[Forensic Cases] 허위 의사록 작성 이력을 분석하라 !!!

1. 사건개요

- 혐의자 P는 K와 공모하여, L이 참석하지 않았음에도 L명의의 회의록을 작성하여 G에게 행사하였다.

 

2. 분석 요청사항

- 2XX7. 4. 15. 이사회 회의록 관련 자료 존재 여부

- 각 파일의 작성 일시 및 수정일시

 

3. 분석대상

- Western Digital WD800, 80GB

 

4. 분석 도구

- EnCase

 

5. 분석 결과

가. 운영체제 설치 정보 확인

- User 계정 사용자가 2XX7. 10. 29. Windows XP를 설치하였고, 2XX9. 6. 5. 마지막으로 정상 종료

- 본건 분석물은 혐의 시점으로 부터 6개월 뒤에 운영체제를 새로이 설치한 것임

 

나. 이사회회의록 관련 자료 발견

- 해시값 기준으로 6개 종류의 총 9개의 문서파일이 발견

- 그 중 5개의 파일은 삭제되었으나 디스크에서 복구된 것임

 

다. 발견된 각 파일에 대한 파일시스템 상의 시간정보, 한글 문서정보에 기록된 시간정보 분석

(1) 레지스트리 분석

- 2XX7년 4월경 이사회 회의를 개최하고, 그로부터 6개월 뒤 윈도우 운영체제를 새로 설치한 사실 확인

 

(2) NTFS 파일시스템 상의 시간정보 변화 패턴 분석

- 위 발견된 데이터는 외부 저장매체에 보관하였다가, 운영체제 설치 후 2XX9. 2. 24. 위 디스크에 다시 복사한 것으로 추정

 

(3) 한글 문서정보에 기록된 시간정보 변화 패턴 분석

- '작성한 날짜' : 한글 문서를 최초로 작성한 날짜이며, 한글 파일을 최초로 작성한 컴퓨터에서 외부 저장매체로 복사하더라도 갱신 안됨

- '마지막으로 수정한 날짜' : 한글 문서의 내용을 마지막으로 수정한 날짜이며, 한글 파일을 마지막으로 수정한 컴퓨터에서 외부 저장매체로 복사하더라도 갱신 안됨

- '마지막으로 저장한 사람' : 한글 문서의 내용을 마지막으로 저장한 사람의 윈도우 계정명임

 

따라서 위 디스크에서 발견된 L 명의의 회의록 파일의 최초 작성 날짜는 2XX7. 4. 5이며, 이 날짜에 초안이 작성된 후, 'KKK', 'SSS', 'AAA'에게 파일이 전달된 사실이 있고, 2XX9. 2. 24. 본건 디스크로 다시 복사된 것으로 추정