디지털포렌식

이 포스트를 작성하는 시점인 2022년에서는 이미 2020년 미국 대통령 선거의 결과 조 바이든이 당선되어 있고 그 결과에 승복된 상태이다. 하지만 실제 대선이 벌어졌던 2020년 당시에는 미국 공화당의 트럼프(전 대통령 재선)와 미국 민주당의 조 바이든 후보가 접전을 벌이고 있었다. 선거 이후 부정선거 논란이 벌어지면서 트럼프는 부정선거를 주장하며 대선 ...

Andrew Case, "New Memory Forensics Techniques to Defeat Device Monitoring Malware, BlackHat USA 2022

Andrew Case는 volatility의 창시자이다. 그는 지속적으로 개발 및 업데이트를 진행하고 있는데, 이번에 Black Hat USA 2022에서 whitepaper를 출시했기에 그 내용을 리뷰해본다. 출처 : https://i.blackhat.com/USA-22/Wednesday/US-22-Case-New-Memory-Forensics-Techn...

앞서 volatility3 를 활용하여 windows 및 linux에서 메모리 분석이 가능함을 확인했다. 이제 마지막으로 macOS 환경도 volatility 이용한 메모리 포렌식이 가능한지?에 대한 실험 결과이다. 실험을 진행하기 이전에 몇가지 제약사항이 있었고 아직까지 해결하지 못한 부분이 많다. 그 내용들을 몇가지 요약하자면.. 1) 현재 최신 mac...

앞서 volatility3 을 이용해 윈도우 메모리 포렌식을 수행하는 방법을 설명했다. 요약해서 한번 더 언급하자면, 메모리 포렌식 프레임워크인 Volatility 의 최초 버전은 2007년 Black Hat DC 에서 공개되었다. 파이썬2를 이용하여 지속 개발되던 볼라틸리티 프로젝트는 2018년 12월 2.6.1 버전을 끝으로 개발이 중단된 상태이다. 아...

일반적으로 우리는 바이너리를 실행하면 프로세스가 된다고 이해하고 있다. 이 과정을 설명하자면, 바이너리란 결국 File 이고, 디스크(보조기억장치)에 저장된 것이다. 하지만 이것을 실행하게 되면 메모리(주기억장치) 에 상주한다. 한가지 호기심이 생겼다. 최근 악성코드를 보면 분석을 방지하기 위해 파일이 없는(Fileless) 형식으로 활동한다. 예를 들어 ...

개요 메모리 포렌식 분석의 사실상의 표준이라 할 수 있는 Volatility가 3.0 개발이 진행 중이다. volatility 는 2016년 12월에 2.6 버전이 출시되었고, 2018년 12월에 2.6.1버전이 출시된 것이 마지막 업데이트다. ( 참고 : https://github.com/volatilityfoundation/volatility/relea...

지금으로부터 1년 전쯤, 2019년 11월에 정보호호학회 홈페이지에서 <DFC 2020 대회 문제 출제 및 심사위원> 모집 공고를 확인했다. 대략적으로 DFC2020 에 문제 출제 및 심사를 수행하는 역할을 수행하는 것이고 분야는 Mobile, Internet of Things, Artifact, Incident Response, Anti For...

마이크로소프트에서 리눅스용 메모리 덤프 도구를 공개했다. 이름은 avml인데 Acquire Volatile Memory for Linux 의 약자이다. (https://github.com/microsoft/avml) 기존에 lime을 활용한 방법이 대표적이었는데, 이 도구에서도 lime format을 지원하는데다가 압축 등 옵션을 추가로 지원한다. 속도도 ...

Linux Memory Forensics

2018년 11월에 저의 세번째 전자책이 출간되었습니다. 뒤늦게나마 기록을 남겨둡니다. 앞서 "APT 악성코드와 메모리 분석 첼린지 풀이 사례", "VolUtility 리뷰와 첼린지 문제 풀이 사례" 두권의 메모리 포렌식 책을 저술하였는데, 둘 모두 Windows 환경을 기반으로 한 내용이었습니다. 그러나 안타깝게도 리눅스 운영체제에 대한 메모리 포렌식은 ...

피고인들은 자동 회원가입, 자동 방문 및 이웃신청 등의 기능을 이용하여 네이버 카페나 블로그 등에 자동적으로 게시글과 댓글을 등록하고 쪽지와 초대장을 발송하는 등의 작업을 반복 수행하는 프로그램을 판매하였다. 이 프로그램은 주로 업체나 상품등을 광고하기 위한 목적으로 인터넷 커뮤니티에 광범위하게 사용되었고, 일반 사용자가 통상적으로 작업하는 것보다 빠른 속...

CafePress 는 미국의 온라인 쇼핑몰이다. 그들은 "Safe and Secure Shopping"을 보장한다고 홍보를 한 모양인데, 애석하게도 2019년 10월 2일 고객들에게 자사 데이터베이스 정보가 해킹되었음을 밝히고 이는 최소 9개월 전인 2019년 2월 경있었던 일이라고 시인했다. 출처 : https://www.grahamcluley.com/c...

Review : Understanding Linux Malware

정보보안 학계에서 Top Conference 중 하나로 불리는 IEEE Symposium on Security and Privacy 2018에서 [Understanding Linux Malware] 라는 논문이 발표되었다. 사실 제목만 읽었을 때는 좀 의아했다. 악성코드에 대한 연구 자체는 이미 지천에 널려있는데, 어떤 Novel 한 접근도 아닌 단순 Un...