수야나도 블로그

1. 분석 환경

1.1. 분석 환경

l Windows 10
l Windows XP (VMware)

1.2. 분석 도구

정적 분석

l IDA

1.3. 분석 샘플

Practical Malware Analysis Labs - Lab07-02.exe

1.4. 질문

이 랩에서는 Lab07-02.exe 파일에서 발견된 악성 코드를 분석합니다

1. 이 프로그램은 어떻게 지속될 수 있나요?

2. 이 프로그램의 목적은 무엇인가요?

3. 이 프로그램은 언제 실행이 완료될 것인가요?

2. 분석 과정

2.1. IDA 분석

Lab07-02는 비교적 간단한 구조였으며 호출되는 서브루틴도 없었다.

http://www.malwareanalysisbook.com/ad.html URL로 보아 이곳으로 접속할 것으로 추측한다.

main에서 처음 호출되는 함수는 OleInitialize이다.

OleInitialize 함수는 Windows 환경에서 COM(Component Object Model)을 사용하는 응용 프로그램에서 주로 호출되는 함수이다.

이 함수는 OLE(객체 링크 및 임베딩) 라이브러리를 초기화하고, COM 런타임 환경을 설정한다.

이를 통해 객체 기반의 소프트웨어 컴포넌트들이 상호 작용할 수 있도록 한다.

이 Lab07-02.exe는 OleInitialize의 호출로 보아 객체가 사용될 것으로 추측한다.

아래로 내려보니 CoCreateInstance로 객체를 생성하는 것이 보인다.

dwClscontext = 4인데 4가 의미하는 바는 아래와 같다.

코드를 내려보니, url 문자열은 보이는데, 이전 Lab에서 보았던 InternetOpenUrlA같은 네트워크 관련 함수가 보이지 않았다. 그렇다면 기존과 다른 방법으로 url연결을 했을 것이라 생각했다. 그래서 이 프로그램의 핵심인 인스턴스 생성부를 다시 확인해보았다.

2.1.1. Clsid 와 iid

Rclsid와 riid는 무엇을 의미할까?

l rclsid는 COM 객체를 식별하는 데 사용되는 CLSID를 나타낸다. CLSID는 특정 객체의 클래스를 고유하게 식별하는 GUID이다. 특정 클래스의 구현체를 찾을 때 사용된다.
l Riid는 COM 인터페이스를 식별하는 데 사용되는 IID를 나타낸다. IID는 특정 인터페이스를 고유하게 식별하는 GUID이다. 특정 인터페이스에 액세스할 때 사용된다.

그렇다면 이 식별자 값은 어떻게 보는 걸까?

그래프에서 인자를 더블클릭하면 rdata를 볼 수 있는데, Data값이 그 식별자를 나타낸다. GUID는 32비트 16진수로 구성되며, 8-4-4-4-12 형식으로 표현된다.

그래서 rclsid과 Riid 값은 다음과 같다.

l Rclsid : 0002DF01-0000-0000-C000-000000000046
2DF01에 8자리를 맞추기 위해 앞에 0을붙인다. 0C0의 앞자리 0은 제거된다.그리고 6 DUP(0)은 00쌍 6개를 의미한다. 이는 data4의 c0뒤에 붙는다.
l Riid : D30C1661-CDAF-11D0-8A3E-00C04FC9E26E
Data4의 0은 00을 의미한다. Data4는 즉 8A, 3E, 00, C0, 4F, C9, E2, 6E 이다.

이제 이 ID들이 어떤 기능을 가지는 지 확인한다.

clsid는 \HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID 에,

iid는 \HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface{IID} 에 위치한다.

검색 시간이 꽤 오래 걸리는 편이다

CLSID는 internet Explorer로 이 악성코드가 실행되어 객체를 생성할 때 실행될 파일이다.