A Study on the Collection and Analysis of Naver Band User Behavior from a Digital Forensics Perspective

디지털 포렌식 관점의 네이버 밴드 사용자 행위 수집 및 분석 연구

Abstract

Many people use closed SNS (social network service) that allows them to communicate with some invited people at the same time to protect their privacy. However, digital forensics for closed SNS will become more important as malicious acts such as distributing and sharing illegal filming or distributing and selling drugs systematically occur by exploiting this. In this paper, we briefly introduce the functions provided by Naver Band, look at meaningful data that can be obtained through Naver Band applications and anti-forensics behaviors that can be identified by local artifacts in Android environments, and suggest ways to collect information that cannot be found in local artifacts by using API(Application Programming Interface) reconstruction.

사람들과 소통하면서 동시에 프라이버시를 보호하기 위하여 일부 초대받은 사람들과 소통할 수 있는 SNS(Social Network Service) 서비스인 폐쇄형 SNS를 이용하는 사람들이 많다. 하지만 이를 악용하여 조직적으로 불법 촬영물을 유통, 공유하거나 마약을 유통 및 판매하는 등 악성 행위들이 발생하는 만큼 폐쇄형 SNS에 대한 디지털 포렌식은 더욱 중요해질 것이다. 해당 논문에서는 네이버 밴드에서 제공하는 기능을 간단히 소개하고 안드로이드 환경에서 네이버 밴드 어플리케이션을 통해 확보할 수 있는 의미 있는 데이터 및 로컬 아티팩트로 확인할 수 있는 악성 행위와 안티 포렌식 행위를 살펴보고, 요청 API (Application Programming Interface) 재구성을 이용해 로컬 아티팩트에서는 확인할 수 없는 정보를 수집하는 방안을 제시한다.

I. 서론

최근 사람들은 인터넷 검색 또는 SNS 서비스의 인물 추천 기능 등으로 다양한 사람들과 자유롭게 소통할 수 있는 개방형 SNS를 통해 자신의 일상과 정보를 공유한다. 반대로 자신의 음악, 영상 구독자 또는 친한 지인들과 같이 일부 사람들과만 소통하는 폐쇄형 SNS를 이용하는 사람들이 늘고 있다[1]. 하지만 폐쇄형 SNS의 특징을 악용하여 조직적으로 범죄를 저지르는 경우가 있다. 대표적인 사례는 N번방, 박사방과 같이 조직적으로 불법 촬영물이나 불법 저작물을 공유하고[2], 마약과 같이 불법적인 물품을 거래하는 것이 있다[3]. 따라서 조직적인 범죄가 발생했을 때 용의자가 이용한 폐쇄형 SNS 어플리케이션을 분석하여 범죄에 대한 혐의를 찾아내는 것이 중요하다. 디스코드, 텔레그램 등 다양한 폐쇄형 SNS 아티팩트 분석 연구는 여럿 진행되었지만, 국내에서 많은 이용자를 보유한 네이버 밴드[4]의 아티팩트 분석 연구는 진행되지 않았다.

네이버 밴드는 여러 포털 사이트에서 제공하는 카페와 같이 공통 관심사를 공유하는 사람들이 모여 서로의 일상, 정보, 파일 등을 공유하는 폐쇄형 SNS이다. 설정에 따라 밴드에서 작성한 게시물 또는 공간 자체를 포털이나 검색 기능에서 노출하지 않도록 할 수 있으며, 지원하는 채팅 기능의 경우 같은 밴드의 구성원들과만 채팅이 이루어진다. 이러한 폐쇄적인 밴드 서비스의 특성상 범죄에 악용될 가능성이 크다.

본 논문에서는 획득할 수 있는 로컬 아티팩트에서 의미 있는 정보를 식별하고, 어떠한 악성 행위와 안티 포렌식 행위를 식별할 수 있는지를 확인하며, 획득한 로컬 아티팩트를 활용하여 요청 API를 재구성해 로컬 아티팩트에서는 식별할 수 없는 데이터까지 획득하는 방안을 제시하고자 한다.

