이제 포장을 다 풀었습니다.
이를 파일로 덤프할 수 있으므로 Process Hacker를 사용하여 이를 수행할 수 있습니다.
이제 프로세스 해커를 열어 보겠습니다. FLARE로 이동하여 여기 유틸리티 아래에서 프로세스 해커를 찾습니다.
여기에서 예를 클릭합니다.
이모티콘을 열고 이 이모티콘을 찾습니다.
여기.
여기 있습니다.
이모티콘을 두 번 클릭하세요.
그런 다음 메모리 탭을 열고 이 주소를 찾습니다.
3D 뒤에 0이 네 개 있습니다.
3D 뒤에 0을 네 번 입력하면 권한이 표시됩니다.
읽기, 쓰기, 실행 파일입니다.
이 부분을 더블클릭하면
여기에 표시된 것과 동일한 IMG 헤더가 표시됩니다.
알겠습니다.
따라서 여기가 올바른 덤프 장소임을 확인합니다.
따라서 덤프하려면 이 항목을 선택하고 왼쪽 클릭한
다음 마우스 오른쪽 버튼을 클릭하고 저장합니다.
그런 다음 멀웨어, 멀웨어 과정의 폴더에 덤프합니다.
IDA를 닫을 수 있습니다.
이제 더 이상 IDA가 필요하지 않습니다.
저장하지 마세요.
그런 다음 여기에 이름을 지정할 수 있습니다.
Emotet_Dump라고 부를 수 있습니다.
그런 다음 저장을 클릭합니다.
이제 이 모든 것을 닫을 수 있지만, 이것이 기본 주소이므로 주소를 기억해 두시기
바랍니다.
3D 뒤에 0이 네 개 있습니다.
이제 파일 이름을 변경해 보겠습니다.
기본 주소를 뒤에 적어두면
잊지 않고 기억할
수 있습니다.
따라서 여기를 마우스 오른쪽 버튼으로 클릭하고 이름을 변경합니다.
그리고 여기 뒤쪽에 기본 주소인 3D와 그 뒤에 0을 네 번 입력합니다.
3D, 1, 2, 3, 4 0.
알겠습니다.
이제 모든 것을 닫을 수 있습니다.
닫습니다.
그리고 여기서 헤더와
섹션 헤더를 수정하고 매핑을 해제할 수도 있습니다.
이전 단원에서 이미 매핑 해제 기법을 보여드렸으므로
기법은 동일합니다.
그래서 저희는 PEBear를 사용합니다.
그래서 PEBear로 이동합니다.
이 피베어를 엽니다.
어떤 일을 하기 전에 이 내용을 복사해 두세요.
백업으로 복사하여 여기에 붙여넣습니다.
그런 다음 이를 사용하여 PEBear에서 엽니다.
이제 섹션 헤더의 매핑을 해제해야 한다는
점을 제외하면 모든 것이 정상입니다.
따라서 매핑을 해제하려면 원시 주소와 가상 주소가 동일해야 합니다.
이제 이 문제를 해결해 보겠습니다.
그 뒤에 0이 세 개 있어야 합니다.
이것은
- 뒤에 0이 세 개 있어야 합니다.
마지막 숫자는 13 뒤에 0이 3개 있어야 합니다.
자, 이제 데이터를 제외한 모든 것이 정확합니다.
하지만 어쨌든 정확한지 확인하기 위해 계산을 해보겠습니다.
이제 프로그래머 계산기를 열어 보겠습니다.
이제 원시 크기가 올바른지
계산해 보겠습니다.
이것은 쉽습니다.
0 세 개.
따라서 16진수 입력으로 설정합니다.
0 세 개에서 0 세 개를 빼면 원시 크기를 얻을 수 있습니다.
따라서 0에서 1000을 뺀 세 개의 0은 D30이
됩니다.
따라서 이것은 D 뒤에 0이 세 개 있어야 합니다.
다음은 0에서 3을 뺀 값으로, 0이 3개이면 1000이 됩니다.
여기까지입니다.
따라서 1000이 되어야 합니다.
이 값은 0에서 3을 뺀 13이
되어야 합니다.
따라서 0에서
3을 뺀 13은 0이 3개입니다.
마이너스 - 0이 3개입니다.
그러면 4000이 나옵니다.
따라서 4000이 되어야 합니다.
이것이 매핑을 해제하는 첫 번째 단계입니다.
언매핑의 두 번째 단계는 원시 크기를 원시 크기와 동일하게 만드는 것입니다. 즉, 가상 크기를 원시 크기와 동일하게 만드는
것입니다.
따라서 이것은 0 세 개 뒤에 오는 D로 바뀌어야 합니다.
이 값은 1000이어야 하므로 변경해
보겠습니다.
이것은 4000이어야 합니다.
그리고 이것은 600이어야 합니다.
자, 이제 끝났습니다.
다음으로 할 일은 선택적 헤더를 여는 것입니다.
이제 매핑을 해제했습니다. 선택적 헤더를 연 다음 기본 주소를 수정해야 합니다.
기본 주소를 수정해야 합니다.
따라서 이 기본 주소는 우리가 덤프한 주소입니다.
그래서 파일 이름에서 덤프했습니다.
파일 이름을 보세요.
3D 뒤에 0이 네 개 있습니다.
따라서 이것을 3D에 0을 네 개 붙인 값으로 입력합니다.
3D, 거기에 0이 4개 있습니다.
이미지 뒤에 4개의 0이 있는 3D입니다.
네, 맞습니다.
이제 버릴 수 있습니다.
마우스 오른쪽 버튼을 클릭하고 다른 이름으로 실행 파일을 저장합니다.
그런 다음 이모티콘 밑줄 언맵이라고
부를 수 있습니다.
Emotet_Dump_Unmap.
저장.
이제 모든 것을 닫으면 매핑되지
않은 파일이 생깁니다.
이제 원한다면 IDA를 통해 더 자세히 분석할 수 있습니다.
그래서 파일을 엽니다.
IDA가 분석을 수행하면 파일을 읽을 수 있도록 관리됩니다.
알겠습니다.
그래서 이미 매핑을 해제했습니다.
이모텟의 포장은 이미 끝냈습니다.
이 영상은 여기까지입니다.
시청해 주셔서 감사합니다.