Skip to content
Windows네트워크중간

Windows Bluetooth 페어링

Windows는 페어링된 Bluetooth 장치를 HKLM의 BTHPORT 키에 MAC·이름 포함하여 저장하며, 페어링 해제 후에도 정보가 남습니다.

artifact_type: portable_device

저장 위치

기본 파일시스템 경로 및 레지스트리 위치입니다. 라이브 대응 도구나 디스크 이미지 분석 도구로 수집합니다.

  • $HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Devices\

포렌식 의의

이 아티팩트가 결정적 증거로 작용하는 주요 시나리오입니다.

  • Identifying a suspect's personal phone via Bluetooth name
  • Data exfiltration via Bluetooth file transfer
  • Pairing suspect's headset to compromised workstation

MITRE ATT&CK 매핑

이 아티팩트가 탐지·입증에 기여하는 기법들. 공식 MITRE 페이지로 이동합니다.

T1011.001

파싱 도구

unJaena AI 및 기타 DFIR 도구가 이 아티팩트에서 증거를 추출하는 데 사용됩니다.

unJaena AI
RegRipper
Registry Explorer

관련 아티팩트

macOS

macOS Bluetooth plist

시스템 Bluetooth 구성 plist에 페어링된 장치의 MAC 주소, 표시명, 장치 타입, 마지막 연결 시각이 기록됩니다.

Windows

USB 연결 기록

Windows는 연결된 모든 USB 대용량 저장장치를 제조사·모델·시리얼 번호와 최초·최종 연결 시각까지 기록합니다.

Windows

Shell Bags (셸백)

Windows 탐색기가 폴더 방문 시 뷰 설정을 UsrClass.dat에 저장합니다. 폴더가 삭제되었거나 연결 해제된 외장 드라이브의 경로라도 접근 흔적이 남습니다.

Windows

Amcache.hve

Windows 8부터 도입된 호환성 데이터베이스로, 실행된 모든 PE 파일의 SHA-1 해시, 전체 경로, 서명자, 최초 실행 시점을 기록합니다.

수작업으로 아티팩트를 뜯어보는 시대는 끝났습니다

unJaena AI는 디스크 이미지, 라이브 대응 산출물, 모바일 백업을 수집 후 이 페이지의 아티팩트와 200종 이상을 자동 상관 분석하여 수사관 수준의 타임라인을 생성합니다.

unJaena AI 체험 →