II. 관련 연구 및 분석 환경

2.1 관련 연구

안드로이드 환경에서의 SNS 어플리케이션에 대한 아티팩트 분석 연구는 이전에도 다수 진행되었다. 신수민 외 3명은 안드로이드 및 윈도우즈 환경에서 Slack, Discord 어플리케이션의 아티팩트를 분석하였고[5], 이세훈 외 4인은 안드로이드 환경에서 카카오톡 채널 관리자, Purple, TongTong 어플리케이션을 대상으로 암호화된 데이터를 복호화하고 네트워크 분석을 통한 사용자 크리덴셜 복호화를 진행하였다[6]. 이나비는 안드로이드 및 윈도우즈 환경에서 카카오톡 어플리케이션의 아티팩트를 분석하고 획득한 아티팩트를 바탕으로 감성 분석을 진행하였으며[7], Songyang 외 4인은 안드로이드 환경에서 WeChat 어플리케이션의 아티팩트를 분석하였다[8]. Gandeva 외 3인은 안드로이드 환경에서 Line 어플리케이션을 분석하였고[9], Dina 외 2인은 안드로이드 환경에서 WhatsApp, Instagram, Telegram 어플리케이션의 아티팩트를 분석하는 등[10] 다양한 어플리케이션에 대한 아티팩트 분석 연구가 진행되었다.

Discord와 Telegram과 같이 전 세계적으로 사용되거나 국내에서 큰 점유율을 보이는 카카오톡[11]과 같은 어플리케이션은 연구가 많이 진행되었지만 비교적 인지도 및 사용량이 낮은 네이버 밴드에 대한 연구는 진행되지 않았다. 하지만 네이버 밴드에서 발생한 범죄 사례가 존재하고[12] 지원하는 기능이 악용될 여지가 있어 밴드 어플리케이션에 대한 포렌식 역시 중요하다고 할 수 있다.

2.2 분석 환경

본 연구에서 사용한 디바이스 및 OS, 분석에 사용된 도구는 [Table 1]과 같다.

Table 1. Analytical Environment

분석 디바이스는 1개의 실제 디바이스와 2개의 가상 머신을 사용하였고 어플리케이션은 18.0.2 버전에서 진행되었다. 정적 분석은 jadx를 사용하여 API 및 EncryptedSharedPreferences 생성에 필요한 정보를 파악하였다. 그리고 Fiddler Classic을 활용하여 API의 동작 과정 및 구성 요소를 확인하였고, 로컬 아티팩트를 확인하기 위해 DB Browser 및 HxD를 사용하였다.

안드로이드 상에서 로컬 아티팩트를 획득하기 위해서는 루트 권한이 필요하며 이에 따라 해당 연구에서는 디바이스가 루트 권한을 가지고 있다는 가정하에 진행되었다. 또한, 연구에 사용된 실제 디바이스 환경과 가상 환경에서 획득할 수 있는 로컬 아티팩트는 차이가 없었다.

III. 로컬 아티팩트 분석 및 악성 행위 식별

네이버 밴드의 로컬 아티팩트는 스마트폰의 데이터 영역에 존재하는 데이터와 사용자 영역에 존재하는 데이터로 나뉜다. 주로 밴드 멤버와의 채팅 관련 기록이 저장되어 있고, 밴드 공간 내에서 발생한 행위에 대한 데이터는 사용자가 업로드한 사진, 동영상 및 캐시 파일이 존재한다. 각 영역에서 식별할 수 있는 의미 있는 아티팩트는 [Table 2]와 같다.

Table 2. Naver Band local artifacts

3.1 데이터 영역의 로컬 아티팩트 분석

/database 경로에는 네이버 밴드 계정마다 고유하게 부여되는 사용자 번호 명 데이터베이스가 존재한다. 해당 데이터베이스 내에는 로그인한 사용자의 채팅 기록이 존재한다. 해당 데이터베이스에서 의미있는 데이터는 channel_user, chat_channel, chat_message 테이블에 존재한다. 각 테이블에는 채팅방 채널의 사용자 정보, 채팅방 자체 정보, 송수신한 메시지 내용 및 메시지 상태와 같은 메시지 정보가 존재한다. 특이사항으로 사용자가 메시지를 수신했어도 어플리케이션에서 채팅방을 확인하지 않았다면 데이터베이스의 채팅방 정보는 갱신되지 않는다.

동일 경로에 존재하는 member 파일은 별도 확장자가 없지만, HxD를 사용하면 SQLite 데이터베이스의 시그니쳐 정보를 확인할 수 있다. 해당 파일의 member 테이블에서 네이버 밴드 계정에 가입된 밴드 공간에 대한 간략한 정보를 (Fig. 1)과 같이 확인할 수 있다.

Fig. 1. ‘member’ table within the ‘member’ database

member 테이블의 band_no 항목에서 밴드 고유 번호, user_no 항목에서 사용자 고유 번호, name 항목에서 밴드에 가입된 사용자의 프로필 이름을 확인할 수 있다. 해당 DB는 밴드 어플리케이션에서 접속한 밴드만 기록된다.

