Anti-Forensics

안티-포렌식 기법을 추적하는 저장소

이 목록은 #DFIR 커뮤니티의 응답과 현재 저희 Anti-Forensics 과정에서 다루는 기법을 기반으로 작성되었습니다.

공유하고 싶은 멋진 Anti-Forensic 아이디어가 있나요? #DFIR #DigitalForensics

https://twitter.com/binaryz0ne/status/1618828773268520961

데이터, 웹 및 애플리케이션 관련

• 파일 형식 조작: -- PDF: 객체를 숨기기 위해 파일 구조 수정 -- ZIP: 다른 데이터/파일을 숨기기 위해 파일 구조 수정 -- DOCX: 구조 내에서 다른 콘텐츠를 추출하고 숨기기, .xml로 변경만 하면 됩니다 -- RAR, 7zip: 다른 데이터를 보관/숨기기 위해 구조 수정 -- 기타
• 데이터 은닉
• 스테가노그래피 -- LSB
• 암호화 -- EFS, Bit Locker, GnuPG, AES -- TreuCrypt, VeraCrypt 등 -- 기타 "모든 것을 암호화하세요" @rwx_08, https://twitter.com/rwx_08/status/1618904019816292355
• "웹 셸을 사용 중이라면 appcmd로 IIS 로깅을 비활성화하세요" @keydet89, https://twitter.com/keydet89/status/1618952758287286273

운영 체제, 가상화 및 클라우드 관련

• GOD Mode
• 루트킷
• 삭제된 레지스트리 키/값 및 섀도 복사본
• Windows 레지스트리에 데이터 숨기기
• 휴대용 VM
• "VM 안에서 악성 행위를 수행하고, 끝나면 삭제하세요" @keydet89, https://twitter.com/keydet89/status/1618954586685075459
• "Windows 레지스트리 키 타임스톰핑" @inversecos, https://twitter.com/inversecos/status/1618862849572605955
• "시스템을 떠날 때 ShimCache를 지우세요"
• "RDP로 접속 중이라면 사용자 계정에 대한 추적(JumpLists 등)을 비활성화하세요" @keydet89, https://twitter.com/keydet89/status/1618952758287286273
• "최근 Dharma 랜섬웨어가 "purgememory.ps1"이라는 스크립트를 통해 VSS와 이벤트 로그를 삭제하는 사례를 겪었습니다. 이 문서에서 언급한 내용과 거의 동일합니다" @r3nzsec, https://twitter.com/r3nzsec/status/1618862323221004289
• "#mobile -iCloud 사진 사용 -데이터 동기화 -iCloud 사진 끄기 -로컬 파일 삭제 -일상 사용 시 iCloud를 꺼둠 -새 미디어 촬영 -필요할 때 동기화 켜기/동기화 데이터 확인 후 다시 끄고 반복 물리적 장치를 확보하면 조사관이 iCloud가 사용되었는지 아티팩트를 파헤쳐야 함" @Scott_Kjr, https://twitter.com/Scott_Kjr/status/1619157873011085312

로그 관련

• Linux 및 Apache 로그 수정
• 로그 타임스톰프
• "기존 EVTX 항목 편집" @inversecos, https://twitter.com/inversecos/status/1618862849572605955
• "EVTX 파일 내의 기존 항목을 편집하여 로그 항목의 내용을 변경할 수 있습니다. 로그를 믿지 마세요 ;)" @inversecos, https://twitter.com/inversecos/status/1618863346991890433
• "다양한 WEVTX 로그 비활성화" @keydet89, https://twitter.com/keydet89/status/1618952758287286273
• "감사 로그가 지워졌습니다: https://youtu.be/00EwvDKaKyQ 제가 가장 좋아하는 것 중 하나입니다" @Cyb3rSn0rlax, https://twitter.com/Cyb3rSn0rlax/status/1619002937296179200

파일 시스템 관련

• NTFS 파일 터널링
• 슬랙 공간에 데이터 숨기기 (예: Slacker 사용)
• 숨겨진 볼륨 (WDM, Diskpart, TrueCrypt/VeraCrypt 등)
• 대체 데이터 스트림 (ADS)
• 파일 타임스톰핑
• $EA 특성에 데이터 숨기기
• 파일 시스템 손상: 데이터 파괴 및 와이핑
• "MFT의 FN 속성 타임스톰핑 (대부분의 분석가가 이게 가능한지조차 모릅니다)"
• "타임스톰프 탐지를 회피하기 위해 $J 변조" @inversecos, https://twitter.com/inversecos/status/1618862849572605955
• "시스템에 따라 USN 변경 저널 비활성화" @keydet89, https://twitter.com/keydet89/status/1618952758287286273
• "SSD 정보 은닉, SSD에 정보를 숨겨 펌웨어와 OS가 이후에 읽을 수 없게 하는 방법이 있습니다. 오래전 석사 과정 학생 때 그 연구를 했었는데, 당시에 큰 잠재력이 있었습니다." @ask_mecca, https://twitter.com/ask_mecca/status/1618886955395350528

시간 관련 (분석가를 오도하여 시간 낭비시키기)

• "분석가가 찾기를 멈추도록 찾을 거리를 주세요 - 티어 2+로 넘어가지 않게 하세요" @MattETurner, https://twitter.com/MattETurner/status/1618844853403799555

동영상

Good Anti-Forensics AF, https://www.youtube.com/watch?v=A4GYhGDCRSM

훌륭한 아이디어

• "" 이해해야 할 핵심은 다음과 같습니다:

1. 대부분의 경우 안티-포렌식을 수행할 필요가 없습니다. 필요하지 않을 가능성이 높습니다.
2. 아티팩트가 기록되지 않도록 시스템을 구성할 수 있다면 아티팩트를 삭제하지 마세요."" @Keydet89, https://twitter.com/keydet89/status/1618954586685075459

더 추가 예정...