study_checker 문제

 

파일 실행 흔적을 찾기 위해 C:\Windows\Prefetch\ 경로로 이동하여 Prefetch 파일 전부를 추출한다.

 

Windows **Prefetch(프리패치)**는 프로그램 실행 속도를 향상시키기 위해 윈도우가 자동으로 생성하는 캐싱 메커니즘 및 포렌식 아티팩트입니다.

 

• Windows가 프로그램을 더 빠르게 실행하기 위해 해당 프로그램이 로딩 시 사용하는 파일·DLL 정보를 기록해 두는 기능
• 프로그램이 실행될 때마다 .pf 파일이 생성·업데이트됨
• 기본 저장 위치:
  C:\Windows\Prefetch\

파일 확장자	.pf
파일명	프로그램명-해시.pf 형태 예: NOTEPAD.EXE-12345678.pf
저장 시점	프로그램이 최초 실행될 때
업데이트	실행할 때마다 Last Run Time과 Run Count가 갱신
삭제	사용자가 삭제해도 재생성됨(다만 포렌식 증거는 사라짐)

 

 

WinPrefetchView 프로그램을 이용하여  Options > Advanced Options를 클릭한 후 추출한 Prefetch을 열어본다.

 

MINESWEEPER.EXE 프로세스는 지뢰 찾기 게임이다.

• 경로:
  \VOLUME{01da93e5ddb71a7f-34ddca5d}\PROGRAM FILES\WINDOWSAPPS\5331LETHANHDAT.MINESWEEPERONLINECLASSICCHALLENGEFO_1.0.5.0_X64__4S646MHSE0KYQ\MINESWEEPER.EXE
• 최초 실행 시각:
  2024-04-22 오전 12:19:51 (UTC+9)
• 마지막 실행 시각:
  2024-04-22 오전 12:22:50 (UTC+9)

 

해당 경로로 이동하면 Minesweeper.exe 프로그램으로 실행되는 것을 알 수 있다.

 

처음실행된 시각을 아래와 같이 입려 하면 Unix Timestamp 값을 확인할 수 있다.

 

PINBALL.EXE 프로세스는 핀볼게임이다.

• 경로:
  \VOLUME{01da93e5ddb71a7f-34ddca5d}\USERS\삼식이\TMP\PINBALL\PINBALL.EXE
• 최초 & 마지막 실행 시각:  2024-04-22 오전 12:34:04 (UTC+9)

 

해당 경로로 이동하면 PINBALL.EXE 프로그램으로 실행되는 것을 알 수 있다.

 

마지막으로 실행된 시간을 아래와 같이 입력하면 Unix Timestamp 값을 확인할 수 있다.