/shared_prefs 경로의 USER.xml 파일에는 로그인한 계정의 사용자 번호, 성별, 메인 프로필 이름, 사용자 나이와 후술할 요청 API 재구성에 필요한 access_token 값이 포함 되어있다. 사용자 나이정보는 존재하나, 전화번호와 이메일과 같이 추가로 사용자를 특정할 정보가 부족하다. 하지만 access_token 값을 통해 더 많은 정보를 얻을 수 있다는 점으로 해당 파일 역시 중요하다.

3.2 사용자 영역의 로컬 아티팩트 분석

사용자 영역에는 캐시 파일에 의미 있는 데이터가 저장된다. 스마트폰으로 밴드 멤버와 채팅 및 밴드 공간에 업로드한 사진, 동영상 캐시 파일이 저장되며, 파일명은 (Fig. 2)와 같이 생성 당시의 timestamp 값이다.

Fig. 2. Image and video user cache file

3.3 악성 행위 식별

네이버 밴드 어플리케이션에서 발생할 수 있는 악성 행위는 다른 폐쇄형 SNS와 유사하게 채팅을 통한 불법 사이트 및 미디어, 파일 유포와 밴드 공간에서의 불법 미디어 및 파일 유포가 있다. 하지만 밴드 공간에서 발생한 행위에 대한 아티팩트는 서버에 보관되기에 일부를 제외하면 확인할 수 없다. 따라서 식별 가능한 악성 행위는 주로 밴드 멤버와의 채팅에서 발생한 경우가 된다. 채팅을 통해 발생할 수 있는 악성 행위는 상대에게 불법 링크 혹은 불법 촬영물과 같은 미디어 파일을 상대에게 보내는 경우이다. 이를 식별하기 위해 먼저 사용자 영역의 캐시 데이터를 확인하여 전송한 미디어 파일이 존재하는지 식별한다. 이후 사용자 번호 명 데이터베이스의 chat_message 테이블, ext_message 항목을 확인하여 불법 촬영물의 사진 또는 동영상 섬네일이 담긴 URL(Uniform Resource Locator) 주소를 확인하여 증거를 확보할 수 있다.

IV. 안티 포렌식 행위 식별

네이버 밴드 어플리케이션의 안티 포렌식 기능은 타 SNS 서비스와 같이 사용자가 작성한 글을 삭제하거나 채팅방 혹은 비공개 공간을 나가거나 로그아웃하는 등 사용자의 정보를 삭제 또는 감추는 기능이다. 단, 밴드 공간 내부에서 발생한 행위에 대한 정보는 로컬 아티팩트에서 식별할 수 없으므로 밴드 공간을 제외한 행위는 [Table 3]과 같다.

Table 3. Analyzed anti-forensics behavior

4.1 다중 프로필을 이용한 안티 포렌식 행위

네이버 밴드는 사용자 계정마다 여러 개의 프로필을 사용할 수 있다. 프로필마다 서로 다른 밴드에 가입할 수 있으며, 같은 사람이라도 프로필 이름이 다르면 수사에 혼선을 줄 수 있는 만큼 이를 식별하는 것이 중요하다. member 혹은 사용자 번호 명 데이터베이스에는 프로필 이름마다 다른 고유 번호가 아닌 사용자 계정 고유 번호가 저장된다. 결론적으로 (Fig. 3)과 같이 계정 고유 번호를 확인하면 프로필 이름이 달라도 신원 특정이 가능하다.

Fig. 3. user_no for names on ‘channel_user’ table within ‘user_no.db’

4.2 밴드 숨김을 이용한 안티 포렌식 행위

네이버 밴드의 설정을 통해 메인 화면에 표시되는 밴드를 숨길 수 있다. 불법 행위가 발생한 밴드를 숨겨두고 메인 화면을 보여주며 밴드에 가입하지 않았다고 주장할 수 있으며 이는 밴드 기능을 잘 모른다면 그냥 넘어갈 수 있는 사안인 만큼 숨겨진 밴드가 있는지 확인해야 한다. 이 경우 member 데이터베이스를 확인하여 식별할 수 있다. member 데이터베이스의 member 테이블에는 숨김 기능과 관계없이 가입한 모든 밴드 정보가 기록된다. (Fig. 4)와 같이 메인 화면과 band_no 값을 대조하여 숨겨진 밴드가 있는지 식별할 수 있다.

