[작성자:] yuihan670

1. 서론

윈도우 메모장에서 수업 내용을 필기 하고 , 중요하지 않은 내용인 것 같아 우상단의 X 버튼을 눌러서 메모장을 종료했다.

다음 수업 때 메모장을 다시 쓸 일이 생겨서 확인해보니 필기내용이 그대로 남아 있었다.

저장하지 않았는데도 내용이 남아 있다는 건, 메모장이 어딘가에 기록을 따로 보관하고 있을 것 같고, 이 기록을 포렌식으로 찾아내 증거로 쓰일 수 있을 것 같아, 구글링과 LLM으로 자료를 조사해보고 X-Ways로 직접 확인하였다.

2. 저장 위치

메모장의 상태 파일은 아래 경로에 저장된다.

%LOCALAPPDATA%\Packages\Microsoft.WindowsNotepad_8wekyb3d8bbwe\

tip : .0.bin과 .1.bin은 번갈아 가며 갱신된다! 둘 중 Sequence Number가 큰 쪽이 최신 파일이다!

3. X-Ways로 직접 확인해보기

우선 메모장을 켜 아무 내용이나 작성한 다음 메모장을 종료한다.

관리자 권한으로 X-Ways를 실행 한 후 C드라이브를 케이스에 추가한다.

드라이브가 추가되면 %LOCALAPPDATA%\Packages\Microsoft.WindowsNotepad_8wekyb3d8bbwe\ 폴더로 이동한다.

위 두개의 사진 하단의 미리보기를 보면 영어로 된 메모는 잘 나오는데 반해 한국어로 된 메모는 다 깨져서 나온다. 이는 파일이 손상 된 것이 아니라 X-Ways가 ASCII형태로 미리보기를 보여줘 깨져서 출력 되는 것이다.

View -> Character set No. 1 -> Unicode UTF-16 LE, misaligned 를 클릭하여 UTF-16 LE 형태로 미리보기를 출력 형태를 변경하면 깨짐 없이 볼 수 있다!

TIP : 본문이 0x0F, 즉 홀수 오프셋에서 시작한다. 그래서 UTF-16 LE 가 아니라 misaligned에서만 한글이 보인다!

위 과정을 거치면 안녕하살법! 이라는 메모가 그대로 잘 보인다!

NP파일을 바이트 단위로 하나하나 설명을 하자면 아래 표와 같다.

4. 마무리 글

이번 실험으로 메모장에서 저장하지 않은 내용도 TabState 파일에 그대로 남아 있고, X-Ways로 찾아 확인할 수 있다는 것을 직접 확인했다.

조사하면서 재미있는 점도 하나 알게 됐다. 공개 자료에 따르면 저장하지 않은 편집은 Unsaved Buffer Chunk(커서 위치, 지운 글자 수, 입력한 글자 수, 입력한 글자, CRC32) 단위로 쌓이고, 이 청크를 순서대로 재구성하면 무엇을 쳤다가 지웠는지까지 복원할 수 있다고 한다.

다만 이번에 확인한 파일은 CRC32에서 끝나서 청크가 없었다. 공개 자료에서는 메모장을 닫을 때 청크가 본문에 합쳐진다고 하는데, 어떤 조건에서 청크가 남는지는 다음 실험에서 확인해 볼 예정이다.

참고 문헌

ogmini, Notepad-State-Library, https://github.com/ogmini/Notepad-State-Library

AbdulRhman Alfaifi, notepad_parser, https://github.com/AbdulRhmanAlfaifi/notepad_parser

Velociraptor, TabState artifact, https://docs.velociraptor.app/exchange/artifacts/pages/tabstate

1. X-Ways Excire 기능이란?

X-Ways Excire(익사이어) 기능은 사진 속 내용을 AI가 자동으로 분석해주는 기능이다.

X-Ways를 구매하면 Excire 설치파일을 메일로 전송해 주지만 X-Ways에 내장되어 있지 않아서 별도의 설치가 필요하다.

이번 글에서는 X-Ways 설치 후 Excire 설치방법을 설명한다.

2. 설치 링크 받는법

https://www.x-ways.net/winhex/license.html

위 링크에 들어가서 구매할 때 사용한 이메일 주소를 입력하면 15분 뒤 메일로 내가 보유한 라이센스 설명과 다운로드 링크가 정리된 메일이 도착한다.

위 메일에서 Viewer component, Excire Forensics, | Mplayer, Tesseract(필수는 아니지만 권장)을 다운로드 한다.

3. 설치 및 확인

다운로드가 완료되면 X-Ways 설치 폴더 안에 viewer, Excire, Mplayer,Tesseract 폴더를 직접 만들고 각 압축 파일의 내용물을 넣는다.

복사가 완료되면 동글을 끼우고 X-Ways를 실행 뒤 F10를 누른다

Picture analysis and processing 탭 체크를 누르고 … 버튼을 눌러 Excier 창이 뜨는지 확인한다.

