0xMH

저번 블로그에서 Darkside를 되게 재밌게 분석을 해서 이번에도 다른 랜섬웨어를 분석하고 싶었는데 많은 악성코드들 중에 어느 랜섬웨어가 가장 좋고 그나마 접하기가 쉬울지 고민하며 찾아보다가 Babuk이라는 샘플을 찾게 되었습니다. Babuk의 encryption routine 빼고 남은 기능들은 다크사이드보다 분석하기가 훨씬 쉽고 다크사이드와 달리 Babuk는 dynamic IAT를 만들지 않고 중요한 string들도 전혀 암호화되어 있지 않고 plaintext입니다. 랜섬웨어에 대해서 궁금해하시는 분들은 아마 Babok부터 시작하는 것이 좋을 것 같습니다! 샘플은 여기서 다운로드하시면 됩니다: https://bazaar.abuse.ch/sample/704a0fa7de19564bc743fb68aa06..

악성코드 Malware/랜섬웨어 2022. 11. 13. 17:26

다크사이드는 command line parameter를 쓰는 기능을 갖고 있는데 자기 encryption 루틴을 활용하고 폴더를 하나 선택하여 그 폴더만 암호화시킵니다. PathIsUNCServerW를 활용하여 유효한 UNC (Universal Naming Convention) 서버가 존재하는지를 확인합니다. 그렇지 않은 경우네는 PathisNetworkPathW를 불러오고 "make_path"이라는 변수로 path를 직접 만드는 것이 보입니다. 이제부터 재밌어집니다. 아랫 내용은 로그파일에 저장될 것이고, 유용한 스트링들이 보입니다. 다양한 Encryption 속도가 있는 것 같고, I/O 활용해서 multithread encryption을 사용하는 것 같습니다. Part 1에서 언급했던 토켄이 다시 ..

악성코드 Malware/랜섬웨어 2022. 11. 5. 11:33

2021년 5 월조쯤에 Colonial Pipeline이라는 기업이 랜섬웨어 악성코드 공격의 피해자 되었는데, 이 기업은 미국의 East Coast 연료 공급 50%를 담당합니다. 상황이 심각해지며 미국 18개의 주에서 비상상태 선포되었습니다. 과연 이 랜섬웨어가 무엇을 하는 악성코드인지, 무슨 기능을 갖고 있는 것인지에 대해 알아보겠습니다! 지금까지 이 블로그에서 분석해왔던 악성코드들 중에 가장 어려운 것이라서 두 파트로 나누겠습니다! 샘플은 MalwareBazaar에서 다운로드 가능합니다. https://bazaar.abuse.ch/sample/151fbd6c299e734f7853497bd083abfa29f8c186a9db31dbe330ace2d35660d5/ PE Studio를 확인하자마자 유용한 ..

악성코드 Malware/랜섬웨어 2022. 11. 1. 13:42

!!악성코드이기 때문에 다운로드하셔서 절대 실행시키지 마세요. 무조건 VM을 사용하세요!! Malware bazaar에서 저처럼 초보자에게 분석하기가 쉬운 악성코드가 뭐가 있는지 보다가 RegretLocker를 발견해서 오늘은 RegretLocker 랜섬웨어를 분석할 것입니다. 어려운 obfuscation이 전혀 업고 개발자게 남겨둔 strings가 많으므로 분석이 그렇게 어렵지는 않은 것 같습니다. 샘플을 여기서 다운로드가 가능합니다: https://bazaar.abuse.ch/sample/a188e147ba147455ce5e3a6eb8ac1a46bdd58588de7af53d4ad542c6986491f4/ MalwareBazaar | SHA256 a188e147ba147455ce5e3a6eb8ac1a4..

악성코드 Malware/랜섬웨어 2022. 6. 17. 14:49

주의사항: Malware 혹은 악성코드를 분석할 때 원래 쓰는 운영체제를 절대 쓰지 마세요. 항상 악성코드를 위한 랩 환경을 쓰세요!! Vmware, Vbox 등! 안녕하세요! 오늘은 wannacry ransomware 파트 2 할 겁니다! 지난주는 wannacry의 IOC를 분석하고 Ghidra를 잠깐 돌려봤는데, 오늘은 더 자세하게 Ghidra의 도움으로 Reverse Engineering 할 예정입니다! 여러분의 관심을 불러일으키기 위해서 일단 발견된 것들 중에 가장 재밌는 것을 보여 드릴게요. 분석하다가 c.wnry라는 파일을 발견했는데 보니까 TOR 브라우저 주소가 나오네요!!! 그리고 bitcoin 주소까지? 재밌네요. 그냥 재미로 blockchain.com에 주소를 입력하였는데 뭘 발견했냐면..

악성코드 Malware/랜섬웨어 2022. 5. 19. 19:19

주의사항: Malware 혹은 악성코드를 분석할 때 원래 쓰는 운영체제를 절대 쓰지 마세요. 항상 악성코드를 위한 랩 환경을 쓰세요!! Vmware, Vbox 등! 안녕하세요~ 오늘 블로그는 제가 malware를 분석할 때 저의 방법론에 대해 알려 드리면서 Wannacryt이라는 Ransomware 예시로 실습하겠습니다. ​ 1) 랩 환경 ​ 왼쪽 사진: Remnux이라는 VM을 사용합니다. Remnux는 특별히 Reverse-Engineering 하고 Malware 분석을 위한 VM입니다. 여기서는 inetsim이라는 tool을 쓰며 http, smb 같은 네트워크 서비스들을 모방하는 역할을 해줍니다. 오른쪽 사진: flareVM이라는 VM을 사용합니다. flareVM는 악성코드 분석의 Kali Lin..

악성코드 Malware/랜섬웨어 2022. 5. 19. 19:18