Fig. 4. List of bands on the main screen and List of bands on ‘member’ Table within the ‘member’ database

4.3 채팅방 퇴장을 이용한 안티 포렌식 행위

채팅방을 조사할 것으로 판단한 용의자가 채팅방을 나가 증거를 인멸하려 시도할 수 있다. 이런 경우에 데이터 수집이 가능한지 분석을 진행하였다.

밴드 어플리케이션에서 채팅방을 나간 후 사용자 번호 명 데이터베이스를 확인한 결과, 데이터가 삭제되어 있었다. 다시 로그인 후 데이터베이스를 확인하였으나, 채팅방 기록은 복원되지 않았다. 단, 이전에 채팅한 기록 자체는 남아있어, 밴드 채팅방에 다시 입장하거나, 이전에 채팅한 사용자와 채팅을 하게 되면 (Fig. 5)와 같이 ‘user_no.db’ 파일의 chat_message 테이블에서 message_no 항목이 1이 아닌 마지막으로 보내진 메시지 다음 번호로 설정되어, 이전에 채팅한 적 있음을 확인할 수 있다.

Fig. 5. message_no value upon re-entry after leaving the chat room

4.4 로그아웃을 이용한 안티 포렌식 행위

네이버 밴드를 대상으로 조사할 것으로 판단한 용의자가 로그아웃을 통해 증거를 인멸하려 시도할 수 있다. 이런 경우에 남아있는 데이터가 있는지 분석을 진행하였다. 결론적으로 로그아웃할 경우, 사용자에 대한 데이터가 전부 삭제되어 정보를 수집할 수 없었다. 사용자 캐시 및 데이터베이스 디렉터리를 (Fig. 6)과 같이 비교하였을 때, 사용자 관련 데이터가 없는 것을 확인할 수 있다.

Fig. 6. Database and cache directories before and after log out

4.5 채팅 삭제를 이용한 안티 포렌식 행위

삭제된 채팅을 식별하기 위해 (Fig. 7)과 같이 사용자 번호 명 데이터베이스 파일, chat_message 테이블의 status 항목을 확인한다. 해당 항목 값이 “RECLAIM”으로 설정되어 있다면 삭제된 채팅이며 그렇지 않다면 삭제되지 않은 채팅으로 구분할 수 있다. 특이사항으로 자신이 삭제한 채팅뿐 아니라 상대가 삭제한 채팅도 데이터베이스에 저장된다.

Fig. 7. Deleted chat analysis process

V. 요청 API 재구성을 이용한 밴드 내부의 데이터 획득 방안

로컬 아티팩트 데이터만으로는 밴드 공간 내부의 데이터와 채팅으로 전송한 동영상 내용과 같은 중요 데이터를 획득할 수 없다는 문제가 있다. 이 문제를 해결하기 위해 요청 API 재구성을 통해 데이터를 획득하는 방법을 제안한다. 재구성된 요청 API 패킷 전송을 위해 HTTP GET 메서드를 사용한다. 아티팩트 획득과 마찬가지로 실제 디바이스 환경과 가상 디바이스 환경에서 동일한 결과를 얻을 수 있었다.

5.1 API 헤더 파라미터 데이터 획득 및 구성

요청 API 재구성을 위해서는 “md”, “Authorization” 두 가지 값이 필요하다. Authorization 값은 “bearer”라는 단어와 access_token 값으로 구성된다. access_token 값은 로컬 아티팩트의 /shared_pref/ 경로의 USER.xml 파일에 별도의 암호화 없이 저장된다.

md 값은 API URL Path 값과 Query 값을 이용하여 생성된 SHA256-HMAC 값을 Base64로 인코딩한 값이다. HMAC 키는 /shared_pref/ 경로의 auth_shared_prefs.xml 파일에 저장되며, EncryptedSharedPreferences를 사용하여 데이터가 암호화되어 있다.

루트 권한이 활성화 된 디바이스라면 Frida 후킹을 통해 복호화된 HMAC 키 값을 확인할 수 있다. [Table 4]와 같이 파라미터를 구성하여 EncryptedSharedPreferences 객체를 생성하고 생성된 객체를 통해 복호화된 데이터에 접근하여 출력하고 추가로 User.xml SharedPreferences 파일의 access_token에 접근하여 authorization을 구성하고 출력하는 후킹 스크립트를 작성하여 (Fig. 8)과 같은 결과를 획득하였다.

