• Proceedings of the Korean Information Science Society Conference
• /
• 2012.06c
• /
• pp.75-77
• /
• 2012

플래시 메모리가 각종 IT 기기의 저장장치로 많이 사용되면서 범죄 관련 증거나 단서가 기기 내에 저장되는 경우가 증가하고 있다. 이러한 경우에 기기 내에 저장된 데이터를 완전히 삭제하기 위하여 안티 포렌식 기술인 와이핑 기법을 사용하는데 이에 대응하기 위해서는 플래시 메모리에 저장된 디지털 증거를 분석하기 위한 디지털 포렌식 기술이 필요하다. 플래시 메모리에 저장되어 있는 데이터를 복구하는 기법이 연구되었으나 특정한 상황을 가정한 특정 파일의 복원에 초점을 두고 있다. 하지만 디지털 포렌식 수사에서 범죄 증거뿐만 아니라 범죄 행위에 관련한 증거도 확보할 필요성이 있지만 이와 같은 연구가 미흡하다. 본 논문은 플래시 메모리에서 안티 포렌식 기술인 파일 와이핑으로 삭제된 파일에 대한 와이핑 증거 확보 기법을 제안한다. 제안 내용은 장치 내의 원본파일과 와이핑 파일로 추정되는 블록들을 검색한 후 갱신시각, 파일에 대한 정보를 통해 서로 비교하여 검증한다.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2011.06a
• /
• pp.139-142
• /
• 2011

해외 기술 유출 사고로 인하여 한국 경제에 약 수조원의 피해가 발생하였다. 기업의 기술 유출과 사고 책임 소재를 증명하기 위한 e-Discovery시스템과 기업CERT/CC에 연구가 필요하다. 본 논문에서는 e-Discovery의 개념과 관련법안 및 권고안, 포렌식 수사절차에 대해 연구하고, 국내 e-Discovery 사고 사례와 해외 e-Discovery 사고 사례를 연구한다. e-Discovery가 도입되면 기업 CERT/CC에서 필요한 e-Discovery 시스템을 설계한다. e-Discovery 시스템의 접근과 인증을 위한 사용자인증과 기기 인증에 대한 기술과 암호화 기술을 연구한다. 본 논문 연구를 통하여 e-Discovery 제도의 도입과 포렌식 기술 발전에 기초자료로 활용될 것이다.

• Journal of the Korea Society of Computer and Information
• /
• v.24 no.9
• /
• pp.51-58
• /
• 2019

Temporal analysis is very useful and important for digital forensics for reconstructing the timeline of digital events. Forgery of a file's timestamp can lead to inconsistencies in the overall temporal relationship, making it difficult to analyze the timeline in reconstructing actions or events and the results of the analysis might not be reliable. The purpose of the timestamp change is to hide the data in a steganographic way, and the other purpose is for anti-forensics. In both cases, the time stamp change tools are requested to use. In this paper, we propose a classification method based on the behavior of the timestamp change tools. The timestamp change tools are categorized three types according to patterns of the changed timestamps after using the tools. By analyzing the changed timestamps, it can be decided what kind of tool is used. And we show that the three types of the patterns are closely related to API functions which are used to develop the tools.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2019.07a
• /
• pp.391-392
• /
• 2019

본 논문에서는 타임스탬프의 위변조를 위한 안티포렌식의 도구로 사용되는 타임스탬프 변경도구들에 기능에 대하여 디지털 포렌식 관점에서 분석을 수행한다. 타임스탬프 변경도구들로써 수행할 수 있는 타임스탬프 변경작업의 범위와 특징을 찾아본다. NTFS파일시스템에서 사용하는 타임스탬프 변경도구들의 기능상의 분류는 그것들이 변경할 수 있는 타임스탬프 종류와 정밀도를 기준으로 정하고 그 도구들을 사용한 후에 기록된 타임스탬프의 특징들을 디지털 포렌식 관점에서 분석을 수행하기로 한다. 이 연구에서의 분류 형태 중 타입 I은 FileTouch.exe, SKTimeStamp, BulkFileChanger류의 도구들과 타입 II는 timestomp, 타입 III은 SetMACE로 분류하고 각 도구들을 사용한 후에 변경된 타임스탬프들의 특징을 살펴보기로 한다.

