본문 바로가기

Study34

Malware Analysis Series (MAS) – Article 5 Alexandre Borges의 블로그 Exploit Reversing의 악성코드 분석 시리즈 'Malware Analysis Series(MAS)'를 번역하여 공부해보고, 배운대로 분석해본지 벌써 2달이 지났습니다. 벌써 5번째 아티클을 리뷰하는 게시글이네요.이번 다섯 번째 아티클에서는 x64 악성코드 분석에 대해 다룹니다. [Instruction]악성코드 분석 시리즈(MAS) 다섯 번째 아티클에 오신 것을 환영합니다. 이 시리즈의 주요 목표는 악성코드 분석에 대한 기초 개념과 실제적으로 적용 가능한 접근 방식을 제공하여, 필요한 기술을 습득하고 스스로 분석하고 학습하는 길을 나아갈 수 있도록 돕는 것입니다. 그동안의 시리즈로 보셨다시피 어려운 샘플은 제시하지 않을 것입니다.앞의 네 개의 아티클에서 .. 2025. 3. 25.

Malware Analysis Series (MAS) – Article 4 Alexandre Borges의 블로그 Exploit Reversing의 악성코드 분석 시리즈 'Malware Analysis Series(MAS)'를 리뷰하며 공부해보겠습니다. 네 번째 아티클에서는 MAS 시리즈 처음으로 .NET에 대해 다룹니다. Malware Analysis Series (MAS) – Article 4 [Instruction]이번 아티클에서는 처음으로 .NET 악성코드 분석에 대해 다뤄볼 것입니다. 여러 가지 기술과 트릭들로 어려울 수 있지만, MSIL(Microsoft Intermediate Language)로 코드를 디컴파일하고 원본에 근접한 고급 .NET언어로 코드를 제공해주는 dnSpy와 ILSpy 같은 훌륭한 도구들이 도움이 될 것입니다. 하지만 일부 커스텀된 인코딩과 .. 2025. 3. 6.

Managed code / Unmanaged code / Native code 차이 Managed code[정의]관리형 환경에서 실행되는 코드 [특징]CLR(Common Language Runtime)에서 실행되며 CLR은 다양한 관리 작업을 자동으로 처리해줍니다.가비지 컬렉션(Garbage Collection)을 통해 메모리 할당과 해제를 자동으로 처리합니다.예외 처리가 또한 자동으로 이루어집니다.코드 실행 중 발생할 수 있는 보안 문제를 관리형 환경이 처리해줍니다..NET Framework나 Java 같은 관리형 런타임을 통해 여러 플랫폼에서 동일한 코드를 실행할 수 있습니다.CLR은 코드를 실행할 때 디버깅과 프로파일링을 지원해줍니다. [예시]C#VB.NET Unmanaged code[정의]운영체제나 런타임 환경의 자동 관리 없이 실행되는 코드 [특징]운영체제의 메모리 관리를 수.. 2025. 2. 27.

Malware Analysis Series (MAS) – Article 3 Alexandre Borges의 블로그 Exploit Reversing의 악성코드 분석 시리즈 'Malware Analysis Series(MAS)'를 리뷰하며 공부해보겠습니다. 세 번째 아티클은 제어 흐름 평탄화(control flow flattening), API 리졸빙, C2 IP 주소 복호화 과정에 대한 내용입니다. Malware Analysis Series (MAS) – Article 3 [Instruction]우선 진행하기 전에, 가상 머신의 스냅샷을 찍고 네트워크 통신 및 공유 폴더를 꺼두는 것을 추천합니다. 랜섬웨어를 다루는 것은 아니지만 악성코드 샘플을 분석할 때 가상머신이 로컬 네트워크에 노출되지 않도록 하세요.저는 분석을 수행하기 위해 REMnux와 Windows 8.1/10 (64.. 2025. 2. 17.

바이너리에서 암호화된 문자열 추출(복호화)하기 악성코드는 흔히 XOR 연산을 통해 난독화하고 내부 데이터를 숨깁니다.이를 복호화하는 python 스크립트에 대해 공부해보겠습니다. (스크립트는 모두 Alexandre Borges의 "Malware Analysis Series(MAS) – Article 2"를 참조하였습니다.) 샘플 해시(SHA256)는 73e4969db4253f9aeb2cbc7462376fb7e26cc4bb5bd23b82e2af0eaaf5ae66a8입니다.해당 샘플은 Qakbot 악성코드로 언패킹한 후 진행하였습니다. 먼저 악성코드의 자체 복호화 함수를 살펴보겠습니다.복호화 루틴 sub_100085dC를 보면, 두 번째 인수는 암호화된 문자열로 0x1001D5A8에 있고 새 번째 인수인 복호화 키는 주소 0x1001E3F8에 있습니다.. 2025. 2. 6.

Malware Analysis Series (MAS) – Article 2 Alexandre Borges의 블로그 Exploit Reversing의 악성코드 분석 시리즈 'Malware Analysis Series(MAS)'를 리뷰하며 공부해보겠습니다. 두 번째 아티클은 API 리졸빙, C++ 구조체에 대한 내용입니다. Malware Analysis Series (MAS) – Article 2 [Instruction]이번 아티클에서는 간단한 악성코드 Qakbot을 분석하며 문자열 복호화, API 리졸빙, C++ 구조체 그리고 C2 데이터 추출에 대해 설명해보겠습니다. 요즘에는 패킹되지 않은 악성코드가 꽤 드물기 때문에 네이티브(native) 코드를 언패킹할 때 breakpoint를 설정해야할 API에 대해 알아두는 것이 좋습니다. API 목록은 아래와 같습니다.CreatePr.. 2025. 1. 16.

이전 1 2 3 4 5 6 다음

티스토리툴바