지은이는 지은이

문서형 악성코드란?- 문서형 악성코드는 일반적인 악성코드(실행파일, exe)과는 달리 문서형 파일(doc, hwp, pdf 등)으로 존재- 내부에 매크로와 같은 취약점을 실행하게하는 부분이 있어서 최종적으로 악성코드가 실행되는 것 분석하기 위해선?가장 쉬운 방법은 가상머신에 올려서 직접 동작을 확인해보는 것하지만 이 방식으로는 구체적으로 어떤 코드가 실행되고 이런것은 안보이기 때문에 구체적으로 분석하려면 툴이 필요함 문서형 악성코드의 형식- OLE 형식: 객체 연결 삽입(object linking and embedding), 애플리케이션 사이에서 객체를 공유하는 기술, zip 파일 형태를 지닌 것들도 있음- RTF 형식: 서식 있는 텍스트 포맷(rich text format)등.. MS오피스 악성 HTA..

https://www.hybrid-analysis.com/sample/fac69c4b9785cdc861c8fae99998a1ad011cf2e98456a1891bd29bcc990897f0?environmentId=100 Free Automated Malware Analysis Service - powered by Falcon Sandbox - Viewing online file analysis results for 'Rech-82559693785Hybrid Analysis requires that users undergo the Hybrid Analysis Vetting Process prior to obtaining an API key or downloading malware samples. Please..

https://www.hybrid-analysis.com/sample/378cad5cd01226de423b71f4081c18d2a0479b648a829d0e355f55d0863f2c79?environmentId=100 Free Automated Malware Analysis Service - powered by Falcon Sandbox - Viewing online file analysis results for '0245262.doc'Loading content, please wait...www.hybrid-analysis.com 여기서 밑으로 내려가다 보면 이 부분을 복사 한다. 이 난독문의 마지막 부분을 보면 이렇게 끝나는데== 으로 끝나는것을 보아 base64로 인코딩 되었음을 알 수 있다. 이걸..

자바스크립트 파일을 분석해봅시다 .doc파일이 아니라 .js파일임! 노트패드로 열어보면 이렇게 나옴 word wrap 을 누르면 자동줄바꿈이 된다! 맨 밑으로 내려가면 eval() 함수가 보이는데 이거는 스크립트를 실행하지 않고 마지막에 t42가 뭔지 출력해보면 됨!! 이 내용을 이제 복사를 해서 크롬에 붙여넣어보자 크롬에 아무 사이트 들어가서 F12를 눌러서 개발자 도구 꺼내고 콘솔에 붙여넣기 누르고 엔터 누르자. 여기서 eval() 이 실행됐을 때 에러가 뜬 걸 볼 수 있다. 그러면 eval() 을 지우고 다시 실행시켜 보자! 요렇게 나오는데, 이게 t42에 들어간 내용이랑 똑같음!! 이 t42 부분을 카피를 하자! 그리고 자바스크립트로 실행을 할건데, 일단 인터넷에 javascript beautif..

저번에 b.exe로 저장한 taskche.exe를 IDA로 다시 열어보자 이 실행파일 내에서 t.wnry를 사용하는 부분을 찾아야 하기 때문에 strings 에 들어가서 찾아준다! 그러면 요기에 이렇게 보인다. 더블클릭해서 들어가서 ctrl+x 누르면 XREF 따라갈 수 있음!! (또는 그냥 XREF 부분 더블 클릭) 그러면 이쪽으로 온다 (Win Main 함수임) 여기에서 자세히 보면 이렇게 밑에서 함수를 호출하는 것을 볼 수 있다!! 이 함수를 들어가서 더 자세하게 분석을 해보면, 함수 호출 전 오프셋으로 지정한 파일명(t.wnry)의 파일을 열고 사이즈 얻고 등등 작업을 해주고 파일 시그니처가 WANACRY! 가 맞는지 확인 하는 부분이 있다. 이 부분은 전 게시글에서도 파일 분석하면서 적어놨지만 ..