• Journal of information and communication convergence engineering
• /
• v.20 no.4
• /
• pp.280-287
• /
• 2022

Recently, the number of mobile ransomware types has increased. Moreover, the number of cases of damage caused by mobile ransomware is increasing. Representative damage cases include encrypting files on the victim's smart device or making them unusable, causing financial losses to the victim. This study classifies ransomware apps by analyzing several representative ransomware apps to identify trends in the malicious behavior of ransomware. We present a technique for recovering from the damage, from a digital forensic perspective, using reverse engineering ransomware apps to analyze vulnerabilities in malicious functions applied with various cryptographic technologies. Our study found that ransomware applications are largely divided into three types: locker, crypto, and hybrid. In addition, we presented a method for recovering the damage caused by each type of ransomware app using an actual case. This study is expected to help minimize the damage caused by ransomware apps and respond to new ransomware apps.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2009.04a
• /
• pp.1442-1445
• /
• 2009

기존의 디지털 포렌식 기술은 하드 디스크 등에서 증거 자료를 수집하는 기술을 연구해 왔다. 하지만 최근 루트킷 등 악성 프로그램의 은닉 기술 발달로 디스크 악성 프로그램의 흔적이 남지 않게 되었고, 디스크 용량의 기하급수적인 증가로 필요한 증거 자료를 찾기 위해 디스크를 탐색하는 시간이 증가하였다. 메모리 포렌식 기술은 기존의 디지털 포렌식의 단점을 보완하는 새로운 연구분야로, 동작 중인 시스템에서 메모리 내부의 정보를 수집하고 분석하는 데 초점을 맞추고 있다. 본 논문에서는 메모리 포렌식 기법으로 수집할 수 있는 자료인 파일 정보를 동작 중인 메모리에서 수집하고 분석하는 방법에 대해 알아본다.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2021.07a
• /
• pp.221-222
• /
• 2021

본 논문에서는 HFS+ 파일시스템의 클러스터의 상태를 분석하여 디지털 포렌식에 활용하기 위한 기법을 제안한다. 이 방법은 파일시스템의 클러스터 안에 들어있는 정보를 텍스트 형식과 GUI 형식으로 표시하하여 포렌식을 수행하기 위한 정보를 제공하는 것을 목표로 개발한다. 이 기법에서 적용되는 파일시스템은 macOS에서 사용하는 HFS+ 파일시스템으로 파일/디렉토리에 대한 클러스터의 수, 클러스터의 연속정보, 클러스터에 연관된 파일/디렉토리의 고유정보와 시간정보를 표시한다. 이 기법을 위한 도구는 C/C++와 Python언어로 macOS 환경에서 동작하도록 개발된다. 일반적으로 Windows 환경에 비하여 macOS 환경에서 사용할 수 있는 포렌식 분석을 소프트웨어들이 상대적으로 많지 않아서 이 도구에서 제공하는 디스크 클러스터의 할당상태와 그것과 연관된 포렌식 정보를 얻는데 효과적으로 사용될 수 있는 점이 이 연구가 기여하는 바이다.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2023.07a
• /
• pp.195-196
• /
• 2023

코로나19로 인한 비대면 사회의 발전으로 일반인들의 IT이용이 증가하였고, 우크라이나 전쟁이 장기화됨에 따라 주요 기반시설 및 글로벌 기업을 대상으로 대규모 사이버 공격 시도가 증가할 것으로 전망된다. 사이버 공격에는 대부분 악성코드가 활용이 된다. 본 논문에서는 2022년 및 2023년 1분기 중 사이버공격에 많이 활용된 악성코드들의 특징과 동향을 파악한다.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.24 no.1
• /
• pp.107-122
• /
• 2014

The DDoS attacks and the APT attacks occurred by the zombie computers simultaneously attack target systems at a fixed time, caused social confusion. These attacks require many zombie computers running attacker's commands, and unknown malware that can bypass detecion of the anti-virus products is being executed in those computers. A that time, many methods have been proposed for the detection of unknown malware against the anti-virus products that are detected using the signature. This paper proposes a method of unknown malware detection using digital forensic techniques and describes the results of experiments carried out on various samples of malware and normal files.

• KIPS Transactions on Computer and Communication Systems
• /
• v.5 no.11
• /
• pp.419-426
• /
• 2016

As the threat of cyber incident grows continuously, the need of IOC(Indicators of Compromise) is increasing to identify the cause of incidents and share it for quick response to similar incidents. But only few companies use it domestically and the research about the application of IOC is deficient compared to foreign countries. Therefore in this paper, a quick and standardized way to create IOC automatically based on the analysis result of malwares from Cuckoo Sandbox and its application is suggested.