Shake2Malware 검색 결과

해당 글 3건

악성코드 분석 첫번째

첫 악성코드 분석 보고서 분석 대상: - 2d6a657cad7add2d9911d306e96a47ac_QUOTATION_RFQ 분석 환경: - host: Windows7 64bit, Vmware Workstation 12 - cuckoo sandbox 1) guest: winxp 32bit2) guest: win7 32bit 정적 분석 결과------------------------------------------------------------------------------------------------------------ [그림] PEID [그림] Detect It Easy NeoLite Packer를 사용하여 패킹을 했음을 확인할 수 있었다. 파일은 win32 gui임을 확인할 수 있었다. [그..
Shake2Malware/악성코드분석보고서 2017. 5. 11. 19:16

메모리 포렌식을 이용한 DKOM으로 은닉된 프로세스 찾기

DKOM을 이용한 프로세스 은닉 기법 - 커널 오브젝트란 커널에서 관리하는 정보를 담은 데이터 블록이다. - 윈도우는 실행중인 프로세스를 EPROCESS 구조체로 관리하며, 이는 연결리스트로 이어져있다. - EPROCESS 구조체 안에 LIST_ENTRY의 구조체 멤버에서 FLINK와 BLINK를 수정하여 프로세스를 은닉시킨다. [그림] DKOM으로 은닉한 프로세스 도식화 Volatility를 사용해 메모리를 분석할 때 효율적인 분석을 위해 따르는 절차 [그림] 메모리 덤프 파일 분석 절차 => 침해 사고가 발생해 악성코드 감염이 의심되는 시스템에서 생성한 메모리 덤프 파일을 분석하기 위해서는 위와 같은 6단계의 절차를 이용하여 메모리 분석을 진행할 수 있다 -------------------------..
Shake2Malware/rootkit 2017. 5. 4. 22:35

Windbg로 커널 디버깅하기

[그림] vm -> setting 커널 디버깅을 하기 위해서는 Serial Port를 추가해 줄 필요가 있다. 이는 전원을 끈 상태에서, Vm에서 setting을 들어가면 된다. [그림] Serial Port Serial Port를 수정하는 장면이다. Output to named pipe를 선택한다. [그림] Serial Port 초기 파이프 이름은 위 그림에서 처럼 \\.\pipe\com_1로 나온다. 이를 복사해두거나 기억해두자.(굳이 기억하지 않아도 나중에 찾아서 하면 되긴 한다.) [그림] Edit -> Preferences Windbg가 붙지 않아서 고생했었는데, 다음과 같은 작업을 해주어야 한다. [그림] Devices Edit -> Preferences로 들어가서, Devices로 진입한 후..
Shake2Malware/rootkit 2017. 5. 4. 22:14