디지털 포렌식 5주차 스터디

해당 강의를 수강하며 정리한 내용입니다.

[무료] 기초부터 따라하는 디지털포렌식 - 인프런 | 강의

---

1. AmCahce & ShimCache

응용 프로그램과 운영체제의 호환성을 위해 존재하는 캐시이다. 

운영체제가 업데이트 되면 DLL이 생성 혹은 삭제되면서 호환성 문제가 발생한다.

 

Windows에서는 프로그램 호환성 관리자를 이용하여 이 문제를 해결한다.

-> 이때, AmCache와 ShimCache를 사용하게 된다.

 

Amcache

• 모든 실행 파일의 이름, 경로, 크기, 해시 값을 확인할 수 있다.

ShimCache

• AppCompatCache이라고도 불린다
• 실행 파일의 이름, 경로, 크기 정보, 마지막 실행 시간을 확인할 수 있다.

 

File Path
- %SystemDrive%\Windows\AppCompat\Programs\Amcache.hve
- HKLM\SYSTEM\ControlSet001\Control\Session Manager\AppCompatCache
- HKLM\SYSTEM\CurrentControlSet\Control\SessionManager\AppCompatCache

 

 

Amache.hve 

 

 

 

AmCache와 ShimCache 분석

 

(1) AmcacheParser, AppCompatCacheParser를 다운로드

MDwiki

 

 

*CLI 로 동작함

 

 

FTK Imager로 파일 추출 

 

 

-f 옵션 뒤에 파징할 Amcache.hve file의 위치를 지정하고,

--csv 옵션 뒤에는 csv 파일을 저장할 경로를 지정한다. (현재 경로)

AmcacheParser.exe -f ./registry/Amcache.hve --csv ./   

 

 

- Amcache_UnassociatedFileEntries.csv 파일 (서식 - 열 너비  자동 맞춤)

Application Name, Program ID, Path 등을 확인할 수 있다.

 

 

- AppCompatCache 

 

 

AppCompatCache 파일을 클릭하면 보이는 문자열을 파싱할 것이다.

 

 

관리자 권한으로 cmd를 열어 AppCompatCacheParser를 실행한다.

 

 

이때, -f 옵션을 지정하지 않으면 PC 내의 레지스트리를 자동으로 수집해준다.

 

 

- Windows10Creators_사용자 계정_AppCompatCache.csv 파일

Path, 응용 프로그램의 마지막 실행 시간, 응용 프로그램의 마지막 변경 시간 등을 확인할 수 있다.

 

---

2. 브라우저 아티팩트 

Web Browser: Chrome, Edge, Whale 등과 같이 인터넷을 이용하기 위해 실행하는 응용 프로그램

 

Web Brower를 통해 웹 검색, 로그인, 파일 다운로드, 영상 시청 등을 할 수 있으므로 이는 매우 중요한 데이터가 될 수 있다으며, 확인할 수 있는 데이터의 종류는 아래와 같다.

• History: 방문한 URL, 방문 횟수, 방문 시각 등
• Cache: 캐시로 저장되는 이미지, 텍스트, 스크립트, 아이콘, 시간, 크기 등
• Cookie: 사용자 데이터, 자동 로그인 등
• Download list: 저장 경로, URL, 크기, 시간, 성공 여부 등

File Path
- Chrome: %UserProfile%\AppData\Local\Google\Chrome\User Data\Default
- Edge: %UserProfile%\AppData\Local\Microsoft\Windows\WebCache
- Whale: %UserProfile%\AppData\Local\Naver\Naver Whale\User Data\Default

 

 

Chrome 아티팩트 분석

history 파일을 확인할 수 있다 (DB 파일)

 

해당 파일을 보기 위해 DB Browser for SQLite를 다운로드한다.

Version 3.12.2 released - DB Browser for SQLite

 

 

크롬 브라우저를 모두 종료 후 파일을 열 수 있다. 

 

 

- 데이터 보기 

downloads의 id 필드를 기반으로 downloads_url_chains를 확인하면 다운로드가 진행된 URL을 알 수 있다.