이후 사건에 맞게 Excire 설정을 한 다음 RVS 실행이 정상적으로 된다면 설치가 완료된 것이다!

Tip : PhotoDNA와 Excire는 다르다! PhotoDNA는 X-Ways가 법 집행기관에만 제공하는 해쉬기반 아청물 탐지 기능이다!

1.서론

유튜브 쇼츠를 보던 중 다운로드 한 파일과 직접 촬영한 사진을 경찰 포렌식에서 구별 가능하다고 이야기 하는 영상을 보았다. 여기에 한 발 더가서 다운로드 한 파일이 트위터에서 받았는지 구글, 페이스 북 어디서 받았는지 까지 경찰이 포렌식 하면 다 알 수 있다고 주장하는 영상을 보았다.

촬영한 사진과 다운한 사진은 exif가 크게 차이 나니 구별이 기술적으로 가능 하다고 생각이 드는데 다운로드한 파일이 어디서 다운했는지 구별하는게 기술적으로 가능한지 의문이 들었다.

그래서 X-Ways의 RVS기능을 이용하여 직접 실험 해보기로 마음먹었다.

2. 실험 및 결과

tip : X-Ways excire ai와 다르게 RVS는 기본 탑재된 기능으로 추가로 셋팅할 필요가 없다!

우선 X-Ways를 실행하고 사진 디렉토리를 case에 추가한다.

F10을 눌러 RVS 팝업창을 띄운다음, Extract internal metadata, browser history and events 체크 한다 (나머지 체크는 선택사항)

실행이 완료되면 상단 리스트를 왼쪽으로 당겨서 결과를 확인한다.

트위터에서 받은 사진을 진짜로 구분하였다! 다른 출처의 사진들도 제대로 구별하는지 추가로 확인 하였다.

DSLR, 구글에서 다운한 사진도 제대로 구별하였다.

다만, 100% 모두 다 정확한 건 아니였고 체감 상 65-70% 정도의 정확도가 보였다. 공군 로고의 경우는 다운로드 출처는 정확했지만, 디바이스 타입이 틀리게 판정되었다.

위 rvs 실행결과가 완벽한 증거가 되기보단 수천개의 파일이 있을때 의심되는 것을 빠르게 추려주는 1차 필터로 쓰이기에는 좋을 것 같다.

3. 추가 탐구

이게 어떤 식으로 탐지하는지 근본적인 탐지 기술을 알고 싶어 추가로 조사를 진행했다.

우선 JPG 사진의 경우 포렌식 툴에서 품질값을 역산하여, 품질 값이 해당 값에 일치하면 해당 플랫폼에서 다운로드 진행 한 것으로 판단한다

두번째 방법은 Software exif 탭에 Google과 같은 문자열이 있는지 확인 후 분류한다.

이 외에 다른 자료는 찾기 못하였지만, 이와 비슷한 방법으로 사진의 고유한 특징을 이용하여 분석하는 것으로 추정된다.

4. 추가 생각 (내가 기술보조인이라면…?)

만약 내가 형사 사건의 기술 보조인으로 포렌식 현장에 참관한다면, 수사기관이 Generator Signature나 EXIF Software 태그만으로 “이 사진은 SNS에서 받은 것이다”라고 단정 지으려 할 때 다음을 확인할 것 같다.

1. 변인통제 확인: RVS를 돌릴 때 Picture analysis처럼 무관한 옵션이 같이 켜져서 결과가 오염되지는 않았는지, 동일한 절차로 재현 가능한 값인지 확인한다.
2. 서명의 종류부터 구분: Generator Signature(양자화 테이블 기반, 조작이 어려움)인지, EXIF Software 태그(텍스트, 조작이 쉬움)인지 확인한다.
3. 단일 지표인지 교차검증인지: 서명 하나만으로 결론을 냈는지, 검색 기록·메신저 로그 같은 다른 디지털 증거와 함께 봤는지 확인한다.
4. 경로 추적의 공백: “트위터 서명이 있다”는 사실이 “트위터에서 직접 받았다”를 보장하지 않는다(구글 검색으로도 유입될 수 있다). 이 공백을 메우지 않고 의도까지 단정하는 건 아닌지 짚는다.
5. 정확도 고지 여부: 100% 확정적 증거처럼 제시되는지, 아니면 한계를 인정하고 정황 증거로만 쓰이는지 확인한다.
6. 파일 포맷 확인: 애초에 PNG 같은 무손실 포맷이면 위 방법 자체가 적용되지 않음

다만 이 체크리스트가 항상 의뢰인에게 유리하게만 작용하는 것은 아니다.

의뢰인이 “다운로드했다”고 주장하는데 직접 촬영한 것으로 의심되는 exif가 나온다면, 오히려 불리한 증거가 될 수도 있다.

기술 보조인은 의뢰인에게 유리한 결과가 나오든 불리한 결과가 나오든 그에 맞춰 말을 바꿔서는 안 되고, 증거를 있는 그대로 객관적으로 검토해야 한다.