The CFReDS Project - Hacking Case 16번 (해킹에 사용된 프로그램 찾기) with autopsy

DD image 및 EnCase image는 https://www.cfreds.nist.gov/Hacking_Case.html 참고

1. Hacking Case 시나리오 

2. 문제 

3. 풀이

해킹에 사용될 수 있는 프로그램이라.. 거기다 6개라..  호오 한번 봅시다.

일단 6번 문제를 통해 2004-08-20 evil 계정이 생성되었으므로, 그 이후에 생성된 파일들을 한번 찾아보자.

 

Autopsy > Result > Extracted Content > Installed Programs 라는 메뉴가 있다는 것을 보고, 찾아보려 했지만 내가 생성한 프로젝트에는 해당 메뉴가 없다.

결국, 드라이브의 Program Files를 일일이 뒤졌다. 이것저것 클릭해보니 외부 모듈과 연동해서 파일들을 분석할 수 있는 듯 한데 일단 수동으로 하나씩 확인해보니, 아래와 같이 뭔가 수상한 파일들에 대한 내용을 찾을 수 있었다.

 

등등 의심스러운 파일들이 너무 많아서, 생략한다.