[태그:] X-Ways

1. 서론

윈도우 메모장에서 수업 내용을 필기 하고 , 중요하지 않은 내용인 것 같아 우상단의 X 버튼을 눌러서 메모장을 종료했다.

다음 수업 때 메모장을 다시 쓸 일이 생겨서 확인해보니 필기내용이 그대로 남아 있었다.

저장하지 않았는데도 내용이 남아 있다는 건, 메모장이 어딘가에 기록을 따로 보관하고 있을 것 같고, 이 기록을 포렌식으로 찾아내 증거로 쓰일 수 있을 것 같아, 구글링과 LLM으로 자료를 조사해보고 X-Ways로 직접 확인하였다.

2. 저장 위치

메모장의 상태 파일은 아래 경로에 저장된다.

%LOCALAPPDATA%\Packages\Microsoft.WindowsNotepad_8wekyb3d8bbwe\

폴더	파일	내용
LocalState\TabState	{GUID}.bin	탭 하나당 파일 하나. 탭 본문이 들어 있음
LocalState\TabState	{GUID}.0.bin, {GUID}.1.bin	탭의 커서 위치, 보기 설정 등 상태 정보
LocalState\WindowState	*.0.bin, *.1.bin	열린 탭 개수, 탭 순서, 창 위치
Settings	settings.dat	메모장 설정 (레지스트리 하이브 형식)

tip : .0.bin과 .1.bin은 번갈아 가며 갱신된다! 둘 중 Sequence Number가 큰 쪽이 최신 파일이다!

3. X-Ways로 직접 확인해보기

우선 메모장을 켜 아무 내용이나 작성한 다음 메모장을 종료한다.

관리자 권한으로 X-Ways를 실행 한 후 C드라이브를 케이스에 추가한다.

드라이브가 추가되면 %LOCALAPPDATA%\Packages\Microsoft.WindowsNotepad_8wekyb3d8bbwe\ 폴더로 이동한다.

위 두개의 사진 하단의 미리보기를 보면 영어로 된 메모는 잘 나오는데 반해 한국어로 된 메모는 다 깨져서 나온다. 이는 파일이 손상 된 것이 아니라 X-Ways가 ASCII형태로 미리보기를 보여줘 깨져서 출력 되는 것이다.

View -> Character set No. 1 -> Unicode UTF-16 LE, misaligned 를 클릭하여 UTF-16 LE 형태로 미리보기를 출력 형태를 변경하면 깨짐 없이 볼 수 있다!

TIP : 본문이 0x0F, 즉 홀수 오프셋에서 시작한다. 그래서 UTF-16 LE 가 아니라 misaligned에서만 한글이 보인다!

위 과정을 거치면 안녕하살법! 이라는 메모가 그대로 잘 보인다!

NP파일을 바이트 단위로 하나하나 설명을 하자면 아래 표와 같다.

오프셋	바이트	필드	해석
0x00	4E 50	Signature	“NP”
0x02	00	Sequence Number	0 (탭 본체 파일)
0x03	00	TypeFlag	0 = 한 번도 저장하지 않은 새 탭
0x04	01	Unknown	공개 자료와 같은 고정값
0x05	06	SelectionStart	6
0x06	06	SelectionEnd	6 (선택 없이 6번째 글자 뒤에 커서)
0x07	01	WordWrap	자동 줄 바꿈 켜짐
0x08	00	RightToLeft	꺼짐
0x09	00	ShowUnicode	꺼짐
0x0A	03	MoreOptions 길이	뒤에 3바이트가 더 있음
0x0B	01 01	Unknown ×2	맞춤법 검사·자동 고침 관련으로 추정
0x0D	01	Formatting	1 = 서식 없음(일반 텍스트)
0x0E	06	ContentLength	6 (글자 수)
0x0F	48 C5 … 21 00	Content (12바이트)	안 녕 하 살 법 !
0x1B	01	Unsaved	1 = 저장되지 않은 내용 있음
0x1C	EF 41 00 97	CRC32	아래에서 검증

4. 마무리 글

이번 실험으로 메모장에서 저장하지 않은 내용도 TabState 파일에 그대로 남아 있고, X-Ways로 찾아 확인할 수 있다는 것을 직접 확인했다.

조사하면서 재미있는 점도 하나 알게 됐다. 공개 자료에 따르면 저장하지 않은 편집은 Unsaved Buffer Chunk(커서 위치, 지운 글자 수, 입력한 글자 수, 입력한 글자, CRC32) 단위로 쌓이고, 이 청크를 순서대로 재구성하면 무엇을 쳤다가 지웠는지까지 복원할 수 있다고 한다.

다만 이번에 확인한 파일은 CRC32에서 끝나서 청크가 없었다. 공개 자료에서는 메모장을 닫을 때 청크가 본문에 합쳐진다고 하는데, 어떤 조건에서 청크가 남는지는 다음 실험에서 확인해 볼 예정이다.

