1. 침해사고조사 - 메모리 포렌식

# 메모리 포렌식
# volatility : 메모리 덤프 분석 툴 , top3
# 덤프 : FTK, encase, 덤프잇(window 한정)
cmd 관리자권한 실행
> setup.py build
> setup.py install
> vol.py -h
> vol.py -f data.vmem imageinfo # 어떤 프로파일을 가지고 있는지 확인하기
Suggested Profile(s) : Win2008R2SP0x64, Win7SP1x64, Win7SP0x64, Win2008R2SP1x64
                     AS Layer1 : AMD64PagedMemory (Kernel AS)
                     AS Layer2 : FileAddressSpace (D:\\디지털포렌식_민병욱\\2강\\Tool\\Vol\\volatility\\data.vmem)
                      PAE type : No PAE
                           DTB : 0x187000L
                          KDBG : 0xf800029ed070L
          Number of Processors : 2
     Image Type (Service Pack) : 0
                KPCR for CPU 0 : 0xfffff800029eed00L
                KPCR for CPU 1 : 0xfffff880009ee000L
             KUSER_SHARED_DATA : 0xfffff78000000000L
           Image date and time : 2016-10-05 03:05:11 UTC+0000
     Image local date and time : 2016-10-04 21:05:11 -0600

> vol.py -f data.vmem --profile=Win2008R2SP1x64 pstree
> vol.py -f data.vmem --profile=Win2008R2SP1x64 pslist
> vol.py -f data.vmem --profile=Win2008R2SP1x64 psscan
0xfffffa8003ec7a70:SkypeC2AutoUpd                   1364   2528     15   1951 2016-10-04 12:07:51 UTC+0000
> vol.py -f data.vmem --profile=Win2008R2SP1x64 netscan
0x7d79e010         TCPv4    10.1.1.122:54905               54.174.131.235:80    CLOSED           1364     SkypeC2AutoUpd
>vol.py -f data.vmem --profile=Win2008R2SP1x64 cmdscan
# 아무것도 안뜰경우 cmd 사용 안했다는것
> vol.py -f data.vmem --profile=Win2008R2SP1x64 iehistory   # 인터넷 사용
> vol.py -f data.vmem --profile=Win2008R2SP1x64 iehistory >> ie_history.txt   # 현재 위치에 history를 txt파일로 저장한다

# mft 파서
Master File Table : NTFS 파일 시스템 (윈도우)
> 메타 데이터, 파일 , 디렉터리, 이름, 시간, 수정유무, 파일의 크기 ...

> vol.py -f data.vmem --profile=Win2008R2SP1x64 mftparser >> mft.csv
# csv = 엑셀인데 경량화된 데이터 파일
> vol.py -f data.vmem --profile=Win2008R2SP1x64 memdump -p 1364 -D ./
# 1364번 PID를 가진 파일의 덤프 파일 생성
> strings.exe 1364.dmp >> 1364.txt
# 덤프파일 hex값에서 영어로 strings를 사용해 txt 파일로 변경
> vol.py -f data.vmem --profile=Win2008R2SP1x64 filescan | findstr "png"
# 메모리에 적재돼있는 그림 파일 확인

> vol.py -f data.vmem --profile=Win2008R2SP1x64 dumpfiles -Q 0x000000007da574e0 -D ./
Volatility Foundation Volatility Framework 2.4
*** Failed to import volatility.plugins.mimikatz (ImportError: No module named construct)
*** Failed to import volatility.plugins.linux.netscan (ImportError: No module named yara)
DataSectionObject 0x7da574e0   None   \\Device\\HarddiskVolume1\\Users\\phillip.price\\AppData\\Local\\Microsoft\\Windows\\Temporary Internet Files\\Low\\Content.IE5\\ES41GRPK\\BB90I6E[1].png

> vol.py -f data.vmem --profile=Win2008R2SP1x64 dumpfiles -Q 0x000000007e9bcf20 -D ./
Volatility Foundation Volatility Framework 2.4
*** Failed to import volatility.plugins.mimikatz (ImportError: No module named construct)
*** Failed to import volatility.plugins.linux.netscan (ImportError: No module named yara)
DataSectionObject 0x7e9bcf20   None   \\Device\\HarddiskVolume1\\Users\\phillip.price\\AppData\\Local\\Microsoft\\Windows\\Temporary Internet Files\\Low\\Content.IE5\\537DE0WP\\BBAq9[1].png

> vol.py -f data.vmem --profile=Win2008R2SP1x64 dumpfiles -Q 0x000000007eb1cd30 -D ./
Volatility Foundation Volatility Framework 2.4
*** Failed to import volatility.plugins.mimikatz (ImportError: No module named construct)
*** Failed to import volatility.plugins.linux.netscan (ImportError: No module named yara)
DataSectionObject 0x7eb1cd30   None   \\Device\\HarddiskVolume1\\Users\\phillip.price\\AppData\\Local\\Microsoft\\Windows\\Temporary Internet Files\\Low\\Content.IE5\\8KHN1NH9\\AAiPW9F[1].png
# 메모리에 적재 돼 있는 그림 파일 현재 위치에 저장
# data 형식으로 저장 돼 있을 경우, png로 확장자 변경 후 확인 가능

# Quiz ) 악성코드로 의심되는 sky~를 카빙:sky.exe 로 저장
# sky저장 메모리 주소값 확인 하기
sky
0x000000007d8c7a70 SkypeC2AutoUpd     1364   2528 0x00000000312ef000 2016-10-04 12:07:51 UTC+0000
> vol.py -f data.vmem --profile=Win2008R2SP1x64 filescan | findstr "Sky"
0x000000007dbb69b0      7      0 R--r-d \\Device\\HarddiskVolume1\\Users\\PHILLI~1.PRI\\AppData\\Local\\Temp\\SkypeC2AutoUpdate.exe
> vol.py -f data.vmem --profile=Win2008R2SP1x64 dumpfiles -Q 0x000000007dbb69b0 -D ./
ImageSectionObject 0x7dbb69b0   None   \\Device\\HarddiskVolume1\\Users\\PHILLI~1.PRI\\AppData\\Local\\Temp\\SkypeC2AutoUpdate.exe
DataSectionObject 0x7dbb69b0   None   \\Device\\HarddiskVolume1\\Users\\PHILLI~1.PRI\\AppData\\Local\\Temp\\SkypeC2AutoUpdate.exe

# img 파일 Sky.exe로 변경 후 바이러스 확인하기

VirusTotal

파일 바이러스 확인 인터넷

> vol.py -f data.vmem --profile=Win2008R2SP1x64 filescan | findstr "Temp" >> tmp.txt
txt 파일에서 .dll 찾기
0x00000000059f8bd0      9      0 R--r-d \\Device\\HarddiskVolume1\\Users\\PHILLI~1.PRI\\AppData\\Local\\Temp\\avicap32.dll
# .dll 파일은 악성코드일 확률 높다
> vol.py -f data.vmem --profile=Win2008R2SP1x64 dumpfiles -Q 0x00000000059f8bd0 -D ./
# img파일 mal.exe로 변경 후 바이러스 확인하기