Table 4. EncryptedSharedPreferences object parameters

Fig. 8. MD and Authorization Values Obtained Using Frida Scripts

세 디바이스에서 획득한 md와 authorization 값은 전부 일치하지 않았지만 각 디바이스에서 획득한 값으로 API를 재구성한 결과 모두 데이터를 획득할 수 있었다. 다른 특징으로는 로그아웃한 후 두 값을 그대로 사용하면 인증 실패 오류가 발생한다는 것이다. 이렇게 획득한 두 값을 이용하여 Python 언어로 재구성 및 전송 코드를 작성하여 전송한 결과는 (Fig. 9)와 같다.

Fig. 9. Example of information acquisition by request API reconfiguration

5.2 요청 API 재구성을 통한 로그인 사용자와 사용자 가입 밴드 정보 획득 방안

로컬 아티팩트에서는 밴드와 로그인 사용자에 대한 정보를 매우 제한적으로 획득할 수 있었다. [Table 5]의 요청 API를 이용하면 로그인한 사용자와 사용자가 가입한 밴드에 대한 더 많은 정보를 획득할 수 있다. Query 값으로 필요한 band_no의 경우 Member 데이터베이스와 API로 획득한 정보에서 확인할 수 있다.

Table 5. APIs required to obtain login user and user subscription band information

/v2.0.0/get_profile API를 사용하면 이메일, 생년월일, 등록한 전화번호와 같이 사용자를 특정할 수 있는 정보를 획득할 수 있다. 사용자의 밴드 계정이 네이버, 라인, 페이스북, 애플, 웨일과 연결되어 있다면 user_id라는 이름으로 연결 여부를 확인할 수 있다.

/v2.0.0/get_my_bands_for_search API를 사용하면 로그인 사용자가 가입한 밴드 정보를 얻을 수 있다. Member 데이터베이스와는 다르게 접속하지 않은 밴드까지 확인할 수 있지만, 밴드에 가입된 사용자들의 user_no는 획득할 수 없다.

/v2.1.2/get_band_information API를 사용하면 band_no에 해당하는 밴드의 정보를 확인할 수 있다. 주요 정보로는 밴드 공개 여부, 개설일, 회원수, 회원 프로필 이름, 멤버의 밴드 내 권한이 있다.

/v2.0.0/get_members_of_band API를 사용하면 band_no에 해당하는 밴드의 멤버 정보를 확인할 수 있다. 주요 정보로는 멤버의 프로필 이름, user_no, 관리자 여부, 온라인 여부가 있다.

/v1.4.0/make_invitation_message?type=user_sms API를 사용하면 밴드 초대 URL을 확인할 수 있다. 이를 웹 브라우저에 입력하면 밴드 가입화면으로 이동한다. 이후 밴드에 가입하여 범죄 행위에 대한 증거를 수집할 수 있다.

/v1.1.0/get_invitation_urls API는 로그인 사용자가 관리자인 경우에만 사용할 수 있다. 해당 API를 사용하면 로그인 사용자를 포함한 초대 권한이 있는 모든 멤버들에 대한 초대 URL을 획득할 수 있다. 해당 URL을 통해 초대자를 위장하여 밴드에 가입할 수 있다.

5.3 요청 API 재구성을 통한 밴드 공간 내부의 게시물 정보 획득 방안

이미지, 동영상 캐시 파일을 제외한 로컬 아티팩트에서는 밴드 공간 내부에서 발생한 행위는 확인할 수 없다는 문제가 있었다. [Table 6]의 API를 이용하면 밴드 내부에 대한 데이터를 획득할 수 있다.

Table 6. APIs required to obtain posts and media file data inside the band

Query 값으로 “after”를 가지는 API는 기본적으로 가장 최근에 작성된 20개의 데이터를 가져오기 때문에 데이터 전체를 확인하고자 한다면 Query의 after 값을 적절히 변경해야 한다. 먼저 band_no와 timestamp 2개만 사용하여 Query 작성 후 API를 전송한다. 받은 응답 메시지의 “paging” 항목의 “next_params” 항목 중 “after” 값을 확인하고 band_no, after, timestamp 3개의 Query 값을 사용하여 전송한다. 해당 과정을 반복하여 밴드 내 데이터 전체를 확인할 수 있다.

/v2.0.0/get_posts API를 사용하면 밴드에 작성한 게시글 정보를 얻을 수 있다. 주요 정보로는 게시글 내용, 게시 시간, 게시자의 프로필 이름과 user_no이 있다.

