게 악성행위를 하였는가
- 추가적으로 남아있는 악성행위는 무엇인가

 

- 분석 결과 정리 

• 침입 경로: 확인 불가
• 악성 행위
  • 악성 프로세스 "reader_sl.exe" 식별
  • 외부 통신 IP 발견
  • 프로세스 덤프 후 virustotal 검색 결과 -> 악성 프로세스 확인
  • 프로세스 메모리 덤프 내부에서 수상해보이는 단서 확보
• 추가 공격: 확인 불가