기초 정적 분석 - Lab01-02.exe

1) Virustotal에 업로드 하고 보고서를 확인하자. 기존 안티바이러스 정의된 것과 일치하는가?

악성 코드로 판단된다.

 

2) 패킹이나 난독화의 흔적이 있는가? 이유는?

EP Section을 보니 UPX로 패킹되었음을 알 수 있다.

 

upx를 언패킹하고, 다시 확인해보면

 

microsoft visual C++로 컴파일 되었음을 알 수 있다.

 

3) 임포트를 보고 악성코드의 기능을 알아 낼 수 있는가? 그렇다면 어떤 임포트를 보고 알 수 있었는가?

ADVAPI32.dll의 CreateService는 서비스 오브젝트를 작성하여 지정된 서비스 제어 관리자의 데이터베이스에 추가하는 함수이다.

또, WINNET.dll에 InternetOpen 함수가 있는데, 이는 URL을 통해 데이터를 받아오는 함수이다.

이를 보아 이 파일은 URL에서 데이터를 받아 지정된 관리자의 데이터베이스에 해당 데이터를 추가하는 작업을 수행하는 것을 알 수 있다.

 

4) 감염된 장비에서 이 악성코드를 발견하기 위해 사용한 네트워크 기반의 증거는 무엇인가?

언패킹한 파일을 strings로 확인해보자

 

3)에서 분석했던 CreateService, InternetOpen과 함께 URL을 여는 InternetOpenUrl 함수도 볼 수 있다.

밑에 URL주소가 있는 것을 보아 해당 주소에서 데이터를 받아와 데이터베이스에 추가할 것으로 판단된다.