[CTF-D/Memory] GrrCON 2015 #2

challenge/forensic

ssoL2 2021. 5. 20. 19:26

문제 : 수상한 이메일에 첨부되어 있는 파일은 무엇인가?

GrrCON 2015 #1 문제와 이어지는 풀이 과정이기에 참고하시길 !

[CTF-D/Memory] GrrCON 2015 #1

문제 : vmss 파일에서 수상한 이메일을 보낸 전자 메일 주소를 찾아라. 먼저, vmss 파일이 뭔지 알아보자. vmss 확장자를 지닌 파일은 vmware 가상머신에서 일시 중단한 상태의 데이터이다. 따라서, 이

ssol2-jjanghacker.tistory.com

간략하게 설명하자면, 메모리 덤프 파일을 volatility로 돌렸고,

OULOOK.EXE 프로세스를 추출해서 분석해본 결과 아래 text를 발견할 수 있었다.

또한, 해당 내용을 살펴보면 URL 뒤에 첨부 파일의 이름도 확인할 수 있다.

끝

🚫 flag는 🚫

AnyConnectInstaller.exe