안녕하세요, 다시 오신 것을 환영합니다.
이 비디오에서는 몇 가지 중단점을 설정하고 실행을 허용한 후 자체적으로 해독하도록
하여 리소스 내부에 무엇이 있는지 확인하기 위해 계속해서 해독을 시도해 보겠습니다.
그런 다음 해독된 메모리를 별도의 파일에 덤프하여 분석합니다.
이것이 우리가 이전에 했던 트릭이며 여기에서도 이 트릭을 사용할 것입니다.
먼저 여기에 중단점 하나, 여기에 중단점 하나, 두 번째 중단점은 여기에 설정할 것입니다.
알겠습니다. 따라서 암호 해독을 클릭하고 여기에 중단점을 설정합니다. RsmDecrypt는 리소스에 있는 모든 내용을
해독한 다음 Array2로 복사하기 때문입니다.
따라서 이 Array2를 메모리에 캡처하여 덤프하고 싶습니다.
자, 이제 시작하겠습니다.
이제 실행해 보겠습니다.
확인을
클릭합니다.
확인을
클릭합니다.
예를 클릭합니다.
알겠습니다.
첫 번째 중단점에 도달했습니다.
계속 진행하세요.
이 텍스트가 여기에 표시됩니다.
무엇이 있나요?
실행.
한 걸음 다가가서 텍스트를 확인합니다.
프로그램 데이터\메일입니다. txt.
이 파일은 동적 분석을 수행했을 때 초기에 본 파일입니다.
자, 계속 넘어가 보겠습니다.
이제 넘어가 보겠습니다.
알겠습니다.
결과를 반환합니다.
자, 시작합시다.
이제 암호 해독에 성공했습니다.
그리고 여기, 이쪽으로
가보겠습니다.
알겠습니다.
이제 Array2를 반환합니다.
이제 아래로 내려가서 Array2가 무엇인지 살펴보겠습니다.
자, Array2가 여기 있습니다.
마우스 오른쪽 버튼으로 클릭하여 볼 수 있습니다.
메모리 창에 표시합니다.
메모리 1.
여기에서 헤더의 시작 부분인 매직 바이트 "MZ"와 "이 프로그램은 DOS 모드에서 실행할 수 없습니다"라는 문자열이
있는 것을
볼 수 있습니다. 따라서 이 두
개는 . exe 파일을 만듭니다.
그래서 리소스 섹션의 암호를 해독했고 이제 그 내용을 볼 수 있습니다.
이제 이 메모리를 별도의 파일에 덤프하면 됩니다. 여기를 마우스 오른쪽 버튼으로 클릭하고 선택 항목 저장을 클릭합니다.
그리고 여기에 덤프로 저장할 수 있습니다. bin.
저장을 클릭합니다.
이제 덤프를 저장했습니다. bin을 중지하고 PE Studio를 사용하여 이 항목을 분석할
수 있습니다.
이제 체육관 스튜디오를 열어보겠습니다.
유틸리티 아래의 PE Studio.
여기 있습니다.
두 번 클릭하기만 하면 됩니다.
이제 PE 스튜디오에서
덤프를 열어 보겠습니다.
그리고 분석하게 하세요.
이제 리소스 섹션에서 이미 해독한 이 실행 파일에 WebBrowserPassView라는
설명이 있는 것을 볼 수 있습니다.
여기서 이걸 클릭하면 이 제품의 이름은 WebBrowserPassView, 회사명은 NirSoft라는
것을 알 수 있습니다.
따라서 멀웨어 작성자는 웹 브라우저 비밀번호 탈취기를 직접 만들지 않은 것으로 보입니다.
대신 NirSoft에서 상용으로 제공되는 비밀번호 복구 프로그램을
사용한 다음 . exe 파일을 암호화한 후 리소스 섹션에 포함시켰습니다.
따라서 디버깅 및 중단점 설정과 메모리 덤핑 기능을 갖춘 dnSpy를 사용하여 임베디드 파일의 암호화를 무력화하는
방법도 이와 같습니다.
이제 그만하면 되겠군요.
다음으로 보여드리고 싶은 것은 방금 살펴본 이 모듈의 난독화를 해제하는 방법입니다.
따라서 여기서 이 클래스의 난독화를 해제하기 위해 de4dot이라는 것을 사용할 수 있습니다.
이제 이 글을 닫겠습니다.
이제 파일 경로로 이동해 보겠습니다.
이 파일의 난독화를 해제하고 싶으므로 경로 복사를 선택합니다.
명령, 명령 프롬프트를
엽니다.
de4dot은 명령줄 도구이기 때문입니다.
그런 다음 여기에서 트로이 목마가 포함된 이 경로로 이동합니다.
"dir"을 실행하여 파일이 있는지 확인합니다.
그런 다음 "de4dot"을 입력한 다음 트로이 목마 이름을 입력합니다.
Enter 키를 누르고 난독 해독을 실행합니다.
알 수 없는 난독화기를 감지하여 여기에
""라는 별도의 파일로 정리했습니다. 악성코드 제거".
자, 이제 이 "을 열 수 있습니다. 악성코드가 제거된" dnSpy 내부.
정리된 파일을 드래그하여 여기에 넣으면
이제 파일을
열고 살펴볼 수 있습니다.
이전에는 이 파일에 있던 난독화 해제된 GClass0이라는 새 파일이 있습니다.
이렇게 하면 난독화된 클래스의 모든 부분을 해독할 수 있습니다. 암호 해독이 해제되었으므로 이 강좌에서
알려드린 기술을 사용하여 dnSpy를 사용하여 분석할 수 있습니다.
이번 실습은 여기까지입니다.
시청해 주셔서 감사합니다.