[논문]Windows 7·8 IconCahe.db 파일 포맷 분석 및 활용방안

이찬연; 이상진

doi:10.13089/jkiisc.2014.24.1.135

[국내논문] Windows 7·8 IconCahe.db 파일 포맷 분석 및 활용방안
The analysis of Windows 7·8 IconCache.db and its application 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.24 no.1, 2014년, pp.135 - 144

이찬연 (고려대학교 정보보호대학원) , 이상진 (고려대학교 정보보호대학원)

초록
AI-Helper

디지털 포렌식 조사를 회피하기 위한 안티포렌식이 발전하고 있는 가운데, 안티포렌식 행위를 찾아내기 위한 포렌식 방법들 또한 다각도로 연구되고 있다. 사용자 행위분석을 위한 여러 요소 중 응용프로그램의 아이콘 정보를 저장하고 있는 IconCache.db 파일은 디지털 포렌식 조사를 위한 의미 있는 정보들을 제공하고 있다. 본 논문은 IconCache.db 파일의 특성을 알아보고 안티포렌식에 대응할 수 있는 활용방안을 제시한다.

Abstract ▼ AI-Helper

Since anti-forensics have been developed in order to avoid digital forensic investigation, the forensic methods for analyzing anti-forensic behaviors have been studied in various aspects. Among the factors for user activity analysis, "Iconcache.db" files, which have the icon information of applications, provides meaningful information for digital forensic investigation. This paper illustrates the features of IconCache.db files and suggests the countermeasures against anti-forensics utilizing them.

Keyword

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문에서는 IconCache.db 파일 구조를 비롯한 실행 메커니즘과 특성을 알아보고 디지털 포렌식 측면의 활용방안에 대해 연구하였다.
Jan Collie의 논문에서 연구된 IconCache.db 파일의 일반적인 특성 외에 디지털 포렌식 측면에서보다 의미 있는 특성을 찾아내기 위해 아이콘 캐시정보의 생성 및 삭제 메커니즘에 대해 추가연구를 진행하였다.
db 파일은 컴퓨터 사용자가 사용한 응용프로그램의 아이콘 정보를 기록하고 있기 때문에 디지털 포렌식 관점에서 사용자 행위 분석을 위한 의미 있는 자료로 활용될 수 있다. 따라서 아이콘 캐시의 특성을 고려한 효과적인 수집 및 분석 방법을 제시하고자 한다.

제안 방법

Windows XP 버전까지는 IconCache.db 파일의 이미지와 경로정보를 분석할 수 있는 분석도구 (ThumnailExpert¹⁾)가 개발되었기 때문에 Windows 7ㆍ8의 IconCache.db을 중심으로 분석을 진행하였다.
은 3개의 응용프로그램을 차례로 복사 및 설치한 그림이다. 가장 먼저 decode.exe 파일이 복사되고, 이어서 atnotes.exe 파일의 설치 파일인 atnsetup95 파일을 복사한 후 실행하였다. atnsetup95 파일 실행으로 atnotes.
exe 파일의 경로정보가 기록된 것을 알 수 있다. 마지막으로 decwindowsviewer.exe 파일을 복사하였다.
응용프로그램을 임의 폴더에 숨겨 컴퓨터에 복사 후 응용프로그램을 설치하거나 아이콘을 열람하지 않을 경우, IconCache.db 파일에는 어떠한 정보가 기록되는지 알아보기 위해 추가 실험을 수행하였다.
와 같이 “Test1” 폴더에 각종 실행파일 및 압축파일 등을 저장 후 폴더를 실험 대상 컴퓨터에 복사하였다. 복사 이후 아이콘을 열람하거나 응용프로그램을 설치하지 않은 상태로 IconCache.db 파일을 분석하였다.
현재까지 분석된 IconCache.db 파일 구조를 바탕으로 Windows 7ㆍ8에서 사용할 수 있는 IconCache.db 파일 분석 도구(Fig. 21.)를 개발하였다. 분석도구는 인터넷⁶⁾에서 다운받아 사용할 수 있다.

이론/모형

IconCache.db 파일의 실행 메커니즘을 알아보기 위해 MS에서 개발한 Process Monitor³⁾를 사용하여 실험하였다. 실험 결과 Fig.

