Reversing 문제 풀이/CodeEngn.com_Malware 검색 결과
3 개의 검색 결과가 있습니다.
Reversing 문제 풀이/CodeEngn.com_Malware

codeengn-malware-L08 풀이

문제는 악성코드를 실행하여 추가 감염을 일으키는 함수의 주소를 원하고 있다. 문제를 받아서 열어보면, 많은 양의 그래프와 분기가 있는데, 위에서 부터 천천히 살펴보면... 중간에 ShellExcuteExA를 호출하는 함수 2개를 볼 수 있다. 아래의 ShellExecuteExA는 위의 호출을 실패 하였을 때 다시 시도하는 것이기 때문에 최초로 시도하는 함수의 주소는 위의 주소이다. ShellExcuteExA함수는 특정 프로세스를 실행시키는 함수이다. 아래에는 "a_exe" 라는 것을 복사하는 것으로 봐서 특정 프로세스에 코드 인젝션을 하는 것으로 추측된다. 첫번째의 함수 주소를 입력하였더니 정답이 되었다.

2022. 6. 14. 15:35
Reversing 문제 풀이/CodeEngn.com_Malware

codeengn-malware-L06 풀이 (Thread Mutex)

문제는 프로그램의 Thread Mutex를 원하고 있다. 여기서 Thread Mutex란, 쉽게 여러 스레드에서 하나의 값을 접근할 때 생기는 동기화 문제를 해결하기 위한 것으로, A 스레드가 값을 접근 했을때는 스레드를 잠궈 다른 스레드가 접근할 수 없게 만들고 다른 스레드는 잠금이 풀릴 때까지 기다리는 만드는 기능을 전체적으로 Mutex라고 한다. 아마 Mutex의 이름이나 함수 주소 등을 원하는 것 같은데... 일단 PDF를 보게 되면 많은 어셈블리 그래프가 있지만 CreateMutexA 함수가 2개 보이게 된다. 이 함수에 인자값 중, 3번째 인자값으로 Mutex의 이름을 지정해주고 있다. 이 2개를 전부 정답에 입력해보면.. 아래에 있는 Mutex의 이름이 성공하게 된다. 성공!

2022. 6. 14. 14:06
Reversing 문제 풀이/CodeEngn.com_Malware

codeengn-malware-L07 풀이

문제는 악성코드가 C&C로 추정되는 사이트에 몇초 단위로 접속 하는지 원하고 있다. 문제를 다운받으면 어셈블리로 된 분기 표가 있는데 이것을 자세히 보게 되면, 아래쪽에 fateback사이트에 접속하지 못한 분기로 가게 되면 sleep함수를 호출 하는데 인자값으로 0x96000가 들어간다. 그리고 sleep함수가 끝나면 다시 C&C와 접속을 시도하는 함수로 분기되는 모습이다. 정답은 0x96000를 10진수로 변환하면, 614400 성공!

2022. 6. 13. 23:29