Information Security

어떤 프로그램을 사용하고 있는지 프로세스를 확인하기 위해 pslist 플러그인을 사용했다. 수상한 프로세스 LunarMs.exe, Rick And Morty 프로세가 수상한 것을 알 수 있다. 수상한 LunarMS.exe 프로세스를 grep으로 조회했다.

Volatility를 이용해 gistack imaginfo를 확인했다. gistakc pslist 파일을 저장했다. 프로세스들이 동시에 비슷한 시간에 빠르게 실행되고 죽은 것을 확인할 수 있다. mimikatz.exe는 윈도우 계정 정보가 평문으로 저장된 것을 가져오는 프로그램이다. (문서형 악성코드) 웹 서버 프로세스가 실행되고 있는 것을 알 수 있다. pstree 구조를 확인하기 위한 명령어다. 웹 서비스에 cmd.exe가 실행되는 것을 알 수 있다. 어떤 것에 의해서 시스템 명령어(RCE)가 실행되고 있는 것을 알 수 있다. powershell을 통해 명령어를 실행 해 계정 정보를 획득하는 것을 알 수 있다. sysmon.exe 통합적인 로그 프로세스가 동작하는 것을 알 수 있다. filescan를..