성능/효과

Fig. 9.에서 보는 바와 같이 MS에서 개발한 Process Explorer⁴⁾를 사용하여 Explorer 프로세스를 모니터링한 결과, IconCache.db 파일은 IconCodecService.dll 파일을 통해 PNG 형태의 아이콘 이미지 데이터를 BMP 파일 형태로 변환하여 저장하는 것을 알 수 있었다.
실험 결과 폴더에 저장된 여러 종류의 파일 중 수정시간이 가장 최근인 두 개의 실행파일에 대한 아이콘 경로정보가 IconCache.db 파일에 기록되었다. Fig.
따라서 IconCache.db 파일에 남아있는 삭제된 응용프로그램의 정보와 레지스트리 및 프리패치에 남아있는 다른 응용프로그램들의 시간정보를 비교 분석하면 삭제된 응용프로그램의 상대적인 설치시간을 확인할 수 있다.

후속연구

IconCache.db 파일이 디지털 포렌식 분석 대상으로 활용되기 위해서는 Windows Vista를 비롯한 7과 8버전의 IconCache.db 파일에 대한 구체적인 추가 연구가 필요하다.
db 파일 분석도구는 아직 경로정보만을 분석할 수 있다. 때문에 향후 연구에서는 윈도우의 기본 아이콘을 사용하지 않는 응용프로그램의 아이콘 이미지 데이터에 대한 추가 연구를 통해 아이콘 이미지 데이터까지 분석할 수 있는 도구를 개발할 예정이다.

질의응답

핵심어	질문	논문에서 추출한 답변
	IconCache.db 파일이 아이콘 캐시정보에 대한 시간정보를 가지지 않는 단점은 어떻게 극복할 수 있는가?	db 파일은 아이콘 캐시정보에 대한 시간정보를 가지고 있지 않은 단점이 있다. 그러나 분석가가 기존의 디지털 포렌식 분석방법과 융합하여 활용한다면, 삭제된 파일의 상대적인 설치시간정보와 같은 의미 있는 결과를 얻을 수 있다.
	안티포렌식 행위를 찾아내기 위한 대표적인 방법은 무엇이 있는가?	때문에 안티포렌식 행위를 적발하기 위한 연구 또한 활발히 진행되고 있다. Windows Registry[1] 와 PreFetch Folder[2] 등에 대한 분석이 안티포렌식 행위를 찾아내기 위한 대표적인 방법이다. 그러나 역설적이게도 Windows Registry와 PreFetch Folder의 삭제는 안티포렌식 방법 중 가장 기초적인 것에 해당한다.
	IconCache.db 파일은 무엇을 저장하고 있는가?	IconCache.db 파일은 사용자 컴퓨터 및 외부 저장매체에서 열람 및 실행한 응용프로그램들의 아이콘 캐시정보를 저장하고 있다. 또한 기록된 응용프로그램의 아이콘 캐시 정보는 삭제되지 않는 특성을 가지고 있다.

참고문헌 (6)

Harlan Carvey, "The Windows Registry as a forensic resource," Digital Investigation, vol. 2, issues. 3, pp. 201-205, Sep. 2005.

상세보기
Harlan Carvey, "Windows forensic analysis DVD toolkit, second edition," Syngress, p.296, chapter 5, May. 2009.
Jan Collie, "The windows IconCache. db: A resource for forensic artifacts from USB connectable devices," Digital Investigation, vol. 9, issues 3-4, pp. 200-210, Jan. 2013.

상세보기
Vivienne Mee, Theodore Tryfonas and Iain Sutherland, "The Windows registry as a forensic artifact: illustrating evidence collection for Internet usage," Digital Investigation, vol. 3, issues 3, pp. 166-173, Jul. 2006.

상세보기
Eoghan Casey, "Handbook of Computer Crime Investigation: Forensic Tools and Technology," Elsevier, p. 152, Oct. 2001.
KISA, "Forensic technique research in the new operating system" Research Report, pp. 101-108, Sep. 2012.

저자의 다른 논문 :

LOADING...

활용도 분석정보

상세보기

다운로드

내보내기

활용도 Top5 논문

해당 논문의 주제분야에서 활용도가 높은 상위 5개 콘텐츠를 보여줍니다.
더보기 버튼을 클릭하시면 더 많은 관련자료를 살펴볼 수 있습니다.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증