워드 
-
미리보기
목차
1. 분석 정보
2. 파일 정보
3. 웜 감염
4. 언패킹(Unpacking)
5. 레지스트리 생성
6. 서비스 등록
7. 네트워크 통신본문내용
# 웜 감염
해당 Worm은 파일을 실행하면 c:\windows\911.com 파일을 생성합니다.
<그림 x : Windows 디렉토리에 파일 생성>
해당 파일은 숨김 속성으로 되어있습니다. 확장자는 com이지만 단순 위장이며 파일을 분석하여 보면 PE32 구조(EXE) 형태로 되어 있으며, 부팅 시 마다 프로세스에 상주하여 있습니다.
<중 략>
ASProtect 언패킹 스크립트를 사용하면 API 함수 사용 목록이 복원되고, 코드가 독해 가능한 상태로 됩니다.
해당 스크립트를 사용하여 OEP를 찾았으나 이는 가짜 OEP입니다.
가짜 OEP : 004A2CBC 6A 00 PUSH 0
진 OEP를 찾으려면 더 많은 분석 시간이 필요할 것으로 예상됩니다.
# 레지스트리 생성
웜이 실행되면 윈도우 레지스트리에 아래와 같은 값들을 생성합니다.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_911]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\911]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_911]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\911]
<중 략>
# 네트워크 통신
감염되자마자 59.63.118.107:8000으로 접속을 시도하나 현재 닫혀있는 상태입니다.
해당 IP는 whois 확인 결과 중국에서 할당된 IP이며 감염된 PC와 통신을 위한 서버로 추정됩니다.
<그림 x : 열린 포트 확인 >
<그림 x : 서버가 닫혀 있는 상태 >
일반적인 휴피곤 웜의 특징은 감염 PC를 원격 접속 가능 상태로 만드는 것이 특징이며, 해커는 감염PC를 원격 제어를 통하여 스크린샷, 키보드 입력, 시스템 정보를 탈취합니다.
해당 worm도 서버로 접속이 되지 않아 동작은 되지 않지만 리버싱을 통하여 API등으로 미루어 본 결과 해당 기능을 수행할 것이라고 추정합니다.참고자료
· 없음태그
-
자료후기
Ai 리뷰구매한 자료가 제가 필요로 하는 모든 정보를 포함하고 있어, 매우 만족스러웠습니다. 판매자의 자료는 다음에도 다시 이용하고 싶습니다. 정말 감사드립니다. -
자주묻는질문의 답변을 확인해 주세요
꼭 알아주세요
-
자료의 정보 및 내용의 진실성에 대하여 해피캠퍼스는 보증하지 않으며, 해당 정보 및 게시물 저작권과 기타 법적 책임은 자료 등록자에게 있습니다.
자료 및 게시물 내용의 불법적 이용, 무단 전재∙배포는 금지되어 있습니다.
저작권침해, 명예훼손 등 분쟁 요소 발견 시 고객센터의 저작권침해 신고센터를 이용해 주시기 바랍니다. -
해피캠퍼스는 구매자와 판매자 모두가 만족하는 서비스가 되도록 노력하고 있으며, 아래의 4가지 자료환불 조건을 꼭 확인해주시기 바랍니다.
파일오류 중복자료 저작권 없음 설명과 실제 내용 불일치 파일의 다운로드가 제대로 되지 않거나 파일형식에 맞는 프로그램으로 정상 작동하지 않는 경우 다른 자료와 70% 이상 내용이 일치하는 경우 (중복임을 확인할 수 있는 근거 필요함) 인터넷의 다른 사이트, 연구기관, 학교, 서적 등의 자료를 도용한 경우 자료의 설명과 실제 자료의 내용이 일치하지 않는 경우
문서 초안을 생성해주는 EasyAI
