본문 바로가기

Forensic

 (95)
[논문 정리] 메모리 분석 기반의 암호화폐 트랜잭션 정보 추출 방안 연구 암호화폐는 분산형 시스템과 익명성으로 범죄 자금 은닉 및 세탁에 자주 사용된다. 특히, 이를 보관할 수 있는 하드웨어 지갑의 사용률이 증가 중이지만, 이를 추적 및 분석하는 툴이 없기 때문에 수사에 어려움이 존재한다. 따라서, 디스크와 메모리에 기록되는 하드웨어 지갑 사용과 추적 관련 아티팩트를 분석하고 이를 추출하는 Volatility 플러그인을 개발하여 수사에 기여한다. 암호화폐 소유 방법에는 직접 채굴, 거래소에서 구매(채권) 등이 있는데, 거래소를 이용할 경우, 추적이 용이하다. 따라서 자신이 직접 소유할 수 있는 하드웨어 지갑 사용률이 증가하고 있다. 추가로, 하드웨어 지갑 전용 PC 앱이 존재해서 사용자는 거래소 이용 없이 앱으로 거래가 가능하고, 다른 암호화폐로 교환하는 스왑 기능도 제공하는..
[논문 정리] Interpreting the location data extracted from the Apple Health database 스마트 피트니스 장치는 점점 증가하고, 범죄 수사에서 널리 사용되고 있다. 그 중 애플워치 및 아이폰 피트니스 앱은 운동이나 위치 정보와 같은 다양한 디지털 증거가 포함되어 있다. 이에 본 논문에서는 1. 관련된 DB에 대해 가능한 완전한 구조 설명과 SQLite 쿼리 기반 접근 방식을 제공한다. ex. DB에서 위치 데이터를 추출하는 쿼리 2. iOS 16 도입으로 인해 DB 구조가 크게 변경됨을 언급한다. 3. 실제 데이터를 기반으로 시나리오를 제시한다. 4. 또한, 기기를 기반으로 한 데이터가 완전히 정확할 수는 없기 때문에 상황에 맞는 부가적인 해석이나 OSINT 기법이 필요함을 강조한다. 애플워치와 아이폰의 기본 앱: Apple Health 관련 DB: healthdb_secure.sqlite ..
G2FDb 보호되어 있는 글입니다.
[Forensic] Windows Timeline https://ukkiyeon.notion.site/Windows-Timeline-16e0d2d4e19e47e6a71aed2b9b07b539 Windows Timeline Windows Timeline ukkiyeon.notion.site
[Forensic] 웹 포렌식 보호되어 있는 글입니다.
[Forensic] Prefetch, MUICache, AmCache & ShimCache 응용 프로그램 (exe) 실행에서 남는 아티팩트들 -> 악성 프로그램 추적에 도움 포렌식을 위한 게 아님. -> 이 아티팩트들이 윈도우에서 왜 필요한지 알자. Prefetch 먼저 분석하고, 나머지로 교차 검증 수행시 효과적 [1] Prefetch 응용 프로그램의 빠른 실행을 위해 존재하는 파일. RAM에 별도의 prefetch 영역을 할당하여 최근에 실행한 프로그램을 HDD에서 로드하지 않고 CPU가 빠르게 불러와 처리할 수 있도록 함. 응용 프로그램을 실행할 때에 생성 실행 파일 이름, 경로 실행 파일의 실행 횟수 실행 파일의 마지막 실행 시간 실행 파일의 최초 실행 시간 경로 %SystemRoot%\Prefetch (C:\Windows\prefetch) 분석 툴: WinPrefetchView htt..
[디포전 2급] 파일 시스템 1주차 (2과목 1편 3장 파일 시스템의 구조) 1. 파일시스템의 논리적 구조 중 루트 디렉토리 밑에 여러 개의 하부 디렉토리를 갖는 구조는? 가. 평면 디렉토리 구조 - 하나의 디렉토리만 존재하고, 내부에 모든 파일들이 저장되는 구조 - 다중 사용자의 경우 모든 파일이 한 디렉토리에 존재하므로 문제가 됨 나. 계층형 디렉토리 구조 - 가장 일반적인 디렉토리 구조로, 대부분의 운영체제가 이 구조를 사용 - 여러 계층을 생성 가능하고 절대/상대 경로가 존재 다. 2단계 디렉토리 구조 - 사용자별로 자신만의 파일 디렉토리를 가지는 구조 - 사용자가 달라도 같은 이름의 파일을 가질 수 있음 라. 그래프 디렉토리 구조 - 계층 디렉토리 구조를 확장한 것 참고 https://security-nanglam.tist..
[DFC 2021] 207 - Living 보호되어 있는 글입니다.

티스토리툴바