참고 문헌

ogmini, Notepad-State-Library, https://github.com/ogmini/Notepad-State-Library

AbdulRhman Alfaifi, notepad_parser, https://github.com/AbdulRhmanAlfaifi/notepad_parser

Velociraptor, TabState artifact, https://docs.velociraptor.app/exchange/artifacts/pages/tabstate

1. X-Ways Excire 기능이란?

X-Ways Excire(익사이어) 기능은 사진 속 내용을 AI가 자동으로 분석해주는 기능이다.

X-Ways를 구매하면 Excire 설치파일을 메일로 전송해 주지만 X-Ways에 내장되어 있지 않아서 별도의 설치가 필요하다.

이번 글에서는 X-Ways 설치 후 Excire 설치방법을 설명한다.

2. 설치 링크 받는법

https://www.x-ways.net/winhex/license.html

위 링크에 들어가서 구매할 때 사용한 이메일 주소를 입력하면 15분 뒤 메일로 내가 보유한 라이센스 설명과 다운로드 링크가 정리된 메일이 도착한다.

위 메일에서 Viewer component, Excire Forensics, | Mplayer, Tesseract(필수는 아니지만 권장)을 다운로드 한다.

3. 설치 및 확인

다운로드가 완료되면 X-Ways 설치 폴더 안에 viewer, Excire, Mplayer,Tesseract 폴더를 직접 만들고 각 압축 파일의 내용물을 넣는다.

복사가 완료되면 동글을 끼우고 X-Ways를 실행 뒤 F10를 누른다

Picture analysis and processing 탭 체크를 누르고 … 버튼을 눌러 Excier 창이 뜨는지 확인한다.

이후 사건에 맞게 Excire 설정을 한 다음 RVS 실행이 정상적으로 된다면 설치가 완료된 것이다!

Tip : PhotoDNA와 Excire는 다르다! PhotoDNA는 X-Ways가 법 집행기관에만 제공하는 해쉬기반 아청물 탐지 기능이다!

1.서론

유튜브 쇼츠를 보던 중 다운로드 한 파일과 직접 촬영한 사진을 경찰 포렌식에서 구별 가능하다고 이야기 하는 영상을 보았다. 여기에 한 발 더가서 다운로드 한 파일이 트위터에서 받았는지 구글, 페이스 북 어디서 받았는지 까지 경찰이 포렌식 하면 다 알 수 있다고 주장하는 영상을 보았다.

촬영한 사진과 다운한 사진은 exif가 크게 차이 나니 구별이 기술적으로 가능 하다고 생각이 드는데 다운로드한 파일이 어디서 다운했는지 구별하는게 기술적으로 가능한지 의문이 들었다.

그래서 X-Ways의 RVS기능을 이용하여 직접 실험 해보기로 마음먹었다.

2. 실험 및 결과

tip : X-Ways excire ai와 다르게 RVS는 기본 탑재된 기능으로 추가로 셋팅할 필요가 없다!

우선 X-Ways를 실행하고 사진 디렉토리를 case에 추가한다.

F10을 눌러 RVS 팝업창을 띄운다음, Extract internal metadata, browser history and events 체크 한다 (나머지 체크는 선택사항)

실행이 완료되면 상단 리스트를 왼쪽으로 당겨서 결과를 확인한다.

트위터에서 받은 사진을 진짜로 구분하였다! 다른 출처의 사진들도 제대로 구별하는지 추가로 확인 하였다.

DSLR, 구글에서 다운한 사진도 제대로 구별하였다.

다만, 100% 모두 다 정확한 건 아니였고 체감 상 65-70% 정도의 정확도가 보였다. 공군 로고의 경우는 다운로드 출처는 정확했지만, 디바이스 타입이 틀리게 판정되었다.

위 rvs 실행결과가 완벽한 증거가 되기보단 수천개의 파일이 있을때 의심되는 것을 빠르게 추려주는 1차 필터로 쓰이기에는 좋을 것 같다.

3. 추가 탐구

이게 어떤 식으로 탐지하는지 근본적인 탐지 기술을 알고 싶어 추가로 조사를 진행했다.

플랫폼	품질값(JPG)	출처
Twitter(X)	Q_f ≈ 85 (4:2:0 변환 후 재압축 시)	Chuman, Iida, Sirichotedumrong, Kiya, “Image Manipulation Specifications on Social Networking Services for Encryption-then-Compression Systems”, arXiv:1810.02062
Facebook (HQ)	Q_f 71~85 (이미지마다 변동)	위와 동일

우선 JPG 사진의 경우 포렌식 툴에서 품질값을 역산하여, 품질 값이 해당 값에 일치하면 해당 플랫폼에서 다운로드 진행 한 것으로 판단한다

두번째 방법은 Software exif 탭에 Google과 같은 문자열이 있는지 확인 후 분류한다.

이 외에 다른 자료는 찾기 못하였지만, 이와 비슷한 방법으로 사진의 고유한 특징을 이용하여 분석하는 것으로 추정된다.

4. 추가 생각 (내가 기술보조인이라면…?)

만약 내가 형사 사건의 기술 보조인으로 포렌식 현장에 참관한다면, 수사기관이 Generator Signature나 EXIF Software 태그만으로 “이 사진은 SNS에서 받은 것이다”라고 단정 지으려 할 때 다음을 확인할 것 같다.

