[N0Named Wargame Season 2] infect 문제풀이

준비물

---

infect.ad1, AccessData FTK Imager, DB Browser(SQLite)

 

https://accessdata.com/product-download/ftk-imager-version-4-5

FTK Imager Version 4.5

https://sqlitebrowser.org/

DB Browser for SQLite

 

문제소개

---

[N0Named Wargame Season2] infect 문제

 

문제풀이

---

우선 다운받아야 하는 infect.ad1 파일이 이미지 파일이므로 AccessData FTK Imager로 열어보았다.

 

Image File이기 때문에 Image File을 선택하고 infect.ad1 파일이 존재하는 위치를 정하고 Finish를 누름

 

AccessData FTK Imager를 켜고 우선 Recycle.Bin 즉, 휴지통을 뒤적뒤적해보았다.

별 이상한 거라곤 깃발모양 이미지 파일 말고는 딱히 없었고, 사용자는 유튜브를 좋아해보였다.

 

infect.ad1를 열고 파일에 진입한 화면

 

그 후에는 어떤 파일을 깔았을 때 바이러스가 침입했을지 알아보기 위해 밑에 있는 Users 폴더에 있는 Downloads 폴더를 들어갔다.

아니나 다를까, VB0x1nst4ller_crackversion.exe 라는 프로그램이 존재한다는 것을 알 수 있었다.

하지만, 이 프로그램이 악성행위를 하는 프로그램인지는 알 수 없었다.

그래서 '악성 프로그램이 들어온 경로는 무언가를 다운받았기 때문이 아닐까?' 라는 의심을 가지게 되었고,

사용자의 검색기록을 찾아보기로 했다.

 

infect.ad1 속에 Users\swing\Downloads 폴더에 들어간 모습

 

크롬의 방문기록이나 다운로드 기록이 담긴 History 파일의 경로는,

\[root]\Users\username\AppData\Local\Google\Chrome\UserData\Default\History 라고 포렌식 교육에서 배웠다.

 

과연 사용자가 어떤 프로그램을 다운받았을까... DB Browser(SQLite)를 사용하면,

데이터베이스에 저장된 내용(방문기록, 다운기록 등)들을 볼 수 있다.

우선 History 파일을 우클릭 > Export Files 하여 추출했다.

 

infect.ad1 속에 있는 History 파일을 찾은 화면

 

그 후, 추출한 History 파일을 DB Broswer 프로그램에 넣었다.

 

History 파일을 DB Browser에 넣은 화면

 

화면을 보고 딱 감이 왔다.

VMware의 크랙 버전을 다운 받으려다가 랜섬웨어에 감염된 모양이다.

그러면 VMware가 언제 처음 실행되었는지를 알면, flag를 얻을 수 있을 것이다.

 

History 파일에 저장된 url들을 찾아본 모습

 

.exe 파일이 생성되고 최초로 실행되면 pf파일이 생성이 된다.

따라서 pf파일이 생성된 시각은 .exe 프로그램이 최초로 실행된 시각을 말하고,

pf파일이 수정된 시각은 .exe 프로그램이 실행된 최근의 시각을 말한다.

 

이를 이용하기 위해 AccessData FTK Imager를 이용해 VMware와 관련된 pf파일을 찾아보자.

[root]/Windows/Prefetch에 들어가보니, VBOX로 시작하는 exe 프로그램의 pf파일을 찾을 수 있었다.

 

VMware와 관련된 pf파일을 찾아낸 모습

 

과연 VboxTester라는 프로그램이 악성행위를 하는 프로그램인지를 확인해 볼 필요가 있을 것이다.

VboxTester.exe 라는 파일을 찾아서 추출하여 열어보니, 조금 귀여운(?) 악성 프로그램임을 알 수 있었다.

프로그램을 실행하니 여러 데이터파일이 나왔고, 이에 딸려 나온 텍스트 파일이 있었다.

 

VboxTester.exe를 실행하고 나온 

 

아무래도 제대로 찾은 모양이다.

그럼 이 프로그램의 pf 파일을 추출하여 언제 만들어졌는지를 알아보자.

pf파일을 추출하여 파일의 속성 창을 보면 파일이 언제 생성됐는지 알 수 있고 이는 곧, flag이다.

 

VboxTester.exe pf파일의 속성 창이다.