본문 바로가기
728x90

분류 전체보기

 (95)
기초 동적 분석, lab01-01.exe, lab01-01.dll 2020/04/16 - [study/Reversing] - 기초 정적 분석, lab01-01.exe, lab01-01.dll 분석하기 기초 정적 분석, lab01-01.exe, lab01-01.dll 분석하기 2020/04/16 - [study/Malicious code basic, Reversing] - 기초 정적 분석에 필요한 도구 기초 정적 분석에 필요한 도구 악성코드의 기능을 파악하기 위해서 코드나 프로그램의 구조를 분석해보아야 합니다. 하지.. hxxyxxn-1238.tistory.com 위의 정적분석에 이어 동적분석을 진행하는 포스팅입니다! 정적분석을 먼저 확인하고 와주세요. *저는 맥os에 가상머신 Virtual Box를 설치 후, window xp환경에서 진행하고 있습니다. *윈도우os에서..
기초 동적 분석에 필요한 도구 이전 포스팅까지는 정적 분석을 통해 악성코드를 보았습니다. 정적 분석하는 것을 아직 모르시는 분들은 이전 포스팅을 통해 알고 오시면 되겠습니다. 각 실습 예제 파일별로 여러가지의 분석도구들을 사용하였으니 참고하기시 바랍니다. 2020/04/16 - [study/Reversing] - 기초 정적 분석, lab01-01.exe, lab01-01.dll 분석하기 기초 정적 분석, lab01-01.exe, lab01-01.dll 분석하기 2020/04/16 - [study/Malicious code basic, Reversing] - 기초 정적 분석에 필요한 도구 기초 정적 분석에 필요한 도구 악성코드의 기능을 파악하기 위해서 코드나 프로그램의 구조를 분석해보아야 합니다. 하지.. hxxyxxn-1238.tis..
기초 정적 분석, lab01-04.exe lab01-04.exe를 분석해보겠습니다. 1. virustotal에 업로드 하고 보고서를 확인하자. 기존 안티바이러스 정의된 것과 일치하는가? 72개중에 61개의 엔진에서 악성코드라고 판단이 되었습니다. 아마 이 파일은 트로이목마 파일인 것 같고, 역시나 win32형태입니다. downloader가 있는 것을 보니 네트워크를 통해 무언가를 다운로드 해오는 것 같습니다. import는 3개의 dll이 있습니다. 연결된 url과 도메인, ip들을 볼 수 있습니다. 만약 이것이 실제 악성코드라면, 알 수없는 주소로 가서 좋지않은 것들을 다운로드해올 가능성이 있으니 의심을 해봐야합니다. 이 exe파일은 어떤 특정 실행하는 파일이 연관되어있는것이 하나 더 있음을 알 수 있습니다. 그리고 url, domain, i..
기초 정적 분석, lab01-03.exe lab01-03.exe를 분석해보겠습니다. 1. virustotal에 업로드 하고 보고서를 확인하자. 기존 안티바이러스 정의된 것과 일치하는가? 총 70개중 62개의 엔진에서 악성코드라고 판단하였습니다. 분석된 이름을 보면 트로이목마라고 대부분 되어있고, win32형태이며 FSG패커를 사용한 파일이라고 추측이 가능합니다. 요약부분입니다. 해당 부분을 보면 url과 domain, ip에 컨택이 될 것 같습니다. 이후에 string에서 문자열로도 확인이 가능하겠지만,url주소와 domain, ip주소도 미리보기가 가능합니다. ip주소들은 미국에 위치한 주소들임을 알 수 있었습니다. 2. 패킹이나 난독화의 흔적이 있는가? 그 이유는? PEiD를 통해 확인해보겠습니다. 패킹은 위에서 확인한 바와같이 FSG패커로..
기초 정적 분석, lab01-02.exe lab02를 진행해보겠습니다. 이전과 같은 방식으로 진행됩니다. 파일은 악성코드 예제인관계로 업로드가 되질않네요.. 1. Virustotal에 업로드 하고 보고서를 확인하자. 기존 안티바이러스 정의된 것과 일치하는가? 72개의 엔진 중에 54개에서 악성코드로 탐지하였습니다. 안티바이러스의 이름을 확인가능합니다. 대부분 트로이목마라고 되어있는 것으로 보아 형태를 알 수 있고, win32형태로 동작한다는 것, 그리고 downloader라는 단어가 나옴으로 인해 네트워크 기반으로 악성코드가 동작함을 유추할 수 있습니다. 이 파일은 win32 타입이고, 패커의 종류도 미리 알수 있습니다. upx패커인지는 peid를 통해 확인해보겠습니다. import는 4가지 dll로 되어있는데, advapi32.dll은 익숙하..
기초 정적 분석, lab01-01.exe, lab01-01.dll 분석하기 2020/04/16 - [study/Malicious code basic, Reversing] - 기초 정적 분석에 필요한 도구 기초 정적 분석에 필요한 도구 악성코드의 기능을 파악하기 위해서 코드나 프로그램의 구조를 분석해보아야 합니다. 하지만 악성코드를 직접 실행하면 피해가 올 수 있으니, 실행하지 않고 분석하는 과정인 정적분석의 기본을 알아보고자 합니다.. hxxyxxn-1238.tistory.com 앞 포스팅을 보고오시면 더 이해하기 쉽습니다. 1. virustotal에 업로드 후 보고서 확인하기/ 기존 안티바이러스 정의된 것과 일치하는가? 이전 포스팅에 한번 진행된 부분이라 생략하겠습니다. 2. 이 파일의 컴파일 시점? - PEviewer이용 exe파일의 컴파일 시간은 2010/12/19 16:..
기초 정적 분석에 필요한 도구 악성코드의 기능을 파악하기 위해서 코드나 프로그램의 구조를 분석해보아야 합니다. 하지만 악성코드를 직접 실행하면 피해가 올 수 있으니, 실행하지 않고 분석하는 과정인 정적분석의 기본을 알아보고자 합니다. 주요 사용 기법은 다음과 같습니다. 1. 악성 여부를 판단하는 안티 바이러스 도구 2. 악성코드를 판별하는 해시 정보 검증 3. 파일의 문자열, 함수, 헤더에서 주요 정보 수집. 1. 안티바이러스 스캐닝 악성코드 실행 및 탐지에 사용할 수 있는 사이트가 있습니다. https://www.virustotal.com/gui/home VirusTotal www.virustotal.com 해당 사이트는 구글이 인수하여 운영되고 있습니다. 때문에 UI도 보기 편하고 간단하게 업데이트 되고 있습니다. 악성코드 예제 ..
악성코드 분석- 기초 정적 분석, PE파일(2) 2020/04/09 - [study/Malicious code basic, Reversing] - 악성코드 분석- 기초 정적 분석, PE 파일 악성코드 분석- 기초 정적 분석, PE 파일 윈도우에서 가장 많이 악성코드로 제작되어 배포되는 PE 파일에 대해 알아보겠습니다. PE(Portable Excutable)파일 - win32 기본 파일형식 - exe, scr, sys, dll ... PE파일의 실행과정은 다음과 같습니다. 1. PE.. hxxyxxn-1238.tistory.com 이전 글을 참고해서 이번엔 메시지 창이 뜨는 코드를 직접 작성하고, 그 파일을 분석해보겠습니다. #include void main() { MessageBoxA(NULL, "test", "test", 0); Sleep(300)..
728x90
반응형

티스토리툴바