부동산, 채권, 주식, 경제흐름 자료를 모아 보는 블로그입니다.

요즘 파워쉘을 이용한 악성코드가 많이 나오고 있어.. 파워쉘 관련해서 공부한 내용을 정리하고자 합니다. 파워쉘을 긴시간 많이 보진 않았지만... 정말 강력한 기능이 많아.. 잘쓰면 참 재밌는 도구인거 같습니다. 일단 파워쉘을 정리하기 전에 기본되는 개념을 좀 정리하고자 합니다. 파이썬 공부할때.. 기본 개념이나 객체에 대해 정리가 안되서 그냥 막썼던 기억이 있어서... 정리하고 가면 편하지 않을까.. 싶습니다. 일단 파워쉘에서 Cmdlet이라는 개념의 용어가 있습니다. Cmdlet은 파워쉘에서 제공하는 Core Command로 WMI나 COM 인터페이스에 명령을 하여 서비스를 받는 명령어 집합이라고 생각하면 편합니다. COM 객체도 .. 추후 좀 심도있게 정리하 필요할듯... 일단 추천 사이트 : htt..

일단 Call Gate의 동작 과정이나 방법을 알기전에 Call Gate를 일단 보고 시작하도록 하겠습니다. 일단 해당 프로그램은 Call Gate를 TEST하기 위한 유저 레벨 프로그램을 올리디버거를 이용하여 디버깅하는 화면이며 위의 화면을 보게되면 CALL FAR FWORD PTR SS: [EBP-8] 코드가 존재함을 확인할 수 있다. EBP-8 내부 DATA는 0070:00000000인데 해당값은 Segment:Offsett이기 때문에 실제 Call 되는 주소가 0x700이다. 해당주소는 당연하게도 유효한 주소가 아니며 해당 함수를 따라 들어갈 경우 BSOD 화면이 뜰 수 있다. ( 단순하게 유저레벨에서 디버깅이 불가 ) BSOD가 일어나는 이유는 아래와 같다. 1. 유저레벨에서 커널 레벨로 접근시..

금일 정리할 내용은 CALL GATE를 이용한 행위 은폐에 대해 정리할 예정입니다. 일단 Call Gate를 정리하기 전에 몇가지 정리를 하고 넘어가야할 내용이 있습니다. 유저레벨( 낮은 특권 계층 )에서 프로그램을 실행하는 도중 높은 특권계층으로 권한이 변경되는 대표적인 수단으로 크게 3가지가 존재합니다. 1. 인터럽트2. 예외처리3. 콜게이트 인터럽트인터럽트는 하드웨어 인터럽트 + 소프트웨어 인터럽트를 생각하시면 됩니다. 하드웨어 인터럽트의 경우 특정 디바이스를 연결하거나 특정 하드웨어 이벤트가 발생할 경우 디바이스 드라이버에서 해당 이벤트 처리를 위해 인터럽트를 발생 시키고, 우선순위가 높아지게 됩니다. 소프트웨어 인터럽트의 경우 INT 명령어가 대표적인 소프트웨어 인터럽트입니다. 예외처리예외처리는..

데프콘을 다녀왔었는데요.. 지나다니면서 야경을 찍었었습니다.. 덥긴했지만 참 많은걸 느낄수 있는 컨퍼런스 였습니다.

금일 정리할 내용은 LeGend-Rat 분석입니다. 해당 RAT는 Stub & Bulder는 .Net v2.0.50727 으로 컴파일 되어 있으며 ,2.0.50727 이상의 .Net 환경에서 동작합니다. 해당 RAT 툴의 기능은 아래와 같습니다. 서버 최초 생성 옵션1. 프로세스 보호 ( BSOD )2. 시작프로그램 자동실행 등록3. 레지스트리 자동실행 등록4. 스케쥴러 자동실행 등록5. Slepp 기능6. Mpress 압축 기능7. 키로깅 셋팅8. %APPDATA%, %TEMP%, WINDIR, UserProfile 등에 스스로 셋팅9. 디폴트 포트 : 5552 Control Panel Remote Desktop1. 원격 조정 ( 마우스 및 키보드 조정)2. 상대편 화면 보기 - Remote Webca..

꽤나 악성코드 분석을 오래 하였지만.. 분석한 기간에 비해 많은 것을 남기지 못해 시간이 날때마다 조금씩 모아놨던 자료들을 정리하고자 합니다. 금일 정리할 내용은 Revenge-RAT 분석입니다. 해당 툴은 비교적 최근에 나온 RAT툴로 꾸준히 업데이트가 되고 있는 툴 중 하나입니다. 해당 RAT는 Stub & Bulder는 .Net v2.0.50727 으로 컴파일 되어 있으며 ,2.0.50727 이상의 .Net 환경에서 동작합니다. 해당 RAT 툴의 기능은 아래와 같습니다. Control Panel - FileManager1. 파일 원격 실행2. RAR 파일 찾기3. 파익삭제4. 파일 다운로드5. 파일 업로드6, 파일 검색 기능 - Remote Desktop1. 원격 조정 ( 마우스 및 키보드 조정)2..