Information Security

볼라틸리티 플러그인 windows.psscan를 이용하여 살아있는 프로세스를 확인하려고 했다. 수집한 psscan에서 explor3r.exe 수상한 프로세스를 확인할 수 있습니다. windows.filescan 플러그인 결과에서 explor3r.exe.img 파일을 추출하였다. strings를 이용하여 해당 파일의 문자열 추출하였다. 문자열을 보면, 바탕화면에 있는 .pdf 파일을 찾아 삭제하는 것을 알 수 있다. 해당 악성 프로세스가 종료된 시간이 UTC 시간이므로 한국 시간으로 변경 후 입력하여 UNIX Timestamp 확인하였다. HashCalc 도구를 이용하여 MD5 해시 값을 확인하였다.

볼라틸리티3 도구를 이용하여 filescan 옵션을 통해 로그를 확인 filescan.log를 열어서 .zip 확장자를 찾음 첫 번째 주소 0xe70bd0a9f1c0 덤프파일을 추출했다. 파일을 확인해보면 gmail에서 첨부파일을 다운로드된 것을 알 수 있다. 두 번째 주소 0xe70bd3530b30 덤프파일을 추출했다. 파일이 손상되었다고 압축풀기가 되지 않는 것을 알 수 있다. HxD 프로그램을 이용하여 report3.pdf 부분을 보면 89 50 4E 47 이미지 파일 헤더 값을 확인할 수 있다. 89 50 4E 47 ~ AE 42 60 82 PNG 값을 복사하여 새로 생성하였다. 이미지 파일을 열어보면 시간,날짜, 장소까지 알 수 있다.