📘 Day 39 (2025.08.08.FRI) - 파일 카빙

🛠️ MBR, VBR 정상화

ence.E01 → raw 변환 후 정상화

  • findx.gif
  • newmar.jpg

stAutoMV.py (파티션 복구 프로그램)

사용 파일: 20250808001.001 (ence.E01)

🔍 Autopsy 복구 과정
New → 20250808001Ence → D:\2025_py\20250808001 → 이름, ence분석케이스 → Finish

Disk Image or VM File - ence.E01 → Dselect → 오류 발생 (비정상적인 파일)

Add Data Source - 20250808001.001 → 복구 완료

autopsy 복구
📂 findx.gif 탐색
File Types - By Extension - Images - Thumbnail
참고: Forensic Explorer - Gallery View


검색 결과:

  • findx.gif 없음
  • findx.gif.lnk 존재(바로가기 아이콘) → 원본 파일 경로: ENCE_USB
  • 경로: vol2/Documents and Settings/Bruce/Recent
🖼️ 파일 카빙

GIF 시그니처 (앞 6바이트)

GIF87a → 47 49 46 38 37 61
GIF89a → 47 49 46 38 39 61

8.py 실행하여 GIF 포함 사진 확장자 4종 복구

8.py 실행 8.py 카빙 성공
🔎 newmar.jpg 탐색

ence.E01 내부 검색 시 발견되지 않음 → 의도적으로 숨김

의심:

  • 압축 파일 내부
  • 암호화 프로그램 이용
📦 Zip 파일 및 암호화 탐지

File Types - Archives 검색

Run Ingest Module → Extension Mismatch Detector + Encryption Detection
참고(Forensic Explorer): Analysis Results - Encryption Detection - Bats.tc


분석 결과:

  • Bats.tc → 확장자는 존재하지 않으므로 누군가가 만든 파일
  • TrueCrypt 암호화 추정
🛡️ TrueCrypt 분석
  • 오픈소스 디스크 암호화 프로그램(VeraCrypt로 바뀜)
  • 파일 폴더 USB 하드 디스크 전체를 암호화해서 비밀번호 없이는 내용을 볼 수 없게 만드는 도구

    • Bats.tc → TrueCrypt로 선택 → 드라이브 마운트 시 비밀번호 요구

    PW.zip 압축 해제 후 비밀번호 시도 → tmp 폴더 발견 → jpg 변환 시 newmar 없음

    AUTOEXEC.BAT → 확장자 zip으로 변경 후 분석

    🔑 키워드 검색

    Add keyword - newmar 키워드로 검색

    🐍 파이썬으로 ZIP 파일 암호 해제

    9.py 코드 작성 및 실행