지은이는 지은이

beginthreadex 함수를 실행하는 407720 이 주소를 올리디버거에서 따라가보자!! 여기서 강제로 프로그램 실행을 이 줄부터 실행되게 할 거기 때문에 오른쪽 클릭해서 New origin here를 클릭한다. 407720 주소 안에 들어가보면 adapter info를 받는 이 함수를 호출하는걸 볼 수 있는데, 이 부분을 올리디버거에서 한번 분석해보자. 주소값 409160을 찾아보자 bp 걸고 보면 409173에서 GetAdapterInfo 함수 call 하는 부분이 보인다. 이때 이 부분(inet)을 잘 봐야되는데 여기서 EDX에 주소값이 보임. (192.168.56.102) 이게 자신의 IP 값을 구하고 여기는 네트워크 대역대인 255.255.255.0을 구함! 이제 다시 407720로 다시 들..

INT3 - 디버거가 실행중인 프로그램에 브레이크 포인트를 거는 역할 (일시적으로 실행중인 프로그램에 bp 거는데 적합) - 다른 명령어들은 2바이트를 사용하는데 INT3 은 1바이트를 사용해서 명령어 패치하는데 적합함 - opcode: CC - 소프트웨어 브레이크 포인트로 사용됨 C/C++ 코드 bool IsDebugged() { __try { __asm int 3; return true; // debugger detected } __except(EXCEPTION_EXECUTE_HANDLER) { return false; // no debugger detected } } 만약 디버거가 없다면 예외가 발생하고 예외처리를 핸들러가 함 만약 디버거가 있다면 예외를 핸들러가 처리하지 않음 [참고] https:..

저번 글에 이어, 워너크립토의 메인함수... sub_407BD0을 분석해봅쉬당 더블 클릭 들어오자마자 beginthreadex 가 보이는데 이건 쓰레드를 만드는 함수 ㅎㅎ 쓰레드를 만들때 당연히 start_address 가 있어야함 워너크립토에서는 start_address가 loc_407720 으로 확인됨! 더블클릭~ 여기 안에도 beginthreadex가 보임!!!! 그 위에 있는 sub_409160을 더블클릭~ 여기서 GetAdapterInfo 라는 함수가 보이는데, 이 함수가 중요함!! 네트워크 어댑터를 식별하는 함수이다! 여기서 어댑터 드라이버에 대한 정보를 가지고 오고 이후에 네트워크 어댑터의 ip, subnet, gateway 주소 등을 가져오게 됨 -> 이거를 직접 확인해보기 위해서 직접 실..

워너크립토를 실행하고 SysAnalyzer로 분석을 해보자 레지스트리 모니터로 들어가면 실행파일을 확인 할 수 있다. 일단 워너크립토의 전체적인 암호화 분석 보다는 드로핑된 파일과 서비스된 파일 중에 네트워크를 담당하는 부분이 있는데 그 웜 부분만 분석을 해보장 아이다로 a.exe(랜섬웨어 실행파일)을 분석해봅쉬당 메인 함수에 킬스위치라는 부분이 나옴! 이렇게 생김 킬 스위치란? 랜섬웨어가 실행될때 저 인터넷 주소에 접속이 된다면 랜섬웨어가 실행을 안하고 종료됨. 가상기기를 우회하기 위해 넣었다는 의견도 있다.(https://www.boannews.com/media/view.asp?idx=54809) 저기서 접속이 잘 되면 인터넷 오픈을 한다 원래는 InternetOpenUrl 이라는 api를 쓴다! 이..

웜의 동작을 리버싱해보자! 윈도우 환경을 두개를 깔아줍니다. 이때 네트워크 설정은 'host only network'로 해서 외부 인터넷과 차단되게 설정해줍니다. (이때 ip가 각각 달라야함!!) 왜냐면 외부와 연결이 되면 그 연결이 끊겨버리는, 더 이상 악성코드가 동작하지 않는 환경이 됨!! 6b~ 로 시작하는 악성코드를 압축 해제하고 a.exe로 저장해준다 이때 이 실행파일을 SysAnalyzer에 넣고 분석하면 됨. 근데,,, 원래 얘가 부팅을 리부트를 할때 감염을 시켜서 SysAnalyzer에 넣고 분석을 하려고 해도 잘 안 보임 -> 그래서 와이어샤크로 분석해보자!! 우선 두 pc 모두 네트워크를 홈네트워크로 바꿔주자 와이어샤크 실행시키고 캡쳐하기~ 갑자기 이런 에러가 떴지만.. 일단 프로그램 ..

