[Defcon DFIR CTF 2019] Memory 06

6. intel

악성 프로세스로 인해 연결된 세션에서 공격자의 ip를 구하는 문제입니다.

netscan: 시스템명, 운영체제명, 버전명 등 네트워크 정보 확인. 네트워크 스캐너 중 설치없이 간단하게 사용 가능.

명령어는 vol.exe -f 파일이름 netscan --profile=프로파일이름 형식으로 쓰면 됩니다.

 

vol.exe -f defcon.mem netscan --profile=Win7SP1x64 > netscan.txt

1) cmd 열기

2) netsacn 이용.

저는 5번 문제에서 저장한 txt 파일을 확인했습니다. 명령어 뒤 '> netscan.txt'는 빼셔도 됩니다.

4번 문제에서 찾은 UWkpjFjDzM.exe의 ip 주소를 보면 10.0.0.106 임을 확인할 수 있습니다. 또한 문제에서 세션이 연결되어 있다고 했으므로 ESTABLISHED만 찾아봐도 됩니다. (대부분 의심되는 파일은 우리가 알아보기 힘든 이름으로 되어있습니다.)

정답: 10.0.0.106