포렌식 도구를 활용한 삭제파일 복구 후 시계열분석

1. 최초 감염시점을 확인

- 방화벽 기록 등을 이용하여 해킹시 접속하는 IP 최초 접속시간을 확인하거나
- 백신 실시간 검사기록(수동검사기록이 아님)에 해킹 관련 탐지된 악성코드 탐지시점 확인

2. 포랜식 도구를 이용, 삭제파일 복구

3. 포랜식 도구의 만든날짜 기준 정렬하여, 1번 과정에서 추정한 최초 감염시점대 부터 생성된 파일 확인

- 대개 bat, dll 파일이 Sysvolume이나 system32 폴더에 갑자기 생성되어 있으면 악성코드 유력
- 이후 관련 파일을 메모장 등으로 열어보면 추가 악성코드 설치등 행위 분석 일부 가능

4. 포랜식 도구의 웹히스토리파일을 분석,최초 감염시점에 접속한 사이트나 이메일 접속기록 확인하여 감염경로 파악하고 원인 제거


출처 : CONCERT