메모리 포렌식주 기억장치(메모리)에 존재하는 휘발성 데이터를 덤프 분석하는 과정악성코드가 실행되기 위해서는 메모리로 로드되어야 해서 메모리는 악성코드를 가지고 있을 가능성이 높다.피해시스템의 RAM은 악의적인 코드가 할당한 자원과 악성코드 관련 증거들을 포함하고 있어 분석 시 유용한 흔적을 찾을 수 있다.분석 시 얻을 수 있는 정보프로세스 정보네트워크 연결 정보윈도우 레지스터리 정보패스워드, 캐시정보, 클립보드 정보 등악성코드 파일 정보하드웨어 설정 정보메모리 정보이니만큼 휘발성 데이터로 전원 차단 시 데이터가 사라져 온전한 데이터수집이 어렵다.메모리 덤프RAM에 존재하는 모든 데이터를 덤프해 분석가능한 파일 형태로 변환하는 작업하드웨어를 이용한 덤프 : FireWire Attack(IEEE 1394)를..

디지털포렌식 기술이 발전하며 이를 방어, 회피하기 위한 행위를 안티포렌식(Anti-Forensics)이라고 한다.디지털 데이터를 조작하고, 삭제하고 난독화하여 자신에게 불리하게 작용할 수 있는 증거의 존재 및 양과 질에 부정적 영향을 미치거나 증거분석을 곤란하게 하는 일련의 행위를 말한다. 안티포렌식의 목적1. 증거 탐지 회피2. 정보 수집 방해3. 포렌식 조사관의 분석 시간 증사4. 디지털 포렌식 도구 작동의 오류5. 사용 흔적이나 도구 실행 흔적을 발견하지 못하도록 로깅 차단/우회 또는 삭제6. 법정 보고서나 증언으로서의 가치 훼손 안티포렌식 기법안티 포렌식은 수사의 기법을 방해하여 부정적으로 쓰이는 기법이지만,이러한 툴, 기술들은 중요 데이터나 개인의 프라이버시를 보호하기 위한 합법적인 용도로도 사..

8회 BoB 정보보안 CTF에 출제된 문제라고 한다. 한가위 쯤이었나보다.한가위 비디오를 찾아달라고 하는 거 보니 Hxd에서 비디오 파일을 추출해주는 문제가 아닐까 싶다.(제목도 그렇구)Hxd에서 열어주면JPG파일의 파일 시그니처가 보인다. 바로 푸터 시그니처인 FF D9를 검색해보자.바로 뒤에 MP4의 파일 시그니처인 ftyp가 보였다.거기부터 끝까지 새로운 파일로 추출해주면  이런 MP4파일이 하나 나오는데 뭐 아무것도 없다 .여기서부터 잘 모르겠어서 좀 찾아봤는데,https://mlynoteka.mlyn.org/mp4parser/ Online MPEG4 ParserOption 4: Samples for test Sample Init Segment Sample Media Segmentmlynoteka..

컨테이너 포맷(Container Format)파일 컨테이너 : 압축된 영상 데이터와 압축된 음성 데이터 파일을 하나로 묶는 기능(보관함)-> AVI, WMV, MKV, MP4, MOV, ASF, FLV, TS, TP 등동영상 확장자는 오디오, 비디오 데이터인 스트림(Stream)을 하나 이상 가지고 있는 보관함 역할을 한다.->컨테이너 포맷(Container Format), 래퍼 포맷(Wrapper Format)* 스트림(Stream) : 데이터, 패킷, 비트 등 일련의 연속성을 갖는 흐름/데이터를 의미.->컨테이너가 가지고 있는 비디오, 오디오 데이터라 생각 코덱(Codec)코덱이란 코더(Coder)와 디코더(Decoder)의 앞글자를 딴 합성어로 용량이 큰 영상을 다른 곳으로 이동하거나 보관하기 쉽게..

ssh 서버에 접속을 해준다.hostname -I 명령어를 사용해 IP를 확인해준다. 로그인할 때 마다 네트워크 데이터에 민감한 정보가 유출된다고 하니까 tcpdump 명령어를 사용한다.tcpdump src IP그럼 막 이렇게 수많은 패킷 정보가 나오는데보면 다 한 IP주소로 보내고 있다. 저 IP 주소를 제외하고 검색해볼 수  있다.tcp dump src and not dst 다른 터미널에서 ssh 서버에 로그인을 해주면 다른 IP 주소와 UDP 통신을 한 게 나온다.grep 명령어를 통해 기록을 lib 디렉토리에서 해당 IP와의 통신을 찾아본다.-> lib 디렉토리는 시스템 라이브러리가 위치한 디렉토리이다. 공격자는 보통 라이브러리를 조작하여 시스템 동작을 변경한다.security/pam_unix...

After Karen started working for 'TAAUSAI,' she began to do some illegal activities inside the company. 'TAAUSAI' hired you as a soc analyst to kick off an investigation on this case.You acquired a disk image and found that Karen uses Linux OS on her machine. Analyze the disk image of Karen's computer and answer the provided questions.1. What distribution of Linux is being used on this machine?ft..