안녕하세요, 새 섹션에 오신 것을 환영합니다.
이번에는 트릭봇 트로이 목마의 포장을 풀겠습니다.
이제 Trickbot 트로이 목마를 다운로드하여 압축을 풀고 바탕 화면의 Trickbot 트로이 목마라는 폴더에
넣으세요.
그 후
플라이 폴더를 엽니다.
유틸리티로 이동합니다.
감지된 것을 사용하겠습니다.
포장이 잘 되었는지 쉽게 확인할 수 있습니다.
따라서 실행이 감지되었습니다.
간단합니다.
그런 다음 여기에 있는 점 세 개를 클릭하여 바탕화면에 있는 트로이 목마 폴더로 이동합니다.
트릭봇 바이너리를 엽니다.
이쪽입니다.
패커가 있는지 또는 보호 기능이 있는지 여부는 표시되지 않습니다.
엔트로피를 클릭합니다.
여기에 85% 포장되었다는 상태가 표시됩니다.
그래서 우리는 그것이 꽉 차 있다는 것을 알고 있습니다.
이제 Xdebug 32를 통해 Xdebug를 사용하여 압축을 해제해 보겠습니다.
옵션 메뉴에서 환경설정을 클릭합니다.
시스템 중단점을 선택 취소하고 콜백 취소를 선택 취소합니다.
그런 다음 예외에서 범위 무시를 클릭하고 시작 범위는 0을 8개, 끝 범위는 주요 ETF를 입력합니다.
확인 버튼을 누르고 저장을 클릭합니다.
이제 트로이 목마를 엽니다.
드롭다운 목록을 클릭하고 모든 파일을 선택한 다음 트릭봇을 클릭합니다.
이제 그가 우리의 진입 지점에 도달한 것을 볼 수 있습니다.
다음으로 몇 가지 중단점을 설정하겠습니다.
그래서 우리가 설정한 첫 번째 중단점은 가상 할당입니다.
그가 들어왔나요?
두 번째 중단점은
내부 프로세스 만들기 w.
Createprocess 내부 W는 멀웨어가 새로 생성된 프로세스에 연결을 시도하는 곳입니다.
또는 특정 기능을 실행하기 위해 자체적으로 새 프로세스를 생성할 수도 있습니다.
Enter 키를 누릅니다.
세 번째는 쓰기 프로세스 메모리에 대한 중단점입니다.
쓰기 프로세스 메모리.
올바른 프로세스 메모리는 멀웨어가 은밀하게 숨기려고 코드의 일부를 해당 프로세스 메모리에 복사하여
기존 프로세스를 탈취하려고 시도하는 API입니다.
Enter 키를 누릅니다.
그런 다음 중단점을 클릭하여 명시된 대로 중단점 세 개가 있는지 확인합니다.
가상 할당 프로세스 내부 W를 생성하고 프로세스 메모리를 작성합니다.
그 후 F9를 누르면 가상 잠금에 도달합니다. 가상 잠금으로 넘어가려면 F8 또는 여기에 있는 이 버튼을 누르세요.
알겠습니다.
이 호출이 끝나면 메모리에 할당된 주소에 대한 호출이 레지스터에 반환됩니다.
이에 대해서는 이전 레슨 문서도 참고하시기 바랍니다.
이미 잊어버린 경우.
이제 한 번 살펴봅시다.
반환 주소는 3 2 뒤에 0이 4개이므로 마우스 오른쪽 버튼을 클릭하고 덤프에서 팔로우하면 됩니다.
이제 Dynamo에서 클릭 한 번으로 다시 실행할 수 있습니다.
이제 어떻게 할까요?
허용됩니다.
다시 한 번 말씀드립니다.
그 위로 올라가 가상 에어록으로 이동하고 다시 점프하여 에어록을 시청하세요.
이제 두 번째로 가상 잠금을 호출합니다.
어떤 주소가 할당되고 있는지 확인해 보겠습니다.
이번에는 이 메모리 영역에 3, 3, 3, 4의 0을 할당합니다.
메모리에서 이를 따라가기 전에 첫 번째 덤프를 살펴봅시다.
보시다시피 첫 번째 덤프는 일부 셸코드로 채워져 있습니다.
따라서 나중에 주요 IT의 추가 포장을 풀 때 도움이 되도록 특정 셸 코드를 풀었습니다.
아래 두 번째에서 이를 따라가 보겠습니다.
메모리에서 2번 덤프를 클릭한 다음 이 주소를 마우스 오른쪽 버튼으로 클릭하고 덤프를 따라가 보겠습니다.
