Day50: 악성코드 초기분석 실습 | 정적 분석 4개

Day45부터 Day48까지 약 나흘간 배운 악성코드 분석 방법들을 실습하는 시간을 가졌다.

 

정적 분석 실습

1. 알려진 바이러스 정보는?  2. 컴파일 시간은? 3. 난독화 여부는? 4. import 된 정보를 통해 얻을 수 있는 부분은?  5. strings 나 bintext 를 이용해서 얻을 수 있는 정보는 ?  6. 리소스 섹션 분석을 통해 얻을 수 있는 정보는?

1. 은 Day48에 올렸던 www.malwares.com/이나 www.virustotal.com/gui/ 에서 확인하면 된다. 

2. 컴파일 시간은 PE File Format 을 확인해보면 된다. NT_Header 에 나와있을 건데, 변조가 되었을 수도 있어 정확하지 않다.

3. 난독화 여부는 PE file format에서 SECTION들 잘 보이는지 보거나 PIED로 확인

4. import 된 dll 의 함수를 확인해보며, 함수의 기능을 함께 확인해봄, 특히 프로세스를 생성하거나, 특정 웹 사이트에 접속하거나, 권한을 취득한다거나 등등 악성코드 기능을 찾아보기

5. Strings 나 bintext를 활용해서 네트워크 통신 시 사용되는 문장이나 웹사이트 정보, 파일디렉터리 등을 알아낸다.

---

숙제: 아무 파일이나 원하는 거 다운받아서 분석해오기!