Studying •• 📝

Qakbot 악성코드를 차근차근 분석해보겠습니다.이번 포스팅에서는 패킹되어 있는 파일을 언패킹하고, 언매핑된 형식과 매핑된 형식에 대해 알아보겠습니다.샘플 해시(SHA256)는 73e4969db4253f9aeb2cbc7462376fb7e26cc4bb5bd23b82e2af0eaaf5ae66a8입니다.  [파일 정보 분석 및 추출]VirusTotal에서 확인해보면 다음과 같은 정보를 얻을 수 있습니다.오버레이(overlay)를 가지고 있습니다.Qakbot 악성코드입니다.이상한 이름의 섹션이 있습니다.아마 패킹된 것 같습니다.  DIE로 확인하면 이 샘플이 Borland Delphi로 컴파일되었다는 것을 알 수 있습니다. PE-bear로 확인해보면 export 함수가 하나(DLLRegistreServer)만 ..

지난번에 언패킹한 Hancitor 악성코드를 이어서 분석해보겠습니다.샘플(패킹된 dll) 해시(SHA256)는 8ff43b6ddf6243bd5ee073f9987920fa223809f589d151d7e438fd8cc08ce292입니다.   언패킹한 DLL의 imports 중에서 ADVAPI32.dll이 있었습니다. 해당 DLL의 여러 암호 관련 API들을 사용하는 것을 확인할 수 있습니다. 이번 포스팅에서는 암호화 과정에 대해 분석해보겠습니다.  언패킹한 DLL을 IDA pro로 열어보겠습니다. IDA의 색상 바에서 미탐색 영역(Unexplored)을 살펴보겠습니다. 우선적으로 데이터를 처리하는 함수나 색상 바의 미탐색 영역(Unexplored)에서 암호 관련 정보를 찾아보려고 합니다.  미탐색 영역(Un..

Hancitor 악성코드를 차근차근 분석해보겠습니다.이번 포스팅에서는 패킹되어 있는 DLL을 언패킹하고 IAT를 추출해보겠습니다.샘플 해시(SHA256)는 8ff43b6ddf6243bd5ee073f9987920fa223809f589d151d7e438fd8cc08ce292입니다.  샘플을 PE-bear로 확인해보겠습니다.먼저 import된 항목들을 보면 흥미로운 DLL이나 API는 없습니다. (이 샘플이 패킹된 악성코드임을 알고 있긴 하지만) 네트워크 통신, 암호화 관련 DLL이 없는 것으로 보아 샘플이 패킹되었다고 의심해볼 수 있는 특징입니다.  또 pestudio 툴로 sections를 확인해보면 .data 섹션의  raw 크기와 virtual 크기 간의 차이가 큰 것을 확인해볼 수 있습니다. .dat..

Secure Mail은 보안 메일의 비밀번호를 찾는 문제입니다.   이번 리버싱 문제는 html 파일입니다. 실행하면 비밀번호를 입력할 수 있는 폼이 있습니다.  html는 비밀번호를 입력하고 Confirm 버튼을 클릭하면, 입력한 비밀번호를 파라미터로 하는 내부 javascript 함수 _0x9a220를 호출합니다.   JS: _0x9a220 함수 분석_0x9a220가 자바스크립트의 메인 함수로, 입력된 생년월일을 검사합니다.   _0x9a220는 변수 file에 저장된 데이터를 복호화(AES-128-CBC)하여 변수 dfbora에 저장하고 이를 기반으로 검증을 수행합니다.   입력된 생년월일을 for문을 통해 자체적인 알고리즘을 거쳐 난독화된 데이터로 변수 odradurs1에 저장합니다.   입력 받..

correct를 출력하도록 하는 문자열을 찾는 문제입니다.   문제 파일 chall2.exe를 실행해보니 Input 문자열을 통해 입력값을 받습니다.x64dbg를 통해 Input 문자열을 참조하는 곳에 BP를 걸고 실행해보겠습니다.   Input 문자열을 출력하는 주소에 break가 걸려 멈췄습니다.그 아래부터 입력값을 받고(0x7FF72C421164), 입력값을 비교하여(0x7FF72C42116E),Correct 혹은 wrong 문자열을 출력(0x7FF72C42118D)합니다.   0x7FF72C42116E에서 호출하는 0x7FF72C421000 주소에서 입력값을 비교하기 때문에 정답이 있을 것 같습니다. 입력받은 값과 정답을 비교하는 부분을 찾았습니다.     먼저 첫 번째 문자가 0x7FF72C42..