봔하는 수달

Fileless Malware Forensic Analysis 본문

정보보안/디지털 포렌식

Fileless Malware Forensic Analysis

봔수달 2022. 11. 7. 17:32

출처 : https://www.slideshare.net/F-INSIGHT/160820-fitalk-fileless-malware-forensics?fbclid=IwAR2OnTjbz7bGUGmdHlwsVx1SpBKBlRKK1MOVhTKI3-_Rpf8He6MDgMPj5tU 

 

(160820) #fitalk fileless malware forensics

FORENSIC INSIGHT; DIGITAL FORENSICS COMMUNITY IN KOREA Fileless Malware Forensics blueangel blueangel1275@gmail.com http://forensic-note.blogspot.kr/ Junghoon …

www.slideshare.net

 

위 내용중  정리한 글입니다.

Forensic Analysis 일부를 발췌한 것입니다.

 

레지스트리

- Reloading Point 역할을 하는 Key의 데이터 내에서 명령어 흔적 추적

  - Keyword : urndll32.exe, wscript.exe, mshta, javascript, .ps ...

 

- 특정 키 내의 인코딩된 데이터 탐지

  - Value Data 크기 이용 : 보통 PE 파일을 인코딩해서 넣기 때문에 데이터의 크기가 큼

  - 일반적으로 PE를 인코딩하여 Value Data로 넣을 경우, Top 20 안에 포함됨.

  - 사용 도구 regsize : https://github.com/bridgeythegeek/regsize

Powershell + WMI

- Profile.ps1

   - 스크립트 파일 내에서 삽입된 공격 코드 탐색

   - profile 스크립트 파일은 생성 후, 거의 수정되지 않기 때문에 수정시간을 통해 공격 시간을 유추가 비교적 쉬움

 

- CIM Repository

  - WMI 설정 정보를 가지고 있는 저장소

  - 경로 : C:\Windows\System32\wbem\Repository

       - INDEX.BTR

       - MAPPING1.MAP

       - MAPPING2.MAP

       - MAPPING3.MAP

       - OBJECTS.DATA

 

  - 유용한 도구 Python-cim : https://github.com/mandiant/flare-wmi/tree/master/python-cim

  - pytho 2.7/3.4 기반, PyQt5 설치 필요

  - CIM Repository 파일들을 파싱하여  UI로 출력

 

GitHub - mandiant/flare-wmi

Contribute to mandiant/flare-wmi development by creating an account on GitHub.

github.com

 

 

메모리

- In-Memory 악성코드

  - 현재 메모리에서 발견된 의심 프로세스의 파일이 시스템 종료 및 부팅 중에 삭제/생성 되는지 파일 시스템 히스토리($LogFile, $UsnJrnl)에서 확인

  - 이벤트 로그 분석을 통해 시스템 종료/부팅 시점 파악

 

사용 도구  NTFS Log Tracker : https://sites.google.com/site/forensicnote/ntfs-log-tracker

 

blueangel's ForensicNote - NTFS Log Tracker

NTFS Log Tracker v1.71

sites.google.com

 

 

Comments