[포렌식] cridex

[메모리 포렌식] volatility 도구를 이용하여 문제 파일을 분석하는 문제

• 먼저 터미널에서 cridex 폴더로 이동한 뒤 파일의 기본 정보를 알기 위해 다음 명령어를 입력했습니다.
• volatility -f "filename" imageinfo :이 명령어는 이미지가 어떤 운영체제의 메모리 덤프인지 판단합니다.
• 그다음 프로세스 리스트를 분석하기 위해 다음 명령어를 입력했습니다.
• volatility -f "filename" --profile="아까 분석했던 운영체제" pslist (저는 운영체제에 WinXPSP2x86 입력했습니다.)
• pslist 외에도 volatility에는 프로세스 출력 명령어가 pslist, psscan, pstree, psxview로 총 4개가 있습니다.
  
  • pslist는 시간순으로 정렬
  • psscan은 오프셋을 기준으로 보여주고 숨긴 프로세스도 보여준다.
  • pstree는 PID와 PPID를 기반으로 tree형태로 보여준다.
  • psxview는 pslist와 psscan을 동시에 보여주는데 pslist, psscan 값이 똑같이 True가 아니라 False가 있다면 공격자가 의도적으로 숨겼다고 가정할 수 있다.
• 여기서 reader_ls.exe는 pdf관련 프로그램으로 pdf는 해킹에 취약해 악성파일일 가능성이 클 것입니다.

• filescan은 메모리에 존재하는 파일에 대한 정보를 주는 명령어로 reader_sl.exe를 추출하기 위해 다음 명령어를 입력했습니다.
• filescan > filescan.log : filescan 한 것을 log파일 형태로 저장

• 그다음 filescan.log에서 reader_sl.exe에 해당하는 오프셋을 추출해서 다시 위의 명령어를 이용해 파일을 추출했습니다. 파일을 추출하기 위해 다음 명령어를 입력했습니다.
• .\volatility_2.6_win64_standalone.exe -f cridex.vmem --profile=WinXPSP2x86 dumpfiles -Q 0x00000000023ccf90 -D ./ -n 

VirusTotal

• 마지막으로 추출한 파일들 중에 하나를 VirusTotal 사이트를 이용해 분석했더니 악성파일임을 확인했습니다.

---

참고

[기초부터 따라하는 디지털 포렌식(inflearn)] - Volatility 사용 및 문제풀이