오늘 새로운 도구를 소개해드립니다.
윈도우즈에서 물리 메모리를 덤프할 수 있는 'Fastdd v1.0'입니다.

* 알림 : 본 포스트는 '2010 한국정보보호학회 동계학술대회'에 발표된 논문인 "A Study on Riskiness and Countermeasures of Personal Identifiable Information in Physical Memory"의 리뷰입니다.


물리 메모리에는 우리가 생각치 못한 많은 개인 정보들이 남아있습니다. 주민등록번호, 계좌번호, ID 및 패스워드 등이 그 대상입니다. 따라서 물리 메모리 포렌식의 가장 기본이 되는 분석 방법은 '문자열 검색'입니다. 너무나도 단순한 방법이고 어찌보면 수천만개씩이나 존재할지 모르는 문자열들 중에 중요한 정보를 찾는 것은 비효율적이기 때문에 old-fashioned method라고 치부될지 모르지만, 분명한 것은 어쨌든 중요한 정보가 '존재'한다는 것이고 이를 효율적으로 추출하는 것은 조사관의 몫이라는 것입니다.

이 논문은 물리 메모리 덤프에 존재하는 웹포털 사이트의 ID 및 패스워드를 추출하는 방법에 관한 논문입니다. 그 방법은 상당히 단순합니다. 물리 메모리 내에 존재하는 문자열 중 웹사이트로 전달하기 위한 POST Method와 관련한 문자열을 추출하고 이를 사이트 별 특징에 따라 정규표현식으로 ID와 패스워드를 추출하는 것입니다.

사실 누구나 생각해볼 수 있고 해외에서는 이와 같은 방식으로 웹사이트, 메신저 등의 계정 정보를 추출하는 방법에 대해 셀수 없이 논의되어 왔지만, 국내에서 자주 사용되는 웹사이트를 대상으로 하였을 때는 상당히 치명적이라는 사실이 와닿습니다.

메모리에 남아있는 모 사이트의 ID 및 패스워드

위와 같은 결과는 각 사이트들이 제공하는 보안로그인(일반적으로 1-3단계 제공)을 적용하더라도 똑같은 결과를 얻을 수 있습니다. 즉, 암호화하여 계정 정보를 전송한다고 하더라도 암호화되기 전의 데이터를 초기화 하지 않으면 메모리에 그대로 남아있게 된다는 것입니다.

물론 모든 사이트에 적용 가능한 방법은 아니며, 국내 모 포털사이트의 경우에는 보안로그인 여부와 관계없이 사용된 ID 및 패스워드를 초기화하여 관련 정보가 남지 않습니다. (하지만 불행하게도 90% 이상의 웹사이트는 위험 상태에 노출되어있습니다.)

Physical Memory Dump Explorer에 추가된 웹 패스워드 추출 기능

물리 메모리 분석을 위해서는 가상 주소를 물리 주소로의 변환이 필수적입니다. 당연하게도, 커널 혹은 유저 레벨에서의 모든 주소 표현은 가상 주소로 이루어집니다. 즉, 표현된 모든 주소를 물리 주소로 변환해야 물리 메모리 덤프에서의 오프셋을 구할 수 있습니다.

Non-PAE 환경에서의 가상-물리 주소 변환 과정

PAE 환경에서의 가상-물리 주소 변환 과정

현재 사용되는 대부분의 운영체제는 메모리 사용의 효율성을 위해 페이징Paging 기법을 사용하며, 관리의 최소 단위로 페이지Page를 사용합니다. 일반적으로 페이지는 4096 바이트의 크기를 가지며, 일부의 경우 큰 페이지Large Page, 즉 2-4MB 이상의 크기를 가질 수 있습니다.

Page Directory Entry, Page Table Entry의 구조

압축 해제된 VirtualKD

vminstall.exe

디지털 포렌식에 관련한 첫 글입니다. 최근들어 계속 진행해오던 윈도우즈 물리 메모리 분석과 관련해 지속적으로 포스팅할 계획입니다.

일반적으로 디지털 포렌식Digital forensics이라 하면 증거를 찾기 위한 하드디스크 복구 및 파일시스템 분석을 생각하실 듯 합니다. 물론 보조 저장장치로 가장 많이(대체할말한 것이?) 쓰이는 하드디스크 내에 중요 증거가 존재한다는 것은 명백한 사실입니다. 따라서 디지털 포렌식 분야에서 기술적, 법적으로 가장 많은 연구가 진행되어왔으며, 실제 민형사 사건 발생 시 하드디스크에서 발견된 디지털 데이터가 증거로서 채택이 된 경우가 많습니다.

