[SKS! 연합스터디] 2주차. evidence02 3-8

Puzzle #2: Ann Skips Bail

패킷 캡처 파일을 주고 Ann의 신상 정보들을 수집하는 문제인 것 같다. 

패킷 캡처 파일이기 때문에 와이어샤크로 열어야 할 것 같아서 열어봤다.

우선 이메일 주소를 알기 위해 메일 프로토콜인 SMTP를 찾아봤다.

찾은 후 오른쪽 클릭을 해서 따라가기 -> TCP 스트림을 들어갔다.

이렇게 정보창이 쫙 뜨는데 읽어보니 From "Ann" 뒤에 이메일 주소 sneakyg33k@aol.com가 나와있는 걸로 보아 Ann의 이메일 주소같았다. 

비밀번호를 찾기 위해 LOGIN 글씨가 있는 곳 밑을 살펴봤다. 뭔가 암호화 된 듯이 영어가 불규칙적으로 나열되어 있어서 암호화 된걸 다시 디코딩 해줘야 할 것 같아 디코딩 사이트를 검색 한 후 제일 위에 뜬 base64 사이트에서 디코딩을 해줬다.

Password:558r00lz 인걸 알 수 있었다. 찾아보니 SMTP 프로토콜은 base64 인코딩 방식을 사용한다고 한다. 정리 해보면

[Ann] AUTH LOGIN  // 서버한테 로그인 요청

[Server] Username: // 유저 이름

[Ann] sneakyg33k@aol.com // Ann 메일 주소

[Server] Password:

[Ann] 558r00lz // 비밀번호

이 형식으로 정리할 수 있다.

 

비밀 애인 이메일 주소를 알기 위해 다시 살펴보다가 이 와이어샤크 TCP 스트림을 저장할 수 있어서 저장을 한번 해봤다.

근데 파일 이름도 안뜨고 확장자 명 같은 것도 안떠서 일단 아무 이름으로 저장해보고 열어봤다.

확실히 확장자 명을 안정하고 저장했더니 열 수 있는 앱도 정확히 안나오고 010 editor로 열어봤지만 똑같았다. 

검색을 해보니 메일을 열 수 있는 확장자가 따로 있다는 것을 확인해 .eml로 저장해 열어봤다.

outlook 이라는 프로그램으로 열 수 있을 것 같아 열어봤더니 정말 메일 처럼 창이 떠서 신기했다. 아까 스트림에서 봤던 내용이 그대로 나왔고 그 이상으로 뭔갈 얻을 순 없었다. 다시 스트림 창으로 들어가 이것 저것 눌러보다가 

스트림을 1로 변경할 수 있어 변경해보니 다른 내용으로 변한걸 확인할 수 있었다. 이게 아마 창? 페이지 같은걸 조절할 수 있는 것처럼 보여서 스트림을 1로 변경하고 다시 .eml 로 저장한 후 열어봤다.

그랬더니 이런 비밀 메일이 열렸다!! mistersecretx@aol.com 가 Ann에게 보낸 메일이었다. 비밀 애인이 fake passport랑 bathing suit 를 가져오라는 내용이 있었고 파일 하나가 첨부되어 있었다. 파일 안에 MD5sum이라는 걸 찾아야 할 것 같다. MD5sum을 처음 들어봐서 찾아보니 파일을 다운, 이동, 복사한 후에 원본 파일과 동일한 파일인지 확인하는 목적으로 쓰이는 명령어라고 한다.

파일을 열어보니 Playa del Carmen이라는 곳에서 만나기로 한 것 같았다. 

MD5sum을 확인하기 위해 칼리리눅스 명령어로 사용이 가능하다고 해서 칼리리눅스로 들어갔다.

9e423e11db88f01bbff81172839e1923 값이 나왔다.

그리고 이 지도 이미지의 MD5sum 값도 구해야 하는데 캡처나 그렇게 저장하면 원본 사진이 아니기 때문에 이 사진이랑 문서를 분리해야 할 것 같아서 찾아보다가 확장자를 docx에서 zip으로 바꿔봤더니 폴더가 여러 개 나왔다.

여러 폴더 중에 살펴보니 사진 원본이 추출 된 걸 확인할 수 있었다.

명령어로 확인해보니 aadeace50997b1ba24b09ac2ef1940b7 값이 나왔다. 총 정리를 해보자면 

 

1. Ann의 이메일 주소는 무엇입니까? < sneakyg33k@aol.com >
2. Ann의 이메일 비밀번호는 무엇입니까? < 558r00lz >
3. Ann의 비밀 애인의 이메일 주소는 무엇입니까? < mistersecretx@aol.com >
4. Ann이 비밀 애인에게 가져오라고 한 두 가지 품목은 무엇입니까? < fake passport, bathing suit >
5. Ann이 비밀 애인에게 보낸 첨부 파일의 이름은 무엇입니까? < secretrendezvous.docx >
6. Ann이 비밀 애인에게 보낸 첨부 파일의 MD5sum은 무엇입니까? < 9e423e11db88f01bbff81172839e1923 >
7. 그들의 만남 장소는 어느 도시와 국가입니까? < Playa del Carmen, Mexico >
8. 문서에 포함된 이미지의 MD5sum은 무엇입니까? < aadeace50997b1ba24b09ac2ef1940b7 >

 

< 느낀 점 >

와이어샤크를 이용해 파일을 저장하고 열어볼 수 있다는 걸 처음 알게 되었고 .eml이 메일을 열 수 있는 확장자라는 것, MD5sum 명령어 등 새롭게 알게 된 것들이 많아 신기하면서 배운 것도 많아서 포렌식에 대한 지식이 조금이라도 쌓인 것 같아 좋았다. 이렇게 시나리오? 사건을 통해 파일을 열어보고 찾아봐서 진짜 수사관이 된 것 같아서 재밌었다.