問題
解いてみた
ファイルをダウンロードして解凍するとddファイルがありました。
FTK Imagerで開いてみます。
確かにファイルがあることは確認できました。
そしてサイズが0になってることも確認できました。
ファイルを削除してるんならすぐ復元できそうですが、サイズ0で上書きした場合ってどうやって復元するんでしょう？
ちょっとわからなかったので、自分の端末で同じことをやってみました。
一度テキストに文字を書いて、それを保存。
そのあと文字を全部消して保存。
そのあとFTKで読み込んで、検索。
ということをやってみましたが、結果はヒットしませんでした。
イメージの中にFirefoxのデータもあったので、Firefoxで何かIDとpassを入力したんでしょうか。
そうするともしかするとブラウザにIDとpassを記録しているかもしれません。
Roaming以下をすべてこれに入れ替えてFirefoxを実行して確認してみます。
ログインとパスワードのところを見てみましたが、結果的に何も登録されていないようです。
Web履歴を見てみます。
ほとんどyahooしか見てないです。
問題になってたマルウェアにアクセスしていることもわかります。
んー。
もしかして$MFTに直接書かれてる？
確か、短い文字ならそのまま書かれたはず。
それっぽいところを見つけました。
イマイチ仕様がよくわかってませんが、とりあえず「.」がないところの連続した文字列を入力したら正解でした。