디지털포렌식 2급 실기 시나리오 관련 문제 (2024 모의 문제 풀이 - 3번 문제) [FTK Imager]

이제부터 푸는 문제는 본격적으로 디포2급 자격증 시험이라는 가정하에 꽤나 시간이 드는 것에 해당하는 문제들입니다.
주로 사용자 pc의 바탕화면, 다운로드 내역, 웹 브라우저 아티팩트, 프리패치, Windows 이벤트 로그 등의 많은 파일들을 자세히 들여다보고, 디스크의 구성을 시간을 들여 파악했다는 전제하에 풀 수 있으므로, 

앞으로 나오는 풀이는 충분히 고민을 해보시고 답이 나온다면 일치하는지,
충분히 고민해도 답이 안나오신다면 어쩔 수 없이 풀이는 보는 용도로 봐주시면 됩니다.

중요한건 자신이 알고 있는 지식 범위 내에서 충분한 시간을 들여 꼼꼼히 확인했냐는 것입니다.

 

3번 문제

위에서 이야기한 것처럼 충분히 볼 수 있는 것이 좋겠지만,

디포2급 시험은 시간제한이 있고, 도구 제한도 있다.

그러므로 도구의 기능을 이용해줘야한다.
이제부터는 Autopsy의 기능을 이용해줄 것이다.

pc의 가상머신 파일을 선택해주자

https://wintersnowaaa.tistory.com/18

디지털포렌식 2급 실기 (2018 모의 문제 풀이 - 3번 문제) [FTK Imager]

시험장에서 autopsy의 모듈을 돌리면 꽤나 시간이 걸린다.
그래서 문제 푸는데에 필요한 기능들만 꼽아서 체크하자면

나라면 이렇게할 것이다.

일단 돌려놓고 천천히 둘러본다.
일단 가장 먼저 보는건 해당 사용자의 폴더일 것이다.

web-bit의 폴더들 Desktop, Documents, Downloads 등을 둘러보다가 Downloads 아래에 Chrome Manual.pdf 를 보면 확장자는 pdf인데 파일의 시그니처 부분에 PDF라는 문자열이 안보이는 것을 알 수 있다.

이건 확장자를 바꾼 파일이다.

그럼 이게 무슨 파일인지 어떻게 알까?
일단 이건 문자열에 보이듯이 MIME 이라는 통신에 관련된 데이터 표준을 따르는 파일이다.

https://cheershennah.tistory.com/167

MIME type이란?

2021.2.3 에 작성된 이 분의 글을 기준으로 MIME-Version 은 현재로서는 1.0만 존재하며,
MIME Type 파일은 text, 이미지, 오디오, 비디오, 바이너리 데이터등으로 존재한다.
웬만한 미디어 파일을 취급한다.

'Chrome Manual.pdf' 를 문자 분류로 본 화면이다.
무슨 파일인지는 모르겠으나 base64로 인코딩했다고 나와있다.

그리고 위의 From: =?UTF-8?B? 이후로 base64로 인코딩된 값이 있는 것과
TO: =?UTF-8?B? 이후도 마찬가지로 base64로 인코딩된 값이 있는 것을 보아하니

이러한 형식을 토대로 이메일 파일임을 유추할 수 있다.

일단 뭐 내용을 base64로 인코딩했으니까 디코딩해서 확인해야하는데...
시험장에서는 인터넷의 base64 인코딩, 디코딩 사이트를 사용할 수 없으니

해시값 구하는 것처럼 powershell 의 기능을 이용해야한다.

일단 base64로 인코딩된 것처럼 보이는 부분을 전부 메모장에 박아넣어준다.

그리고 이건 외워야하는데
certutil -decode [원본파일] [디코딩 출력 결과 파일] 으로 입력해서 뽑아준다.

대충 형식을 보아하니 html 형식으로 이루어진 것 같은데...

확장자를 html로 바꾸고 브라우저로 열어서 보면 가독성이 더 좋다.

3. 용의자와 다른 사람이 공모한 흔적을 찾고 찾은 과정을 간략히 작성하시오.
: web-bit 의 다운로드 폴더 내부에 있는 확장자를 바꾼 'Chrome Manual.pdf' 를 디코딩하여 찾아낸다.