2024.03.23 - [study/보안] - WannaCrypto 리소스 파일 추출 WannaCrypto 리소스 파일 추출 워너크립토 랜섬웨어를 실행하게 되면 킬스위치, 네트워크 전파, 파일 드로핑 되는 것 까지 나와있음 그 다음에는 리소스가 동작함! 리소스에서 tasksche.exe 실행파일이 동작한다. 여기에서 a.zip lucykorea414.tistory.com 위 게시글에서 파일에 대한 설명을 간략히 알아볼 수 있었는데, 실제로 분석을 해봅시다!! msg 폴더 언어 종류별로 다 적혀있다. 아마 화면에 랜섬웨어 메세지 띄울때 시스템의 언어를 감지하여 언어별로 출력할 수 있게 미리 만들어놓은것인듯!! b.wnry 얘를 실행하니 갑자기 바탕화면이 까만색으로 바뀌었다... 내용은 이렇게 되어있는데 아..

전에 이미 랜섬웨어에 걸린 윈도우에서 pestudio를 열어준다 여기에 이제 C드라이브에 있는 a.exe를 드롭해주면 이렇게 떠야 하는데... 더보기 나는 왜 안뜰까 ㅜㅜ 이렇게 아무것도 안뜸... 뭐지? 일단 강의 내용 바탕으로 쓰기.. 이 a.exe 같은 경우에는 킬스위치, 네트워크 전파, 드로핑하고 파일을 설치하는 등의 일들을 함!! 여기서 리소스를 클릭하면 a.exe 안에 숨겨진 파일을 볼 수 있음!! 맨 위에 있는 R 의 dump를 떠서 바탕화면에 b.exe로 저장해줍니당 (얘가 사실 나중에 taskche.exe 임) 이걸 다시 pestudio로 열자~~ 여기에 resources(PKZIP) 이라고 있음!!! 여기서 보면, 전체 b.exe 파일의 크기의 98퍼를 이 pkzip 파일이 차지하는 것..

워너크립토 랜섬웨어를 실행하게 되면 킬스위치, 네트워크 전파, 파일 드로핑 되는 것 까지 나와있음 그 다음에는 리소스가 동작함! 리소스에서 tasksche.exe 실행파일이 동작한다. 여기에서 a.zip 파일을 꺼내서 추가적인 작업을 실행한다. 이 a.zip에 대한 파일들을 간략히 분석하면 다음과 같다. 파일/폴더명 내용 b.wnry 파일 암호화 후 설정되는 바탕화면 이미지 c.wnry Tor 네트워크 설정파일 (다운로드, 비트코인 계좌 주소) r.wnry 랜섬웨어 감염에 따른 비트코인 결제 안내문 (txt 파일) s.wnry Tor 네트워크 실행 모듈 (zip 압축 파일) t.wnry 암호화 모듈 파일 (.WNRY 형태로 암호화 되어 있음) -> 프로세스 시스템에 들어가서 직접적으로 암호화 수행 (암호..

랜섬웨어 - 몸값을 뜻하는 Ransome + 제품을 뜻하는 Ware - 사용자의 동의 없이 컴퓨터에 불법으로 설치되어 사용자의 파일을 암호화 - 암호화된 파일을 인질로 잡아 금전을 요구하는 악성코드 랜섬웨어의 주요 증상 - "랜섬웨어에 감염이 되었습니다" 돈을 요구하는 협박 메세지 페이지 출력 - 파일, 문서 등 암호화 되어 있음 - 암호화된 파일을 열 수 없음 - 중요 시스템 프로그램이 열리지 않음 - 별도의 다른 악성코드를 심기도 함 - 실행되면 숙주 파일이 사라지는 경향이 있어 한번 암호화 끝나면 다시 암호화 되지 않음 - MBR을 악성 MBR로 교체하여 부팅 안되게끔 함 주요 전파 경로 - 침투: 이메일이나 악성 사이트에 악성코드 삽입 - 감염: 사용자의 이메일 첨부파일이나 악성사이트에 의한 감염..

beginthreadex 함수를 실행하는 407720 이 주소를 올리디버거에서 따라가보자!! 여기서 강제로 프로그램 실행을 이 줄부터 실행되게 할 거기 때문에 오른쪽 클릭해서 New origin here를 클릭한다. 407720 주소 안에 들어가보면 adapter info를 받는 이 함수를 호출하는걸 볼 수 있는데, 이 부분을 올리디버거에서 한번 분석해보자. 주소값 409160을 찾아보자 bp 걸고 보면 409173에서 GetAdapterInfo 함수 call 하는 부분이 보인다. 이때 이 부분(inet)을 잘 봐야되는데 여기서 EDX에 주소값이 보임. (192.168.56.102) 이게 자신의 IP 값을 구하고 여기는 네트워크 대역대인 255.255.255.0을 구함! 이제 다시 407720로 다시 들..