[악성코드 분석] 동적 분석

[2022.09.26]

[String]

<악성 코드로 의심되는것들>

www.practicalmalwareanalysis.com

Practical Malware Analysis

 

2)Video Driver : 파일 복제 시 키( 파일 복제 시 키: Lab03-01.exe → vmx32to64.exe)

 

 

 

[Lab03-01.exe]

 

Lab03-01.exe 실행 파일을 분석하라

 

1.악성코드의 임포트 함수와 문자열은 무엇인가?

 

1) 분석 도구 : PEiD, D/W, String

2) 분석 결과

<PEiD>

- 암호화가 되어 있음

 

<D/W>

- ExitProcess, Kernel32.dll

 

<String>

- Exitprocess, kernel32.dll

- 네트워크정보(URL)

- VideoDriver, WinVMX32, vmx32to64

- 레지스트리 정보

- VideoDriver : 레지스트리 키

- WinVMX32 : vmx32to64 복제

- vmx32to64 : Lab03-01.exe의 복제 파일

 

 

2. 호스트 기반 표시자는 무엇인가?

1) 분석 도구: Strings , D/W, P/M, P/E

2) 결과 분석 :

- URL, WriteFile

 

3. 악성코드로 인식할 수 있는 네트워크 기반 시그니처가 존재하는가?

1) 분석 도구 : String , P/M , P/E , WireShark, NetCat

2) 분석 결과 :

 

[Lab03-01.dll]

- Lab03-02.dll 파일을 분석하라.

 

1. 악성행위에 사용된 임포트 함수나 문자열을 알아낼 수 있는가?

1) 분석 도구 : PEiD, D/W, P/E, P/M , Strings

2) 분석 결과 :

• 패킹이나 난독화는 안됨
• 악성행위 함수 : CreateProcessA, CreateThread, GetProcAddress ,GetTempPathA, LoadLibraryA등 …