디지털 포렌식 w7

MUICache

• Windows에서 다중 언어를 지원하기 위해 존재하는 캐시
  • MUI(Multilingual User Interface)
  • 실행파일 별로, 유저 언어(한국어) 이름을 별도로 저장하고 있음
• 응용프로그램을 실행하면 캐시에 기록이 남음
  • 실행파일 경로, 이름
  • 실행파일이 삭제되거나 경로가 변경된 경우에도 기록이 지워지지 않음
• MUICache 경로
  • HKCU\Software\Classes\Local Settings\MuiCache
  • HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache

AmCache & ShimCache

• 응용프로그램과 운영체제의 호환성을 위해 존재하는 캐시
  • 운영체제가 업데이트 되면 DLL이 생성 혹은 삭제 ⇒ 호환성 문제 발생
  • Windows에서는 프로그램 호환성 관리자를 이용하여 이 문제를 해결
• AmCache
• 모든 실행파일의 이름, 경로, 크기, 해시값 확인
• ShimCache마지막 실행 시간 확인
• 실행파일의 이름, 경로, 크기 정보 확인
• AmCache & ShimCache 경로
  • %SystemDrive%\Windows\AppCompat\Programs\Amcache.hve
  • HKLM\SYSTEM\ControlSet001\Control\Session Manager\AppCompatCache
  • HKLM\SYSTEM\CurrentControlSet\SessionManager\AppCompatCache

Web Browser Artifacts

Web Browser: 인터넷을 이용하기 위해 실행하는 응용 프로그램

웹 브라우저를 통해 하는 일: 웹 검색, 로그인, 파일 다운로드, 영상 시청

• Browser Artifact
  • History: 방문한 URL, 방문 횟수, 방문 시각
  • Cache: 캐시로 저장되는 이미지, 텍스트, 스크립트, 아이콘, 시간, 크기 등
  • Cookie: 사용자 데이터, 자동 로그인 등
  • Download list: 저장 경로, URL, 크기, 시간, 성공여부 등
• 브라우저별 경로
  • Chrome: %UserProfile%\AppData\Local\Google\Chrome\User Data\Default\
  • Edge: %UserProfile%\Local\Microsoft\Windows\WebCache
  • Whale: %UserProfile%\AppData\Local\Naver\Naver Whale\User Data\Default\

ThumbnailCache

• Windows에서는 썸네일 사진들을 미리 생성하여 보관하고 있음thumbcache_{크기}.db
• %UserProfile%\AppData\Local\Microsoft\Windows\Explorer

IconCache

• Windows 아이콘을 보여주기 위해서 가지고 있는 캐시별도의 아이콘을 사용 - 응용프로그램
• 공통의 아이콘을 사용 - 일반적인 폴더, 파일
• Windows에서는 아이콘 사진들을 별도의 공간에 모아서 보관함
  • %UserProfile%\AppData\Local\Microsoft\Windows\Explorer
  • iconcache_{}.db

ThumbnailCache & IconCache

• 포렌식적 의미
  • ThumbnailCache
    • 분석대상 PC에 해당 파일이 존재하였음을 나타냄
    • 해당 파일이 삭제되더라도 ThumbnailCache는 사라지지 않음
  • IconCache
    • 분석 대상 PC에 존재했던 응용프로그램의 종류를 확인 가능
    • 외부 저장매체 사용 흔적 파악
    • 안티포렌식 도구 사용 흔적, 악성코드 실행 흔적 파악
    • 해당 응용프로그램이 삭제되더라도 IconCache는 사라지지 않음