칼리 리눅스 가상환경을 만들어주고, msfconsole을 켜준다! (윈도우7도 가상환경 만들어주고 둘다 NAT network로 설정해서 ip 주소 다르게) 이터널블루를 검색해보자 이터널블루란? 이터널블루는 취약점 분석 도구이며, 워너크라이 랜섬웨어 공격에 일부로 사용되었다. 이터널블루는 마이크로소프트의 서버메세지블록(SMB) 프로토콜 구현의 취약점을 공격한다. 5개의 모듈이 보이는데, 이중에서 0번 모듈을 선택해서 사용하자! (use 명령어 사용) 이 다음, show options를 입력해서 공격할 곳에 대한 정보를 얻자 Required 에 Yes라고 되어있으면 반드시 필요한 부분, no는 필요 없는 부분 근데 지금 보면 yes라고 되어있는데 옆에 Current Setting에 비어있는 부분이 보임!! ..

https://www.techworm.net/2022/01/download-windows-7-iso-ultimate-professional-edition.html#google_vignette Download Windows 7 ISO File -Ultimate/ Professional (32/64 Bit) [2024] Windows 7 was released over a decade ago which was able to repair the damage of reputation and credibility done by the Vista debacle. Do you want to www.techworm.net

맥북에서 버추얼박스로 윈도우 여는데 자꾸 렉이 엄청나게 걸려서... 내 기록용으로 ㅜ 버추얼박스로 윈도우 렉걸리때 해결방법 / 버추얼박스 윈도우 화면 자동 맞춤 요거 눌러주고 좀 기다려주면 윈도우에서 일케 듬!! 저 버박 게스트 에디션 클릭해준다 요거 실행시킨다 항상 보면 저 설치 창이 파일 창보다 뒤에 떠서 밑에 상태바에서 클릭해서 위로 올라오게 한다 글고 그냥 다 ok 눌러서 설치 이제 리부트만 해주면!!!!!!! 오예~!~! 화면이 자동적으로 사이즈 맞춰지고 렉도 안걸리고~! 굳굳 [참고] https://www.youtube.com/watch?v=g6Lb7WMpV1M

웜 스스로 복제하는 컴퓨터 프로그램, 독자적으로 실행 1999년 이메일 주소를 수집하고 스스로 전달되는 형태로 인터넷 웜이 출현하며 용어가 알려짐 네트워크를 통해 자신의 복사본을 전송 네트워크를 손상 시키고 대역폭을 잠식 -> 통신 마비 웜 확산 방지 취약한 네트워크 통신 프로토콜을 사용하지 않음 방화벽에서 알려진 취약한 네트워크 프로토콜을 차단 취약한 어플리케이션 버전 패치 기본 공유 폴더 해제 윈도우 계정 패스워드 설정 기업, 개인의 보안 의식 강화 웜 확산 단계 웜의 유형 Mass Mailer 형 시스템 공격형 네트워크 공격형 대량의 메일 발송을 통해 확산 운영체제 고유의 취약점을 활용 -> 내부 정보 파괴, 시스템 파괴 특정 네트워크, 시스템에 대해 Dos 공격 수행 TCP 135/445 트래픽 ..

트로이 목마 (드로퍼) 겉보기에는 정상적인 프로그램으로 보이지만 실행하면 악성코드를 실행 보통 사회공학기법으로 퍼짐 동작 방식 오리지널 프로그램이 있다면 이 오리지널 프로그램 내부에 멀웨어가 담겨져 있음 오리지널 프로그램을 실행한다고 해서 멀웨어가 실행되지는 않고, 멀웨어를 extract 해야함 멀웨어가 밖으로 나오게 되면 오리지널 프로그램에서 Create Process 와 같은 api를 통해서 실행됨 결과적으로는 두개의 프로그램이 동시에 실행되는것!! (두개의 프로세스) 주요 API GetTempPath: 임시 파일로 지정된 디렉토리의 경로를 검색합니다. FindResource: 지정된 모듈에서 지정된 유형 및 이름을 사용하여 자원의 위치를 결정합니다. SizeofResource: 지정된 자원의 크기 ..