woonadz :)

Q1. We need to identify the process responsible for this suspicious behavior. What is the name of the suspicious process? python vol.py -c config.json -f memory.dmp windows.pstree 가장 처음 의심스러운 프로세스를 특정하기까지 과정은 동적으로 볼 수가 없다보니 좀 때려맞췄습니다.. 하하 pstree 플러그인을 이용하여 목록을 확인하였고, winlogon.exe 하위 프로세스로 ChromeSetup.exe가 있는 것을 보았습니다. 악성코드들은 지속성을 확보하기 위해 자동 실행 레지스트리 키를 등록해두는 경우가 많습니다. 그래서 자동 실행 레지스트리 키에 등록된 악성코드..