/v2.0.0/get_posts_item API를 사용하면 post_no에 해당하는 게시글 하나만 확인할 수 있으며 /v2.0.0/get_posts와 정보 차이는 없다.

/v2.0.0/get_photos API를 사용하면 밴드에 저장된 사진, 동영상에 대한 정보를 얻을 수 있다. 주요 정보로는 게시된 시간, 사진 URL 정보, photo_no, 게시자의 프로필 이름과 user_no가 있다.

사진 URL을 웹 브라우저에 입력하여 사진과 동영상 섬네일을 확인할 수 있고, 밴드 게시글에 포함된 사진과 동영상의 경우 post_no를 확인할 수 있다.

/v2.0.0/get_photo_videos API는 동영상만 따로 분류하여 표시하는 API이며 /v2.0.0/get_photos에서 획득한 동영상 파일 정보는 같다.

/v1.2.0/get_video_url_by_photo API를 사용하면 동영상 URL을 얻을 수 있다. photo_no는 앞에서 소개한 /v2.0.0/get_photos 또는 /v2.0.0/get_photo_videos API를 통해 확보할 수 있다. URL을 웹 브라우저에 입력하면 동영상을 시청하거나 다운로드할 수 있다.

/v2.0.0/get_folders API를 사용하면 공유 파일이 담긴 폴더에 대한 정보를 얻을 수 있다. 주요 정보로는 폴더 이름, 폴더에 담긴 파일 개수, 폴더 생성 시간, 마지막으로 파일이 생성된 시간, 폴더 생성자의 프로필 이름과 user_no가 있다.

/v2.0.1/get_files API를 사용하면 밴드에 저장된 공유 파일에 대한 정보를 얻을 수 있다. 주요 정보로는 파일 이름, 확장자, file_id, 업로드 시간, 파일 생성 폴더 이름, 업로더의 프로필 이름과 user_no이 있다.

/v1.1/get_file_url API를 사용하면 밴드 공유 파일의 다운로드 URL을 얻을 수 있다. /v2.0.1/get_files에서 획득한 file_id를 사용하여 URL을 획득, 웹 브라우저에 입력하여 파일을 확보할 수 있다.

5.4 요청 API 재구성을 통한 채팅으로 전송한 동영상 및 파일 획득 방안

사용자 번호 명 데이터베이스에 저장된 URL을 통해 사진은 확보할 수 있었으나 동영상, 음성 메시지, 파일은 확보할 수 없었다. [Table 7]의 API를 통해 채팅으로 전송한 동영상, 파일, 음성 메시지, URL을 확보하고 웹 브라우저에 입력하여 내용을 확인하고 다운로드할 수 있다. Query로 요구하는 channel_id와 msg_id 값은, 사용자 번호 명 데이터베이스에서 각각 channel_id와 message_no 이름으로 확인할 수 있다.

Table 7. APIs required to obtain videos and files sent from chat

VI. 결론

구성원들과의 관계를 더욱 돈독하게 하기 위해서 나 자신의 저작물을 보호하면서 구독자들에게 제공하는 것처럼 다양한 목적으로 인터넷의 폐쇄 공간을 활용하는 사람들이 많다. 하지만 폐쇄적인 특성을 악용하여 범죄를 모의하거나 저지르는 문제가 있다.

이미 수많은 폐쇄형 SNS가 존재하고 저마다 각기 다른 방법으로 정보를 보호하고 있는 만큼 폐쇄형 SNS 내에서 발생하는 범죄 행위를 수사하기 위해 각 폐쇄형 SNS를 대상으로 하는 포렌식 연구는 매우 중요하다.

본 논문에서는 네이버 밴드에서 제공하는 기능을 간단히 소개하고 식별할 수 있는 로컬 아티팩트, 악성 행위 및 안티 포렌식 행위들을 분석하고 요청 API를 재구성하여 밴드 내부의 데이터까지 획득하는 방법을 설명하였다. 비록 밴드 어플리케이션에 로그인이 되어있어야 하며 디바이스에 루트 권한이 존재해야 한다는 제약 사항이 있으나 본 연구와 같은 환경에서의 네이버 밴드 내 범죄 행위를 수사하는 데 있어 도움이 될 것으로 기대된다.

향후 연구에는 로그아웃 시 로컬 데이터가 사라지는 안드로이드 환경을 보완할 수 있도록 PC 네이버 밴드 어플리케이션을 분석하여 디지털 포렌식 관점에서 유의미한 데이터를 확보할 수 있는지에 대한 연구를 진행할 것이다.