[DFE] 윈도우 스티커 메모(Windows Sticky Notes )

개요

Windows 스티커 메모는 사용자가 메모를 작성하고 관리하는 기본 앱이다. 메모 내용이 로컬 SQLite DB 파일로 저장되기 때문에 포렌식 관점에서 유의미한 아티팩트가 된다.

본 내용

스티커 메모 데이터는 다음과 같은 경로에 존재한다.

C:\Users(사용자명)\AppData\Local\Packages\Microsoft.MicrosoftStickyNotes_8wekyb3d8bbwe\LocalState\plum.sqlite

 

해당 경로에서 SQLite 프로그램으로 실행 후 Note 테이블을 보면 현재 로컬에 존재하는 메모를 확인 가능하다.

sqlite, table(note)

 

DB에서 확인 가능한 Create At, Update At의 시간은 Microsoft Ticks 방식으로 실기 시험 시 Decode 프로그램을 이용하여 확인하면 된다. 단, 여러가지 실험 결과 사용자는 TimeZone을 UTC+0900으로 맞추어도 반영이 안되어, 직접 +0900을 해야했다.

 

+ 추가. 아마 UTC로도 변동 없는 것으로 보아 동작 방식이 TimeZone 영향에 안 받고 UTC 고정인 것 같다.

 

 

Dcode

 

주의사항

 

---

참고문헌