본문 바로가기

전체 글
58

Reversing.kr - Replace 패킹되거나 난독화된 걸로는 보이지 않으니 바로 디버거로 분석을 시작해보자. 분석하기에 앞서 사용된 API 이름들을 살펴보자. 첫 줄부터 DialogBox를 이용한다는 것을 알 수 있고, getDlgItemInt를 통해 해당 Dialog에서 입력값을 정수 형태로 받고 있음을 알 수 있다. 그러니 GetDlgItemInt가 있는 40509C에 BP를 걸어서 살펴보자. 나타난 Dialog에는 123이라는 정수를 입력해주었다. 이후 Check를 클릭하면 40466F로 이동한다. 이 상태에서 더 진행하려고 하면 Access Violation으로 인해 더 실행할 수가 없다. eax의 위치에 90을 이동시켜야 하는데, eax가 현재 60160646(메모리 영역 밖)에 있으므로 이러한 예외가 발생한다. 406000.. 2025. 11. 30.
Reversing - [CodeEngn] Malware L08 pdf로 받은 이 Flow 자체를 천천히 살펴보자. 가장 처음으로 눈에 띄는 것은 "Install"이다. .inf 파일을 기반으로 Install의 여부를 결정하거나 어떤 파일을 설치하려는 것으로 보인다. 문제에서 요구한 것은 악성코드의 설치가 아니라 실행이니, 이에 포커스를 맞춰 다시 살펴보자. ShellExecuteExA라는 함수이름이 눈에 띈다. loc_4025F4에서 해당 함수를 실행하고, 만약 실행이 실패하면 00402606 -> loc_40261E로 넘어가 다시 실행을 시도한다. 여기서도 실패한다면 다시 loc_4025F4로 돌아가 계속해서 실행을 시도하는 것을 확인할 수 있다. 그러므로 이 문제의 Flag는 004025F4이다. 2025. 11. 26.
[241204] 겐드크랩v5 악성코드 동작 과정 악성코드 세부 분석 2025. 11. 21.
[241128] 매그니베르 악성코드 분석 악성코드 실행 순서도 악성코드 동작 과정 악성코드 세부 분석 void encrypt(uint8_t *input, uint8_t *output, size_t length) { uint8_t key = 0x8C; // 초기 키 값 size_t counter = 0x3F63; // 처리할 바이트 수 for (size_t i = 0; i = length) break; // 범위를 초과하면 종료 uint8_t byte = input[i]; byte ^= key; // XOR 연산 output[i] = byte; key--; // 키 값을 감소 if (key == 0) { key = 0xFE; // 키가 0이 되면 대체 값으로 설정 } }}- v28 함수를 .. 2025. 11. 21.
[241120] RedLine 악성코드 실행 순서도악성코드 동작 과정 악성코드 세부 분석 2025. 11. 21.
[241115] 파밍 악성코드 분석 악성코드 동작 과정 악성코드 세부 분석 2025. 11. 21.
[241107] 키로거 악성코드 분석 악성코드 동작 과정1. 뮤텍스 생성2. DLL 로딩 및 초기화, 실행 상황 제한3. 백그라운드 스레드에서 현재 포그라운드 윈도우 제목을 기록하고 키로깅4. DLL 언로드 시 리소스 해제 악성코드 세부 분석 결과 2025. 11. 21.
[241101] jesusnews 구분http://www.jesusnews.org.sazMD57f8d0303d40aa2a3e3657b94777d67b7주요 동작1. http://www.jesusnews.org 페이지가 로드되면 브라우저를 감지하여 ssdch.onmam.com으로 이동 2. 모바일 장치 탐지 시 http://www.onmam.com으로 이동, 그게 아니라면 hompy.onmam.com/Hompi/HomMain.aspx?hompi_num=67668로 이동 3. 이후 ponbuy2.eumshop.com/himg/kcp/ak.gif를 통해 http://www.nalgaefilm.co.kr/cij/01/al.html로 이동하고 http://www.zungo.co.kr/popup/b/index.html 팝업을 띄움C&C 서버초기 페.. 2025. 11. 21.
[241101] heavenheart 구분www.heavenheart.org.sazMD570127f47c7ebcf782415c0ad3f36abcbC&C 서버- 초기 페이지 – http://www.heavenheart.org- 랜딩 페이지1 – heavenheart.onmam.com - 랜딩 페이지2 – hompy.onmam.com/Hompi/HomMain.aspx?hompi_num=74480 - 랜딩 페이지3 – http://ponbuy2.eumshop.com/himg/kcp/ak.gif- 랜딩 페이지4 – http://www.nalgaefilm.co.kr/cij/01/al.html- 랜딩 페이지5 – http://www.zungo.kr/popup/b/index/html- C&C 주소 – http://carenbeauty.com/.. 2025. 11. 21.
[DreamHack] rev-basic 9 F5를 통해 디컴파일하여 분석을 시작하자.정적 분석main 함수char형 배열 `v4` 에 256개의 원소가 들어갈 수 있는 공간을 스택에 할당malloc과 같은 할당이 아니기 때문에 힙이 아닌 스택에 공간이 생성됨에 유의. `memset(v4, 0, sizeof(v4));` 를 사용해 `v4` 의 256바이트를 0으로 설정`"Input : "` 을 출력한 후, `v4` 에 256바이트의 문자열을 사용자에게 입력받아 저장`sub_140001000` 함수에 `v4` 를 인자로 주어, 반환값이 True라면 `"Correct"` 출력sub_1400012E0위의 다른 예제들과 같이 sub_1400012E0 함수 내부의 sub_1400011B0 함수의 _stdio_common_vfprintf 함수를 통해 sub_.. 2025. 11. 21.
[DreamHack] rev-basic 8 F5를 통해 디컴파일하여 분석을 시작하자.정적 분석main 함수 char형 배열 `v4` 에 256개의 원소가 들어갈 수 있는 공간을 스택에 할당malloc과 같은 할당이 아니기 때문에 힙이 아닌 스택에 공간이 생성됨에 유의. `memset(v4, 0, sizeof(v4));` 를 사용해 `v4` 의 256바이트를 0으로 설정`"Input : "` 을 출력한 후, `v4` 에 256바이트의 문자열을 사용자에게 입력받아 저장`sub_140001000` 함수에 `v4` 를 인자로 주어, 반환값이 True라면 `"Correct"` 출력sub_1400011B0 위의 다른 예제들과 마찬가지로 sub_1400011B0 내부의 sub_140001080 함수의 _stdio_common_vfprintf 함수를 통해 su.. 2025. 11. 21.
[DreamHack] rev-basic 7 F5를 통해 디컴파일하여 분석을 시작하자.정적 분석main 함수char형 배열 `v4` 에 256개의 원소가 들어갈 수 있는 공간을 스택에 할당malloc과 같은 할당이 아니기 때문에 힙이 아닌 스택에 공간이 생성됨에 유의. `memset(v4, 0, sizeof(v4));` 를 사용해 `v4` 의 256바이트를 0으로 설정`"Input : "` 을 출력한 후, `v4` 에 256바이트의 문자열을 사용자에게 입력받아 저장`sub_140001000` 함수에 `v4` 를 인자로 주어, 반환값이 True라면 `"Correct"` 출력sub_140001120 지금까지는 별도의 함수를 통해 _stdio_common_vfprintf 함수를 찾아내어 printf 함수임을 알아냈지만, 이번 sub_140001120 함.. 2025. 11. 21.

최근댓글

최근글

skin by © 2024 ttutta

티스토리툴바