목록windows (4)

Plit00's Story

[Ransomware]1. 랜섬웨어 소개 및 침투

Ransomware? 랜섬웨어(Ransomware)는 악성 소프트웨어로, 컴퓨터 시스템이나 파일을 암호화하여 사용자에게 해제키 또는 복호화 키를 받기 전까지는 시스템이나 파일에 접근할 수 없도록 만드는 공격 형태입니다. 이는 주로 금전적 이득을 목적으로 하는 사이버 범죄자들에 의해 실행되며, 최근 몇 년 동안 랜섬웨어 공격은 급격히 증가하고 있습니다. 초기 침투 - 공격자들이 타겟에 접근해 지속적으로 들어갈 수 있는 발판을 구축하는 것이다. 해당 서버의 관리자 계정을 획득하거나, 외부에 IP, 포트가 열려(노출)있는 것을 찾아 통로를 만든다. 1. 이메일 첨부파일 및 외부 사이트 클릭 랜섬웨어의 90%는 사용자의 부주의로 이뤄진다. 이메일에 있는 첨부파일을 아무 의심없이 열거나, 기타 불법 사이트에 접속..
Security/Ransomware 2024. 2. 12. 01:08
[Windows FileSystem] - $LogFile, $MFT, $J 분석(2)

똑같은 방식으로 $LogFile과 { [root] -> [$Extand] -> [$UsnJrnl] -> [$J] } 을 export 해주고 분석하면 된다. $MFT : 모든 파일의 MFT 엔트리 정보 $LogFile : 파일 시스템 메타데이터 변경사항에 대한 트렌젝션 로그 $J : 저널 데이터를 담고 있는 $DATA 속성의 일부
Security/Forensic 2023. 2. 9. 21:01
[Windows FileSystem] - (1)

MBR : 디스크 부팅 영역 GBT : GPT 파티션은 2.2TB 이상 하드디스크를 단독 사용할 수 있다.(최대 128개까지 파티션을 나눔) UEFI는 그래픽 인터페이스를 제공해 마우스로 BIOS 설정을 변경할 수 있다. VBR: 볼륨 영역 파일 시스템은 데이터 구조체를 해석하는 것 Big-Endian : 첫번째 저장 바이트를 최상위 바이트에 저장 Littile-Endian : 첫번째 저장 바이트를 최하위 바이트에 저장 파일 시스템 특정 디스크 볼륨을 효율적으로 관리(읽기/쓰기)하기 위한 시스템 NTFS 분석 = MFT 분석 LBA 0 ⇒ Sector 1 ⇒ 512byte Sector 1 ⇒ Boot code(446byte) + Partition Table(16byte*4개) 64byte + Signat..
Security/Forensic 2023. 2. 9. 16:05
Mitre ATT&CK 자격증명 획득(Credential Access)

Atomic Red Team을 이용하여 작성한 글입니다. Credential Access(자격 증명 인증) : 계정 이름 및 암호와 같은 자격 증명을 훔치는 기술(키 로깅, 덤프) T1606 Forge Web Credentials Web Cookie : 웹 응용 프로그램이나 인터넷 서비스에 액세스하는데 사용할 수 있는 웹 쿠키 조작 SAML Token - 유효한 SAML 토큰 서명 인증서를 소유하고 있는 경우 모든 권한 클레임 및 수명을 사용하여 위조할 수 있다. - SAML 토큰의 기본 수명은 1시간이지만 NotOnOrAfter 값에서 유효 기간 지정 - 위조된 SAML 토큰을 사용하면 공격자가 SAML 2.0을 SSO 메커니즘으로 사용하는 서비스에서 인증 가능[AccessTokenLifetimeLif..
Security/MITRE ATT&CK 2022. 5. 28. 14:40
이전 Prev 1 Next 다음