'USB 연결흔적'에 해당되는 글 1건

  1. 2021.01.10 이벤트로그 분석 - USB 연결흔적 확인 1
Digital Forensics/Windows2021. 1. 10. 19:24
반응형

이벤트로그 분석 - USB 연결흔적 확인

 

 

USB 연결사실 확인

      • Partition 이벤트로그에서 확인%SystemRoot%\System32\Winevt\Logs\Microsoft-Windows-Partition%4Diagnostic.evtx

 

      • 이벤트로그 뷰어를 통해 확인

        - USB  때는 BytesPerSector, Capacity, Partitioncount  정보가 있으나, 

        - 뺄 때 로그에는 해당 정보가 없음(Partitioncount=0)

ㄸㄸ

 

 

예전 윈도우 버전에서는 DriveFrameworks에서 확인 가능하였으나, 현재는 디폴트가 사용안함

 

 

      • MMA 통해 Partition 로그 분석

 

 

  • USB 복사한 파일 확인
    • 단순히 copy/paste 경우 : USB 연결/해제 사실 외에는 확인 불가
    • 일부 파일 열람 또는 윈도우 탐색기 필드 크기 변경 : RecentDoc, LNK, Shellbag 생성시간 정보가 남음

 

※ 참고 : Registry Shellbag

  • 쉘백은 최초로 폴더 열람시 생성
  • 폴더를 생성/복사하는 경우에도 생성
  • (경로)
    • HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags
    • HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU
    • HKCU\Software\Microsoft\Windows\Shell\Bags
    • HKCU\Software\Microsoft\Windows\Shell\BagMRU
    • HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Streams
    • HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StreamMRU

 

  • (참고) BagMRU
    • MRUListEX가 있는데, 이는 최근에 열람한 순서 정보를 유지하고 있음
    • 레지스트리 BagMRU key 시간에는 최초로 생성(최초 폴더 열람)될 때의 시간이 설정됨
    • 폴더 설정 변경 시에는 Bags key 시간이 바뀜
    • 현재 폴더 생성에 의해 상위 폴더의 key 시간이 갱신되면, 레지스트리 key 시간이 갱신됨
    • 폴더 열람 순서를 MRUListEx value로 관리하기 때문
    • -> 현재 폴더의 shellbag 시간은 하위 폴더가 열람됨에 따라 갱신될 수 있음을 의미함

 

반응형
Posted by CCIBOMB