제가 앞으로 떠들고자하는 물리 메모리 분석은 라이브 포렌식Live forensics의 일부로서, 시스템이 활성 상태로 구동 중일 때 휘발성 데이터를 수집하고 분석하는 방법 중 하나입니다. 일반적으로 하드디스크 분석을 위한 이미징 시, 디스크의 무결성을 보존하기 위해 시스템의 전원을 강제로 차단해버립니다(쉽게 말해 코드를 뽑아버리는 방법으로). 하지만 이러한 방법을 사용하는 경우, 시스템이 구동 중이던 시점의 프로세스나 네트워크 세션 등의 휘발성 데이터가 소멸되어 버립니다. 물론 회계 부정이나 기밀 문서 유출 사건과 같은 경우에는 하드디스크 내의 데이터가 가장 중요한 증거가 될 수 있겠습니다만, 최근 많이 발생하고 있는 웜, 트로얀 및 시스템 침해 사건의 경우에는 시스템이 구동 중이던 시점의 그 '상태'가 더 중요할 수 있습니다.

지금까지의 침해 사건의 경우, 이에 대응하기 위한 콘솔 명령어 도구, 이를 자동화하기 위한 쉘스크립트 및 로그 파일 수집, 분석을 하게 됩니다. 이러한 방법은 대부분의 경우 OS가 제공하는 API(시스템 콜)를 이용하게 되는데, 이는 악성코드의 커널-유저모드 후킹과 같은 기법에 의해 변조된 결과를 얻을 가능성이 있습니다. 바로 이러한 단점을 극복하기 위한 기법이 물리 메모리 분석입니다.


물리 메모리 분석은 소프트웨어 및 하드웨어 기반으로 현재 물리 메모리에 존재하는 데이터를 그대로(raw) 파일 형태로 덤프한 후 이를 분석하여, 프로세스 실행 상태, 로드된 모듈, 사용 중이었던 파일, 네트워크 세션 등의 정보를 복구해내는 기술입니다. 물리 메모리 분석은 2005년에 열린 DFRWS 로데오 챌린지Digital Forensics Research Conference Rodeo Challenge에서 당시 파일시스템 포렌식계의 거물(?)인 브라이언 캐리어Brian Carrier가 챌린지를 주최 및 그 중요성을 강조하면서 본격적인 연구가 시작되었습니다. 챌린지의 대상으로는 Windows 2000 SP4의 물리 메모리 이미지가 올라왔구요.

The results of memory analysis challenge

그 결과로 위의 두 개의 도구 memparser, kntlist가 개발되었습니다. 메모리 분석에 관심있으신 분들은 한 번쯤은 들어보시거나 직접 사용해보셨으리라 생각됩니다. 두 도구는 물리 메모리로부터 프로세스 목록 및 환경, 감사 로그 등의 정보를 추출하는 최초의 도구입니다. 이 이후에는 프로세스 및 쓰레드 객체의 구조체인 EPROCESS, ETHREAD를 카빙하는 도구인 ptfinder, 파이썬으로 제작되었고 사용자가 기능을 추가할 수 있도록 플러그인 개발을 지원하는 Volatility Framework 등의 유명한 도구들이 개발되었습니다.

하지만 앞서 설명드린 도구들은 콘솔 기반이기 때문에 분석의 결과를 시각적으로 보여주지 못한다는 단점을 보여줍니다. 또한 대부분 Windows 2000 및 XP만을 대상으로 하였기 때문에 최근 널리 쓰이고 있는 Vista 및 7, 그리고 서버 제품군을 지원하지 못하고 있습니다.


뭐 이러한 이유 때문은 아니지만.. 제가 최근에 물리 메모리 분석에 대해 공부하며 직접 분석 도구를 개발하였습니다. 아직 완벽하지는 않지만 상당부분에서 진행이 완료되어 쓸만하다고 생각됩니다. 우선 GUI 형태로 개발되어 보기도 좋고(?) 폭 넓은 윈도우즈 버젼을 지원한다는 것이 장점입니다.

Physical Memory Dump Explorer

보시면 아시겠지만, Sysinternals(http://technet.microsoft.com/en-us/sysinternals/default.aspx)의 Process Explorer와 비슷한 형태를 지니고 있습니다. 프로세스명, PID, 실행-종료 상태 등의 기본 정보 및 파일 핸들, 시스템 드라이버 및 DLL, 네트워크 세션 등의 정보가 출력되며, Processlibrary.com으로부터 얻어온 프로세스의 상세 정보 역시 출력됩니다. 또한 아래의 프로세스 속성, 메모리맵, 프로세스 주소 영역 덤프 및 문자열 추출 기능까지 지원하도록 개발되었습니다.

Image properties

Memory map

Strings

아직까지는 갈길이 멀긴하지만, 앞으로 관련 연구가 진행되는대로 기능이 추가될 예정입니다. 현재는 4n6tech(http://4n6tech.com)에서 MEMA라는 이름으로 판매되고 있지만(-_-;) 향후 오픈 소스 프로젝트로 새롭게 개발할까도 생각하고 있습니다. 실천이 될런지는 모르겠습니다만.. 물리 메모리 분석에 대해 관심있으신 분들의 지속적인 관심 및 격려를 부탁드리겠습니다 하하.

