[Memory Forensic] GrrCON 2015 #19

Memory Forensic #19 (GrrCON 2015 #19)

 

메모리 포렌식 19번 문제

 

이번 문제는 이전 18번 문제에서 찾은 답과 같이 존재합니다.

 

이전 문제와 마찬가지로 cmdscan을 사용하여 공격자가 사용한 명령어를 확인하였습니다.

 

cmdscan 플러그인 사용

 

Cmd #17을 확인해보면 마지막 명령어를 통해 압축 파일을 생성한 뒤에 비밀번호를 걸어 놓은 것을 확인할 수 있습니다.

 

비밀번호 뒤에 있는 rar 파일명을 입력하면 문제를 해결할 수 있습니다.