악성코드 분석자료, IT 보안 이슈, 소스코드 공유를 위한 블로그
개요 비교적 최근 있었던 샘플을 분석하며 정리한 내용입니다. 고객사로 부터 악성코드가 접수됐는데, 실행이 시간이 너무 오래 걸려, 자동분석 한계시간을 초과해 분석되지 않는 이슈가 있는 샘플이었습니다. 샘플은 THOR 랜섬웨어, Locky 랜섬웨어의 변종이고 출시된진 수개월이 지났지만 여전히 활발히 활동하는 랜섬웨어 중 하나입니다. Malwares.com 보고서 에서 이번 분석에 사용한 샘플의 해쉬 및 기타 정보를 확인할 수 있습니다. 이런…
개요 분석을 시작하면 Win32 PE 파일을 가장 많이 분석한다곤 하지만, 이 PE 파일도 컴파일러나 프레임워크에 따라 정말 세분화 되어있습니다. 당장 생각나는 것만 해도 VB, dotNet, C, C++, MFC, Delphi 까지… 풀스택 분석가의 길은 정말이지 멀고도 험하기만 합니다. ELF는 언제 하나요…? 어셈블리어만 볼 줄 알면 분석하는거 아닌가? 하는 접신의 경지에 오른 분석가분들도 계시지만 전 하찮은 미물일…
개요 분석을 하다보면 중국어로 된 웹사이트 방문기회가 잦습니다. 사실 웹이야 크롬 자체기능을 이용해서 자동번역이 되기에, 번역의 질은 둘째 손 치더라도 일을 진행할 순 있습니다만 문제는 중국어만 지원하는 프로그램에서 발생합니다. 프로그램에 표시된 중국어들은 드래그가 되는 것도 아니고, 네이버에 한땀한땀 그리고 싶어도 글자가 뚜렷하게 보이는 게 아니라 막막하기만 합니다. 우린 분석가잖아요, 리소스에서 뜯어올까요? OCR 기능을 이용할 수…
개요 분석을 하다 보면 COM Object 를 생성하는 함수인 CoCreateInstance() 란 API를 많이 접하게 됩니다. MSDN 은 이 함수를 “특정 CLSID1 를 통해 이와 연관된 초기화되지 않은 오브젝트를 생성하는 함수” 라고 설명합니다. 좀 풀어서 설명하자면, OS 와 기설치된 모듈에 구에받지 않고 어디에서든 동일한 기능을 쓸 수 있도록 지원하는 함수인데요, 쓰고자 하는 기능을 CLSID 를 통해…
개요 Stage2 에서 원격 프로세스의 RW 메모리에 기록한 쉘코드를 ROP 를 이용하여 실행하는 과정을 알아봤습니다. 쉘 코드를 인젝션 하고 실행했으니 이제 그만 잊어버릴 법 한데 아직 문제가 남았습니다. 하이젝한 쓰레드의 원래 동작을 복원하지 않으면 어떤 형태의 충돌이 일어날지 알 수 없기에, 해당 쓰레드를 원상복구 시켜줘야 합니다. 전체 소스코드 3단계. Restoration 복구는 어떤 과정으로 이뤄질까요? 일단…