Forensic Artifacts
-
Windows Registry
Registry Artifacts
MRU List
MRU List
- 사용자가 최근에 열거나 실행한 파일 및 폴더 정보 확인
- 파일 및 폴더 실행 정보를 통한 사용자 행위 파악 가능
- 실행창에 입력한 정보 확인
RecentDocs
- HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs
- 최근 실행한 문서, 그림, 동영상 등의 파일
- MRUListEx 키 값을 통해 열어본 순서 확인 가능
RunMRU
- HKU\{USER}\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RunMRU
- “시작” – “실행” 또는 “Ctrl + R”을 통해 실행한 명령 목록
- 최근 실행한 명령 순서는 MRUList 알파벳 순서
LastVisitedPidMRU
- HKU\{USER}\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\LastVistitedPidMRU
- 탐색기를 통해 열어본 폴더 목록
- MRUListEx 키 값을 통해 열어본 순서 확인 가능
OpenSavePidMRU
- HKU\{USER}\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSavePidMRU
- 탐색기를 통해 열어보거나 저장한 파일 목록
RecentDocs
MiTeC Windows Registry Recovery 분석
- 실제 레지스트리 경로를 찾아가 최근 실행한 폴더 및 문서 정보 확인
- RecentFiles View 프로그램을 활용하여 최근 실행한 폴더 및 문서 정보 확인
- 최근 실행한 폴더 및 문서의 MAC Time을 확인하여 실행 순서 파악 가능
RunMRU
MiTeC Windows Registry Recovery 분석
- 실제 레지스트리 경로를 찾아가 최근 실행 창에 입력한 명령 목록 파악
OpenSavePidMRU
MiTeC Windows Registry Recovery 분석
- 실제 레지스트리 경로를 찾아가 탐색기를 통해 열어보거나 저장한 파일 목록 확인
- Opensavefilesview 프로그램을 활용하여 탐색기를 통해 열어보거나 저장한 파일 분석
- OpenSaveFile 프로그램에 기록된 파일의 MAC Time을 확인하여 실행 순서 파악 가능
LastVisitedPidMRU
MiTeC Windows Registry Recovery 분석
- 실제 레지스트리 경로를 찾아가 탐색기를 통해 열어본 폴더 목록 확인
MRUList
- Lastactivityview 프로그램을 활용하여 사용자의 시스템 사용 흔적 분석
- 열어본 폴더 목록, 설치된 응용프로그램, 실행된 파일, 서비스 실행 등 사용자의 흔적을 확인할 수 있어
RecentDocs, OpenSavepidMRU, ShellBag, Prefetch 등과 같은 아티팩트 분석에 유용
