Signature Analysis 분석결과가 다를 경우는 프로세싱을 다시해야 하나요?

Question

안녕하세요! 빛과 소금같은 강의 잘 듣고 있습니다. 동영상 강의를 준비하시면서 엄청난 노력이 들어감을 느끼고 진심으로 존경과 감사를 드립니다. Encase 시나리오 2번째 2번 강의에서 분석물에 대한 Processing 이후 File Signature Analysis 결과가 강의와 제 프로그램이 좀 달라서 여쭙습니다. 강의에서는 의심파일 ApplicationForVisa.pdf는 Alias로 표시되며 category도 Picture로 표시되어 분석가가 "아 의심파일이구나!" 알아챌 정도로 식별이 되는데, 제가 사용하는 Encase에서는 (26.1.2.4버전) Match로 표시되면서 PortFolio PDF로 표시됩니다. Hex값만 보면 '%P' 부분이 지워진것은 식별이 되는데, Signature 분석으로 표시가 안되면 실제 시험에서는 시간관계상 그냥 넘어갈 거 같습니다. 혹시 제가 분석프로세싱을 돌릴 때 확인해야 하는 것이 있는지, 아니면 버전별로 다른건지 좀 궁금합니다. 아래 사진을 첨부드립니다.

nstyxn · Answer

안녕하세요 Gladiator님! 우선 답변 드리기 전에 죄송하다는 말씀을 먼저 드립니다. 강의 소개에서 안내드린 것처럼 23년 10월 부터 Encase에 대해서는 더이상 추가 영상이나 질문에 대한 답변을 드릴수가 없습니다. 답변을 드리려면 궁금하신부분에 대해서 저도 직접 해보고 확인후에 답변을 드릴수가 있는데, 23년 10월부터 Encase를 더이상 사용할수 없게 되면서 확인할수 있는 방법이 없어졌습니다. 제가 그나마 답변 드릴수 있는 부분은 드리겠지만, 대부분 Encase에서 직접 확인하고 답변을 드려야하는 내용이다보니 답변 자체를 드리는게 불가능하거나, 답변을 드리더라도 정확하지 않을수 있는 점 참고 부탁드리겠습니다! 우선 말씀하신 파일을 확인해봤는데, 말씀처럼 강의 영상에서는 Alias로 표현되는데 현재 가지고 계신 버전에서는 Match로 표현된다는 말씀이시죠? 위에 말씀드린것처럼 제가 확인할 방법이 없다보니 올려주신 스샷을 보고 추측만 해볼수가 있을것 같은데요... 해당 파일은 확장자 변조 파일은 아닙니다. 단순히 헤더시그니처 2바이트를 '00'으로 변조한 파일이다보니 확장자 분석결과 잘못됐다고 말하기는 어렵고, 다만 헤더 시그니처가 조금 이상하다 정도로 'Alias' 표현해줬다고 생각할수 있을것 같습니다. 그런데 새로운 버전에서는 이러한 부분에 대해서 Encase에서 어느정도 추정을 해서 확장자 변조가 아닌것으로 최종적으로 보여주는게 아닌가 싶습니다. 제 생각이 맞다면 확장자변조 탐색 자체는 파일 내부의 다른 여러부분들을 참조해서 조금 더 정확하게 판단을 해주는 것으로 보이나, 말씀처럼 match로 뜨다보니 그냥 넘길수도 있는 문제가 있긴 합니다. 다만 Match로 표현된다고 해서 무조건 증거 파일이 아니다라고 단정할수는 없고 확장자변조 탐색과 더불어, 파일명이 눈에 띄는지, 삭제된 파일인지 등 여러 기준으로 각각 확인해서 나온 모든 파일들을 다 본다고 생각해주세요. 말씀해주신 pdf 파일 같은 경우 1) 확장자변조 : match > 우선 Skip 2)파일명 : 뭔가 시나리오와 관련이 있거나, 간단하거나, 쓸법한 파일명이라면 한번 의심 3) 삭제된 파일 : 이 파일이 삭제된 흔적이 있다면 우선 의심 4) 앞의 다른 문제가 전혀 없어보이는데 열리지 않을때 > 헤더시그니처등 Hex값을 보면서 이상한 부분은 없는지?(변조된건 아닌지) 확인. 등의 여러 단계를 거치면서 확인을 해주셔야할것 같습니다! 궁금하신점이 있으시면 언제든지 질문주세요~ :)