이제 두 번째 덤프에서 이를 따라갑니다.
현재는 비어 있습니다.
이제 가상 잠금을 다시 실행해 보겠습니다.
그리고 다시 가상 에어록에 부딪힙니다.
그리고 이번에는 셸 코드에 대한 추가 코드가 포함된 Damtew의 압축이 풀린 것을 볼 수 있습니다. 다시 말하지만,
이것은 악성코드가 최종 exe 파일의 압축을 푸는 데 사용됩니다.
이제 이 가상 자물쇠를 넘어서 보겠습니다.
계속 밟고 점프한 다음 여기 호출로 와서 이 호출을 밟고 X를 보세요.
이 영역에 8개의 메모리와 4개의 0이 더 할당됩니다.
따라서 세 번째 게임에서 이 게임을 따라가서 그 뒤에 있는 이 게임을 마우스 오른쪽 버튼으로 클릭합니다.
이제 덤프 2를 보면 덤프 2가 채워지고 덤프 3은 비어 있습니다.
이제 한 번 더 해보겠습니다.
실행.
createprocess 내부 w에 대한 중단점에서 중지되었으므로 이 API를 사용하여 Windows Defender를
중지하기 위해 cmd 명령을 실행하고 있습니다.
이제 이 문제를 해결해야 합니다.
적어도 이제 우리는 그것이 바이러스 백신을 중지하려고 한다는 것을 알고 있습니다.
그러니 다시 실행하세요.
이번에는 동일한 중단점에 도달합니다.
Create 프로세스 내부 w를 생성하면 이제 Windows Defender 서비스를 삭제하려고 합니다.
실행을 다시 클릭합니다.
같은 일이 내부 W 생성 프로세스에서도 발생하며 이번에는 PowerShell 명령을 사용하여 실시간 모니터링을
비활성화하려고 합니다.
다시 실행을 누르세요.
이번엔
이제 이 위치에 파일을 드롭하려고 합니다.
따라서 파일 이름은 이 위치에 있는 JKL, Vtt dot FC입니다.
이 위치는 Appdata 로밍 폴더입니다.
이제 거기로 가서 어떤 파일인지 확인해 볼 수 있습니다.
왼쪽 하단에 있는 창 아이콘을 클릭합니다.
그런 다음 여기에 실행을 입력하고 실행을 클릭합니다.
그리고 여기 환경 변수 백분율 앱 데이터 백분율에 있습니다.
따라서 이 환경 변수 셸 변수는 이 위치를 참조합니다.
앱데이터 로밍.
따라서 확인을 클릭하면 해당 폴더가 열립니다.
이제 이 로밍 폴더에 들어가면 W 네트워크를 엽니다.
W 네트워크가 바로 이 네트워크입니다.
그리고 이것이 트로이 목마가 드롭한 파일입니다.
따라서 이 파일이 트릭봇 자체와 동일한 파일인지 확인하기 위해 동일한 파일인지 확인해 보겠습니다.
해시 파일을 사용합니다.
여기에서 시작을 클릭하고 내 파일 해시를 찾습니다.
바로 이거예요.
그런 다음 이것을 클릭하면 이제 MD5 유틸리티를 사용하여 이 파일의 MD5를 생성합니다.
이제 이 파일의 MD5를 얻었습니다.
트릭봇도 마찬가지입니다.
이 파일을 여기로 드래그하면 트릭봇의 MD5가 생성되고 동일한 MD5 해시를 볼 수 있습니다.
즉, 이 파일은 트릭봇과 동일합니다.
그렇다면 왜 이렇게 될까요?
은밀성을 높이기 위해 이 작업을 수행합니다.
이는 대부분의 트로이 목마가 하는 행동의 일부입니다.
처음 실행하면 처음 로드된 위치에서 스스로 복사합니다.
예를 들어 다운로드 폴더에서 로드되었습니다.
그런 다음 숨겨진 위치, 즉 은밀한 위치에 자신을 복사하여 나중에 처음 다운로드한
원래 위치가 아닌 이 위치에서 실행되도록 합니다.
이제 우리는 이 파일이 트릭봇 프로그램 자체, 즉 원본 파일과 동일한 파일이라는 것을 알았습니다.
따라서 트로이 목마가 실행되기 전에 먼저 이 스텔스 위치에 있는지 확인한
후 실행을 진행하거나 계속 실행할 것입니다.
이 영상은 여기서 잠시 멈추고 다음 영상에서 분석을 이어가겠습니다.
시청해 주셔서 감사합니다.