[논문]Windows에서의 Wire 크리덴셜 획득 및 아티팩트 분석

신수민; 김소람; 윤병철; 김종성

doi:10.13089/jkiisc.2021.31.1.61

[국내논문] Windows에서의 Wire 크리덴셜 획득 및 아티팩트 분석
Acquiring Credential and Analyzing Artifacts of Wire Messenger on Windows 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.31 no.1, 2021년, pp.61 - 71

신수민 (국민대학교) , 김소람 (국민대학교) , 윤병철 (국민대학교) , 김종성 (국민대학교)

초록
AI-Helper

인스턴트 메신저는 현대인의 의사소통 수단으로 스마트폰과 PC 등에서 이용 가능하며, 개별로 사용하거나 연동해서 사용할 수 있다. 메시지, 통화 및 파일 공유 등의 다양한 기능을 제공하는 메신저는 사용자의 행위정보를 포함하므로 포렌식 수사관점에서 중요한 증거로서의 가치를 지닌다. 하지만 스마트폰 데이터는 데이터 추출의 어려움이나 제작자의 보안기술 적용으로 분석의 어려움이 있다. 그러나 스마트폰과 PC 메신저를 연동해 사용하고 있는 경우 스마트폰 대신 PC에서 대화 내용 및 사용자 데이터 획득이 가능하다. 본 논문에서는 Windows 10 환경에서 Wire 메신저의 크리덴셜 정보를 획득했으며, 다른 PC에서 인증 과정 없이 로그인 가능함을 보였다. 또한, 사용자 행위를 기반으로 생성되는 주요 아티팩트 선별하고 정리하였다.

Abstract ▼ AI-Helper

Instant messengers are a means of communication for modern people and can be used with smartphones and PCs respectively or connected with each other. Messengers, which provide various functions such as message, call, and file sharing, contain user behavior information regarded as important evidence in forensic investigation. However, it is difficult to analyze as well as acquire smartphone data because of the security of smartphones or apps. However, messenger data can be extracted through PC when the messenger is used on PC. In this paper, we obtained the credential data of Wire messenger in Windows 10, and showed that it is possible to log-in from another PC without authentication. In addition, we identified and classified major artifacts generated based on user behavior.

주제어

표/그림 (27)

그림 Fig. 1. Automatic message deletion time setting and ping function
그림 Fig. 2. Additional functions for sent message
그림 Fig. 3. Device ID of the current device and the list of devices registered under the account
그림 Fig. 4. Properties of registered devices
그림 Fig. 5. Data structure of Wire
표 Table 1. Analysis environment
그림 Fig. 6. Analysis procedure
그림 Fig. 7. Contents of cookies table
표 Table 2. Data structure of cookie
그림 Fig. 8. Log-in information in a network packet
그림 Fig. 9. Log Out and Quit functions of Wire
그림 Fig. 10. Structure of leveldb
그림 Fig. 11. Account information in electron.log
그림 Fig. 12. Conversation data in [0-9]{6}.log file
표 Table 3. Accompanying information of "conversa-tion.message-add" type
표 Table 4. Accompanying information of "conver-sation.asset-add" type
표 Table 5. Accompanying information of "conver-sation.delete-everywhere" type
표 Table 6. Accompanying information of "conver-sation.voice-channel-activate" and "conversa-tion.voice-channel-deactivate" type
표 Table 7. Accompanying information of "conve-rsation.one2one-creation" type
표 Table 8. Accompanying information of "con-versation.group-creation" type
표 Table 9. Accompanying information of "conver-sation.rename" type
표 Table 10. Accompanying information of "con-versation.knock" type
표 Table 11. Accompanying information of "verifi-cation_state" type
그림 Fig. 13. Information on directly deleted data
그림 Fig. 14. Log file contents for automatically deleted message
그림 Fig. 15. Information on automatically deleted data
표 Table 12. Accompanying information of "con-versation.unable-to-decrypt" type

참고문헌 (12)

"Aju Business Daily", https://www.ajunews.com/view/20201014141141075
"Boannews", https://www.boannews.com/media/view.asp-idx87562&page1&kind1
Teing Yee Yang, Ali Dehghantanha, Kim-Kwang Raymond Choo and Zaiton Muda, "Windows Instant Messaging App Forensics: Facebook and Skype as Case Studies," PLoS one, 11(3), e0150300, Mar. 2016

상세보기
Ming Sang Chang and Chih Yen Chang, "LINE Messenger Forensics on Windows 10," Journal of Computers, 30(1), pp. 114-125, Feb. 2019
Jusop Choi, Jaegwan Yu. Sangwon Hyun, and Hyoungshick Kim, "Digital forensic analysis of encrypted database files in instant messaging applications on Windows operating systems: Case study with KakaoTalk, NateOn and QQ messenger," Digital Investigation, 28, pp. 550-559, Apr. 2019.
Karpisek, Filip, Ibrahim Baggili, and Frank Breitinge, "WhatsApp network forensics: Decrypting and understanding the WhatsApp call signaling messages," Digital Investigation, 15, pp. 110-118, 2015

상세보기
Sehoon Lee, Myungseo Park, Giyoon Kim, Uk Hur, and Jongsung Kim, "A Study on The Decryption of Encrypted SNS Application Data : KakaoTalk Channel, Purple, TongTong" Journal of Digital Forensics, 14(1), pp. 87-96, Mar. 2020.
Jong-Won Choi and Jeong-Hyun Yi, "Analysis on Personal Information Lea kage of Google Account App on Android," Journal of Digital Forensics, 8(2), pp. 65-81, Dec. 2014
"Wire", https://wire.com/en/
"Wire Security Whitepaper", https://wire-docs.wire.com/download/Wire+Secu rity+Whitepaper.pdf
"Fiddler", https://www.telerik.com/fiddler
"Leveldb GitHub", https://github.com/google/leveldb

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증