악성코드와 하율파파

테스트 환경 Windows XP x86 분석정보 악성코드는 다음 경로에 windowsIP.exe 라는 이름으로 생성된다. C:\WINDOWS\windowsIP.exe HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run에 등록해 시스템 동작시 실행하도록 한다. 값 이름 : windowsIPUP 값 데이터 : c:\windows\windowsIP.exe 악성코드는 C&C통신을 하며 추가적인 명령을 받거나 VNC원격 제어, 웹캠녹화, 키로깅 등 피해자의 정보를 탈취한다. 진단 Virobot : Trojan.Win32.Infostealer.1041408

실습 3-1 악성코드의 임포트 함수와 문자열은 무엇인가? ExitProcess 하나 임포트 되어있다.bintext를 이용해 확인 할 수 있는 문자열이다. 악성코드임을 의미하는 호스트 기반 표시자는 무엇인가? C\WINDOWS\system32\vmx32to64.exe 파일 설치 레지스트리에 등록 키 값 : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 값 이름 : VideoDriver 값 데이터 : C:\WINDOWS\system32\vmx32to64.exe 악성코드를 인식할 수 있는 유용한 네트워크 기반 시그니처가 존재하는가? 존재한다면 무엇인가? www.practicalmalwareanalysis.com 으로 DNS 요청을 수행한다. 실습 3-2 악성코드 자..

성인 플래시 게임을 통한 악성코드가 유포중이다. 테스트 환경 Windows XP x86 테스트 환경 파일 생성 C:\Documents and Settings\Administrator\Local Settings\Temp\MURA.exe(성인 플래시) C:\Documents and Settings\Administrator\Local Settings\Temp\GM.exe(악성 파일) C:\WINDOWS\system32\bcavie.exe (랜덤파일명) (GM.exe 복제) 서비스 등록 C&C 통신 플래시 게임 파일에 의해 생성된 악성 파일은 특정 C&C와 통신하며 추가적인 파일을 다운받거나 백도어 행위를 할 수 있다. 진단 Virobot :Dropper.S.Agent.56045871 Trojan.Win32.A..