참고로 Mac OS X를 대상으로 한 오픈소스 프로젝트가 진행 중입니다. n0fate님의 Volafox(http://code.google.com/p/volafox/)이구요, 맥을 대상으로 한 물리 메모리 분석에서는 가장 진보한 형태라고 생각됩니다(사실 다른건 몰라서 ㅋㅋ). 유일한 맥을 대상으로 한 물리 메모리 분석 도구입니다. (n0fate님 지적 감사)


향후 본 블로그에 물리 메모리 분석과 관련한 글을 지속적으로 포스팅할 계획입니다. 사실 지금까지 해온 것들을 정리한다는 느낌이 크긴 하지만요. 제가 글을 잘 쓰는 편이 아니라 쉽게 이해가 되지 않으실지도 모르겠습니다만, 관심을 가져주시면 감사드리겠습니다.


일단 이번 포스팅은 여기에서 마무리 짓겠습니다. 두 번째 글은 아마도 가상-물리 주소 변환과 관련한 글이 될 것 같습니다.

블로그 첫 포스팅을 좋은 소식과 함께하게 되어 상당히 기쁩니다.

저희 팀인 DFRC가 미 국방부 산하의 DC3(DoD Cyber Crime Center)에서 주최한 '2010 DC3 Digital Forensics Challenge'(이하 DC3)에서 우승을 차지하였습니다. 이는 작년에 개최된 챌린지에 이어 2회 연속 우승입니다.

이번 대회에는 총 53개 국가의 1010개 팀이 참가하여 최종적으로 71개 팀만이 보고서를 제출하였습니다. 이는 작년에 44개 팀만이 최종 보고서를 제출한데 비해서 경쟁률이 올랐다는 것을 보여주네요.

시상은 총 11개 부문에 대해 이루어집니다. 우선 크게 International 부문과, U.S, 그리고 U.S. Academic으로 나뉘어집니다. 그리고 각 분류 내에서 미영주권자 여부 및 신분(Non-US, Commercial, Civilian 등)에 따라 세부 시상이 주어지는데요. 저희 DFRC는 미국 사람이 아닌 관계로(-_-;) 'Non-US Only'에게 주어지는 'Prize IMPACT'를 수상하였습니다. 물론 총점은 3,297점으로 가장 높기 때문에 'Grand Champion'도 수상하였습니다.

2010 DC3 Challenge Stats - Winner's Circle

위의 시상에 대해 재미있는 점은, 총점이 84점임에도 불구하고 세부적으로 나뉜 시상부문 덕분에 수상하게 된 사람들도 꽤 된다는 점입니다. 미군이라는 신분으로 88점을 획득하여 Prize ECC를 탄 사람도 있습니다.


어찌되었든 'South Korea'를 달고 세계무대에서 우승한다는 것은 상당히 기쁜 일입니다. 저보다는 저희 팀원들이 더 수고해주었지만 말이죠. :)

Challenges and Point Structure

위에 보이는 것이 각 문제 및 점수 배점표입니다. 작년과 크게 달라진 것이라면, 500점짜리 도구 개발 문제가 새롭게 상당 수 추가되었다는 점입니다. 아마 작년에 우승할 적에 저희 연구실에서 개발한 도구를 사용하여 문제를 풀었다는 것이 큰 영향을 끼치지 않았나 생각합니다만.. 100% 저만의 생각이니 믿진 마시길..

이번 DC3 챌린지로 인해 연구실 내에 학술적인 성과도 있었습니다. 아직까지 세계적으로 Shadow Volume Copy에 대한 연구가 진행된바가 없었습니다만, 연구실 박사과정 선배가 이 문제를 해결함으로해서 해당 연구가 어느정도 성공적으로 진행되었습니다. (아마 곧 논문으로 나올 듯 싶습니다. 나오는대로 리뷰를 포스팅할 계획입니다.)

다만 어이없는(?) 문제도 좀 보이는데요. 저만의 생각일지도 모릅니다만, BitLocker나 TPM 관련 문제는 풀라고 낸거 같아 보이지는 않네요. 물론 챌린지의 의도가 디지털 포렌식 커뮤니티에 새로운 도구, 기술 및 방법론에 대한 지식을 공유하자는 것이긴 하지만, 확실히 쉽게 해결될 문제들은 아닙니다. 아마 저 문제들은 각 2,000점씩 줘야 할 듯..하하

또 다른 불만도 있습니다. 일부 문제들이 정답을 바꾸지 않고 그대로 나왔다는 사실입니다. 도대체 그 문제들은 왜 '꾸준히' '그대로' 나오는지 의문입니다. 점수 줄려고 그러나.. 덕분에 저희도 좀 날로 먹은게 있지만 말이죠.


문제가 어찌되었든지간에, 앞으로 DC3 문제와 관련하여 이를 어떻게 해결했는지를 포스팅할 계획입니다. 그 중에는 완벽하게 해답을 찾지 못한 것도 일부 있습니다만, 혹시나 저의 포스팅을 보게 되실 분들께서 좋은 의견을 가지고 계신다면 문제 해결을 위한 의논도 해보고 싶습니다.

앞으로 이 블로그에 디지털 포렌식, 정보보호 및 기타 잡다한 개잡소리까지 열심히 포스팅할 계획이니 많이 찾아주시면 감사드리겠습니다.

그럼 이만 :)