GrrCON 2015 #1

vmss: VMware Suspended State File, VMware 가상화 소프트웨어로 작성된 파일

일시 중단 된 상태 일 때 가상 시스템 (VM)의 상태를 저장한다. 즉, 일시적으로 중지 된 것.

VM이 일시 중단 될 때 소프트웨어에 의해 자동으로 생성되고, 스냅 샷 (.VMSN 및 .VMSD 파일)과 다름.

메모리 포렌식 분석 도구

Volatility 사용하자

옵션과 플러그인 설명

 

여기까지 psscan 출력 결과이다.

여기서 다시 한 번 문제를 보면, '이메일'이 키워드다.

키워드 '이메일'과 관련한 'OUTLOOK.EXE'가 보인다.

OUTLOOK.EXE의 PID는 3196, 이를 덤프 떠보자.

3196.dmp 파일을 얻었다.

이제 strings.exe를 사용해서 덤프가 포함한 문자열을 추출해보자.

'@', '.com', 등으로 검색해보면 너무 많다.

아웃룩이니까 gmail.com으로 치니까 특정한 1개 발견