1. 변인통제 확인: RVS를 돌릴 때 Picture analysis처럼 무관한 옵션이 같이 켜져서 결과가 오염되지는 않았는지, 동일한 절차로 재현 가능한 값인지 확인한다.
2. 서명의 종류부터 구분: Generator Signature(양자화 테이블 기반, 조작이 어려움)인지, EXIF Software 태그(텍스트, 조작이 쉬움)인지 확인한다.
3. 단일 지표인지 교차검증인지: 서명 하나만으로 결론을 냈는지, 검색 기록·메신저 로그 같은 다른 디지털 증거와 함께 봤는지 확인한다.
4. 경로 추적의 공백: “트위터 서명이 있다”는 사실이 “트위터에서 직접 받았다”를 보장하지 않는다(구글 검색으로도 유입될 수 있다). 이 공백을 메우지 않고 의도까지 단정하는 건 아닌지 짚는다.
5. 정확도 고지 여부: 100% 확정적 증거처럼 제시되는지, 아니면 한계를 인정하고 정황 증거로만 쓰이는지 확인한다.
6. 파일 포맷 확인: 애초에 PNG 같은 무손실 포맷이면 위 방법 자체가 적용되지 않음

다만 이 체크리스트가 항상 의뢰인에게 유리하게만 작용하는 것은 아니다.

의뢰인이 “다운로드했다”고 주장하는데 직접 촬영한 것으로 의심되는 exif가 나온다면, 오히려 불리한 증거가 될 수도 있다.

기술 보조인은 의뢰인에게 유리한 결과가 나오든 불리한 결과가 나오든 그에 맞춰 말을 바꿔서는 안 되고, 증거를 있는 그대로 객관적으로 검토해야 한다.

X-Ways Forensics를 연구실이 아닌 출장,대회(CTF) 등 여러 사유로 다른 곳에서 사용을 해야하는 경우가 있다.

위와 같은 상황에서 X-Ways 동글을 도난 당하거나 사고 등으로 파손되는 것을 대비하여 동글을 보험 모드로 변환 하는 법에 설명한다.

0. 보험모드란?

보험을 들지 않은 상태에서 동글을 분실하면 동글 재발급이 불가능하고 약 600만원이나 하는 X-Ways Forensics 라이센스가 사라진다.

만약 보험모드를 활성화 한 상태에서 동글을 분실하면 면책금 약 200유로와 동글값, FeDEX 배달료만 지불하면 라이센스 증발 없이 동글을 새롭게 받을 수 있다.

동글을 보험 모드로 전환하면 제한된 회수(최대 40회)만큼만 프로그램을 실행 할 수 있게 바뀐다. 정해진 회수를 모두 사용 할 경우 더이상 실행이 되지 않으며, 인터넷이 연결된 X-Ways Forensics 환경에서 실행 가능한 회수를 충전 할 수 있다.

1.보험모드 활성화 방법

상단 메뉴바에서 Help -> Dongle 를 눌러 동글 탭으로 들어간다.

보험모드를 활성화 한 적이 없으면 Normal, unlimited use (no insured)에 체크되어 있을 것이다.

바로 아랫줄에 있는 Protected, Limited use (insured)를 체크하면 이메일 주소를 입력하라는 창이 뜬다. 이 곳에 작성한 이메일 주소는 추후 보험모드를 해제하거나 분실 신고시 사용자 인증을 하는 이메일 주소로 사용되니 반드시 2번이상 확인하고 이메일 주소를 작성하자.

이메일 주소를 적고 안내사항을 읽으면서 Next를 누르면 보험모드가 활성화 된다.

실행 가능한 회수가 모두 소진 되었을 경우 Top up 버튼을 누르면 다시 충전이 된다.

TIP) 보험모드와 비 보험 모드를 자주 바꿀 경우(총 3~5회 이상), 더 이상 보험모드를 활성화 하지 못하는 불이익이 있을 수 있다. 한번 보험 모드를 활성화 했으면 특별한 상황이 아니면 비 보험 모드로 변경하지말고 쭉 보험모드로 사용하는 것을 권장한다.

2.보험 모드가 안 뜰 경우

보험 모드를 활성화 하기 위해서는 아래 3가지 조건을 모두 만족해야한다.

1. 라이센스가 영구 버전이여야함

2. X-Ways Forensics 동글이여야 함(imager,investigator 동글은 보험 불가)

3. 유료 업데이트 기간이 남아 있어야 함

위 3가지 조건 중 하나라도 만족하지 않으면 사진2처럼 보험모드와 관련된 메뉴가 뜨지 않는다.

+TIP) X-Ways Forensics을 구매할때 동글이 배송오기전 사용을 위해서 BYOD 인증서를 추가로 구매 한 경우에는 위 3가지 조건이 모두 만족하더라도 보험모드 메뉴가 뜨지 않는다.
BYOD 인증서가 만료될 때까지 기다린 다음에 X-Ways 고객센터에 문의하면 새로운 인증코드를 받을 수 있다.
새로운 인증코드를 Activation code from X-Ways: 칸에 넣은 뒤 X-Ways를 재실행하면 사진1 처럼 보험모드 메뉴가 새롭게 생긴다.