0xMH

오늘은 다크웹하고 러시아 포럼들에 판매되는 Oski Stealer를 분석하겠습니다. Oski Stealer는 피해자의 Crypto Wallet (암호화폐 지갑)하고 브라우저 계정 정보를 탈취합니다. 그중에 Cookies하고 신용카드에 대한 정보가 하나입니다. 본 파일은 여기서 확인하실 수 있습니다. https://www.virustotal.com/gui/file/aa33731aa48e2ea6d1eaab7c425f9001182c0e73e0226eb01145d6b78d7cb9eb 샘플은 packer를 사용하는데 unpacme라는 홈페이지로 쉽게 unpac할 수 있습니다. Unpac된 샘플 hash는:fef1b5c7c365e85c0d0cfb58674844bd12acfc5298f9ffc5722b832fc9a54..

악성코드 Malware/Stealer 2022. 7. 1. 18:10

안녕하세요~ 오랜만에 모의 침투를 하겠습니다! 대부분 모의 침투 머신들은 유저 권한을 받아서 권한상승하고 끝! 이런 건데 오늘은 제가 가장 좋아하는 Active Directory misconfiguration에 대해 알아보겠습니다. 오늘 풀어볼 머신은 Object이라는 윈도우 머신입니다. 유저 shell은 8080 포트에 작동하는 Jenkins서버를 통해 받고, bloodhound이라는 tool로 Active Directory 환경을 enumerate하고 다른 유저 2명 장악해서 root.txt를 받습니다. Nmap를 확인해 보면 여러 개의 http 서버들이 존재한다는 것을 알 수 있는데, 우리의 첫번째 타깃은 8080번 포트입니다. 8080번 포트는 jenkins이라는 소프트웨어를 쓰는데, 새로운 유저..

HackTheBox 2022. 6. 26. 13:19

한 달 전에 새로운 Follina (CVE-2022-30190) 취약점이 발견됐을 때 그 취약점에 대한 글을 올렸는데 시간이 좀 지났으니 Threat Actor들은 이 취약점을 어떻게 악용해왔는지를 알아보도록 하겠습니다. APT 28 Fancy Bear Fancy Bear라는 이름으로 알려진 APT 28는 러시아의 정보총국 (GRU)하고 협조하는 것으로 알려져 있습니다. 2004년에 처음으로 나타났으며 현 우크라이나-러시아 갈등에 개입하는 것을 보면 이 APT는 아직까지도 활동적인 것을 알 수 있습니다. "Nuclear Terrorism A Very Real Threat.rtf" (핵 테러는 매우 실제적인 위협)이라는 파일을 유포시켰으며 우크라이나 국민들의 우-러 전쟁의 격화에 대한 두려움을 이용했습니다..

정보보안 뉴스 2022. 6. 24. 17:28

안녕하세요~ 오늘은 DiceLoader라는 악성코드를 분석하면서 제가 주로 악성코드 분석을 공부하는 유튜브 채널에 대해 얘기하고 싶습니다. 정보보안 강의들은 (OSCP, OSEP, SanS 강의 등) 비싸지만 악성코드 분석이 더욱 좁은 분야라서 악성코드 분석에 대한 강의들이 더 비싸겠지? 라는 생각을 했으나 유튜브에서 OALabs라는 채널을 발견했습니다. 악성코드 분석에 대해 아시는 분들은 알고 계시겠지만 OALabs는 훌륭한 unpacme하고 hashdb라는 IDA pro plugin을 만드신 분이십니다. 그것뿐만 아니라 Twitch에서 일주일에 2번 정도 악성코드 분석을 스트리밍도 합니다. 스트림의 vod을 다시 보기 위해 patreon에 올리는데 patreon는 구독하여 한 달에 한 3만원 내야 하..

악성코드 Malware/Dropper-Loader 2022. 6. 22. 15:40

윈도우 환경 모든 유저에게 여러 개의 권한들이 있습니다. 어떤 유저인지에 따라 권한도 다르겠죠. 모든 유저에게 admin 권한을 주는 것이 너무 위험하기 때문에 유저가 하는 역할에 따라 그 유저에게 필요한 권한만 주는 것이 더 안전합니다. 하지만 해커가 발견했을 때 권한 상승이 가능한 권한들이 있는데 그중에 오늘은 SeBackup이라는 권한에 대해 알아보겠습니다. 먼저 유저에게 무슨 권한이 있는지를 확인하기 위해 "whoami /priv"를 입력합니다. SeBackup하고 SeRestore가 있는데 위험한 권한입니다. 이름 그대로 Admin 권한을 주는 것보다 시스템을 backup을 할 수 있는 권한을 주는 것이죠. SeBackup하고 SeRestore 권한들로 해커는 다양한 파일들을 read, writ..

Windows 해킹/권한상승 2022. 6. 19. 13:04

오늘도 BlueTeamLabs의 침해사고대응/Incident Response 랩을 하나 풀어보겠습니다. 랩마다 질문에 답하기 위해 필요한 tool이 다른데 오늘 wireshark .pcap 파일을 분석해 보겠습니다. 시나리오에 따르면 직원 "Josh Morrison"은 이메일 받았고 내용은 파일을 하나 다운로드하라는 말이었습니다. 아울러 SOC팀에 따르면 링크는 악성파일을 가리키는 링크였답니다. Wireshark는 HTTP을 비룻한 다양한 packet들을 캡처합니다. DNS, ARP, SMB, HTTP 등! 위에 시나리오에 "다운로드" "링크" 같은 힌트가 많으므로 HTTP 패킷 위주로 분석해야 할 것 같습니다. 1번-6번 질문: http 필터를 사용하기 때문에 HTTP 패킷만 뜨는데 그 중에 수상한 ...

Blue Team 2022. 6. 18. 17:48

!!악성코드이기 때문에 다운로드하셔서 절대 실행시키지 마세요. 무조건 VM을 사용하세요!! Malware bazaar에서 저처럼 초보자에게 분석하기가 쉬운 악성코드가 뭐가 있는지 보다가 RegretLocker를 발견해서 오늘은 RegretLocker 랜섬웨어를 분석할 것입니다. 어려운 obfuscation이 전혀 업고 개발자게 남겨둔 strings가 많으므로 분석이 그렇게 어렵지는 않은 것 같습니다. 샘플을 여기서 다운로드가 가능합니다: https://bazaar.abuse.ch/sample/a188e147ba147455ce5e3a6eb8ac1a46bdd58588de7af53d4ad542c6986491f4/ MalwareBazaar | SHA256 a188e147ba147455ce5e3a6eb8ac1a4..

악성코드 Malware/랜섬웨어 2022. 6. 17. 14:49

AutoRun도 Startup 권한 상승하고 비슷합니다. AutoRun 서비스들은 유저가 로그인할 때마다 부팅되는 프로그램들입니다. (카톡, 디스코드 등) winPEAS에 따르면 program.exe라는 프로그램인 AutoRun 기능이 있습니다. winPEAS 말고도 reg query로 AutoRun 프로그램들이 존재하는지 확인할 수 있습니다. AutoRun 프로그램들은 주로 "Run"하고 "RunOnce"이라는 registry path에 저장되어 있으므로... reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 위에 사진에 따르면 우리에게 AllAccess가 있기 때문에 역시 reverse.exe를 활용해 권한상승이 가능할 것입니다. AutoRu..

Windows 해킹/권한상승 2022. 6. 15. 14:08