Memory Analysis (Volatility)

1. 사전 준비

• Python 설치

• Volatility 설정
• https://github.com/volatilityfoundation/volatility3/releases
• requirements.txt 설치

• 메모리 다운로드 (비밀번호 infected)
• https://drive.google.com/file/d/12vkQFSqZQkTu89g7NIlZsqW80SCP8O9_/view?usp=sharing

• pestudio 다운로드 (3번 문제)
• https://www.winitor.com/download2

2. 문제

• 다음의 명령어로 정보 확인

python vol.py -f ${MEMORY_PATH} windows.info

• 다음의 명령어로 프로세스 정보 확인

python vol.py -f ${MEMORY_PATH} windows.pslist 
python vol.py -f ${MEMORY_PATH} windows.psscan
python vol.py -f ${MEMORY_PATH} windows.pstree

• 다음의 명령어로 명령어 정보 확인

python vol.py -f ${MEMORY_PATH} windows.cmdline

• 참고
• 프로세스 목록을 살펴보면 lsass.exe가 두번 포착되는데 lsass.exe 개수는 1개여야 하며, 경로는 C:\Windows\System32\lsass.exe이다
• https://www.sans.org/posters/hunt-evil/

• 아래의 명령어로 dmp 파일 생성

python vol.py -f ${MEMORY_PATH} windows.pslist --pid 7592 --dump
python vol.py -f ${MEMORY_PATH} windows.dumpfiles --pid 7592 # capstone 설치 필요

• pestudio로 덤프 파일 확인

• 아래의 명령어로 session 확인

python vol.py -f ${MEMORY_PATH} windows.sessions

• 아래의 명령어로 NTLM 해쉬값 확인

python vol.py -f ${MEMORY_PATH} windows.hashdump # pycryptodome 설치 필요

• NTLM 복호화
• https://crackstation.net/

참고

Getting Started to LetsDefend

Register to soc analyst/incident response training platform

https://app.letsdefend.io/challenge/memory-analysis