 

 

urls에서 어떤 URL에 접속했는지, 접속 횟수, 마지막 접속 시간 등을 확인할 수 있다.

 

 

Edge 아티팩트 분석

분석 대상 파일인 WebCacheV01.dat를 export해준다. (여기에 정보 다 있음)

- 윈도우에서 잡고 있기 때문에 파일을 drag n drop 해주면 열리지 않기 때

- 정석적인 방법은 아님 

 

 

 

해당 파일은 분석하기 위해 ESEDatabaseView를 다운로드한다.

 

View / Open ESE Database Files (Jet Blue / .edb files)

 

 

ESEDatabaseView 를 통해 파일을 열어준다. 

 

 

1번 컨테이너 - 접속 기록 url 들을 확인할 수 있다. 

 

 

+)

브라우저 별로 권장되는 도구가 존재하는데 Chrome의 경우 ChromeCacheView와 Hindsight가 권장되고,

Edge의 경우 IE10Analyzer와 ESEDatabaseView가 권장된다.

Whale의 경우 Carpe Forensics가 권장된다

 

---

3. ThumbnailCache / IconCache

ThumbnailCache 

• 썸네일(Thumbnail)은 미리보기 파일을 의미한다.
• Windows에서는 썸네일 사진들을 미리 생성하여 보관하고 있다.
• 포렌식적 의미
  • ThumbnailCache는 분석 대상 PC에 해당 파일이 존재하였음을 나타낸다. (해당 파일이 삭제되더라도 ThumbnailCache는 사라지지 않는다.)

 

IconCache

• Windows 아이콘(Icon)을 보여주기 위해서 가지고 있는 캐시를 말한다.
• 일반적인 폴더나 파일은 공통의 아이콘을 사용하고, 응용 프로그램은 별도의 아이콘을 사용한다.
• Windows에서는 아이콘 사진들을 별도의 공간에 모아서 보관한다.
• IconCache는 분석 대상 PC에 존재했던 응용프로그램의 종류를 확인할 수 있다.
• 포렌식적 의미
  • 외부 저장 매체 사용 흔적
  • 안티 포렌식 도구 사용 흔적, 악성코드 실행 흔적을 파악할 수 있다. (해당 응용프로그램이 삭제되더라도 IconCache는 사라지지 않는다.)

File Path: %UserProfile%\AppData\Local\Microsoft\Windows\Explorer

 

 

ThumbnailCache와 IconCache을 분석하기 위해 Thumbcache Viewer를 다운로드한다.

Thumbcache Viewer - Extract thumbnail images from the thumbcache_*.db and iconcache_*.db database files.

 

Thumbcache Viewer를 통해 파일을 열어준다. 

 

 

---

4. Windows Timeline

Windows + Tab 버튼을 눌러 확인할 수 있다.

 

Windows에서 지원하는 Timeline 기능

• 사용자가 실행하고 있는 응용 프로그램
• 사용자가 과거에 실행했던 응용 프로그램
• 최대 30일의 사용자 행위를 보관

 

설정>개인 정보 및 보안>활동 기록에서 ‘이 장치에 내 활동 기록 저장’ 설정이 켜져 있어야 정보가 저장된다. 

 

 

Timeline 데이터 저장 경로는 사용자 계정에 따라 경로가 달라진다.

• 로컬 계정은 L.{로컬 계정명}을 사용
• 마이크로소프트 계정은 {마이크로소프트 식별자(CID)}를 사용
• Office 365 & AAD 계정은 AAD.{보안 식별자(SID)}를 사용

File Path: %UserProfile%\AppData\Local\ConnectedDevicesPlatform\{계정명}\ActivitiesCache.db

 

 

 

DB Browser for SQLite를 사용하여  ActivitiesCache.db를 확인할 수 있다. 

 

ActivitiesCache.db는 Activity, ActivityOperation, Activity_PackageId로 구성되어 있다.

• Activity: 응용프로그램 실행 기록, 실행 시간 등 보통의 Timeline 데이터
• ActivityOperation: 생성 혹은 삭제 이벤트에 대한 Timeline 데이터
• Activity_PackageId: 앱별 패키지 이름

 

디지털 포렌식 5주차 스터디