[포렌식 파헤치기 2] 랜섬웨어 감염됐을 때 포렌식이 필요한 이유

잡았다 랜섬웨어 요놈!
#포렌식 분석으로 사건을 재구성했고
컴퓨터가 #랜섬웨어 에 걸리게 된 과정을 모두 밝혀냈습니다👏
흥미진진한 포렌식의 세계가 마음에 드셨다면
삼평동연구소 구독과 좋아요 알림설정까지 잊지 마세요😎

📖포렌식 용어 풀이📖
☑타임라인 분석: 사건의 전체적인 흐름, 이벤트의 전후 관계 등을 식별하기 위해 시간 정보를 포함한 데이터들을 시간 순서대로 나열해 분석하는 것 (이번 영상에서 사용한 분석 방법)
☑안티 포렌식: 디지털포렌식 기술에 대응하여 자신에게 불리하게 작용할 가능성이 있는 증거물을 훼손하거나 차단하는 것
☑MAGNET AXIOM: 컴퓨터, 스마트폰, 클라우드 등에서 조사할 데이터를 수집, 분석하는 디지털포렌식 도구
☑프리패치(Prefetch): 부팅, 응용프로그램 시작 시 성능 향상을 위해 구현된 기능. 응용프로그램 실행정보를 저장한 파일을 메모리에 올려두고, 필요할 때마다 하드디스크가 아닌 메모리에서 읽는 기법을 사용하여 응용프로그램 실행속도를 빠르게 하기 위한 기능 (위치: %SYSTEMROOT%\Prefetch)
☑아티팩트(Artifact): OS나 응용프로그램을 사용하면서 생성되는 흔적
☑레지스트리(Registry): 운영체제 및 응용프로그램의 설정 정보를 저장하고 있는 중앙 계층형 DB. 부팅 과정에서부터 로그인, 서비스 실행, 응용 프로그램 실행, 사용자 실행에 이르기까지 윈도우 시스템에서 수행되는 모든 행위에 관여함
☑MFT(Master File Table): NTFS 파일 시스템에서 볼륨에 존재하는 모든 파일, 디렉터리에 대한 정보를 가지고 있는 테이블
☑PE파일(Portable Executive File): 실행 가능한 파일
☑파일리스(Fileless): 피해 컴퓨터의 저장장치에 악성 파일을 저장 시키지 않는 것
☑APT(Advanced Persistent Threat) 공격 : 정부 기관이나 산업체처럼 체계적이고 잘 조직된 그룹의 시스템 침해를 목적으로 하는 위협
☑파싱(Parsing): 데이터 구문 분석
☑Mimikatz: 윈도우 상에서 각종 계정 정보 탈취에 이용되는 도구(Post-exploitation tool). 메모리에 로드된 패스워드, Hash, PIN, Kerberos ticket 등을 취득 할 수 있어 Pass-the-Hash 공격, Pass-the-Ticket 공격, Kerberos의 golden Ticket 작성 등에도 사용됨
☑이벤트 로그(Event log): 윈도우 운용과정 중에서 특정 동작, 이벤트를 체계적으로 기록한 바이너리 로깅 시스템 (위치: %SYSTEMROOT%\System32\winevt\Logs)
☑인코딩(Encoding): 특정 정보의 형태나 형식을 다른 형태나 형식으로 변환하는 것 (↔ 디코딩)
☑파워쉘(Powershell): 윈도우와 응용 프로그램의 관리를 쉽게 해주는 스크립트 언어. 대부분의 윈도우에 기본 탑재되어 있어 랜섬웨어 관련 악성코드에 파워쉘을 이용한 형태가 많음
☑스피어 피싱(Spear Phishing): 작살(Spear)과 피싱(Phishing)의 합성어. 신뢰할 만한 발신인이 보낸 것처럼 위장한 이메일을 이용해 악성 웹사이트로 유도 또는 악성 첨부 파일을 이용해 수신자의 PC를 감염시킨다는 점은 기존의 이메일 공격과 동일하지만, 특정인 또는 특정 조직을 노린다는 점에서 기존의 스팸 메일과 차이가 있음