이전 동영상에서 이미 4번을 확인했습니다.
이 지역 메모리는 덤프하기에 적합한 장소이므로 프로세스 해커를 열어 덤프해 보겠습니다.
Flare로 이동하여 유틸리티로 이동합니다.
프로세스 열기 해커.
그런 다음 Ramnit 관리자를 찾습니다.
두 번 클릭하고 메모리로 이동합니다.
그런 다음 디스크 메모리 영역으로 내려가면 두 개의 D와 네 개의 0이 이어집니다.
따라서 두 개의 D와 네 개의 0으로 이동합니다.
여기 계셨군요.
이제 이 부분을 두 번 클릭하여 확장하고 메모리 영역을 검사하면 다음과 같은 것을 확인할 수 있습니다.
0에서 1로 올라갑니다.
그리고 여기 이 시간, 여기 이 메모리와 비교하면 아래로 스크롤하세요.
또한 0에서 1이 표시됩니다.
따라서 이것은 동일한 메모리입니다.
즉, 이곳이 올바른 덤프 장소라는 뜻입니다.
따라서 이 항목을 덤프하려면 이 항목을 마우스 오른쪽 버튼으로 클릭하고 저장을 클릭하면 됩니다.
그리고 데스크톱으로 이동합니다.
남은 폴더에 저장하고 올바른 접미사가 붙은 이름을 지정할 수 있습니다.
스트라이크 뒤에 점프할 주소를 입력합니다.
따라서 점프할 주소는 2D에 0인치 16진수 4자리입니다.
따라서 0 x 2D 다음에 0을 네 개 넣습니다.
저장을 클릭합니다.
이제 회원님의 경우 주소가 제 주소와 다를 수 있습니다.
그러니 여러분의 것을 따르세요.
이 분석을 실행할 때마다 덤프에 표시되는 주소가 달라집니다.
Virtualalloc은 실행할 때마다 항상 다른 메모리 영역을 할당합니다.
그리고 이것은 램니트를 위한 것입니다.
그러니 여러분의 것을 따르세요.
그래서 이제 우리는 그 일을 해냈습니다.
다음으로 할 일은 사양이 높다는 것을 알기 때문에 a를 사용하는 것입니다.
여기 지역 메모리.
업 언패커를 사용해서 지금 닫고 CF 탐색기를 열 수 있도록 해야 합니다.
CF Explorer는 유틸리티와 여기.
두 번 클릭합니다.
우리가 이것을 사용하는 이유는 이 CFF Explorer가 업 언패커와 함께 제공되기 때문입니다.
편리합니다.
이제 덤프 파일을 열어 보겠습니다.
알겠습니다.
덤프 파일을 CSS 폴더로 드래그하기만 하면 됩니다.
여기에서 UWP 버전 3이 감지된 것을 확인할 수 있습니다.
바로 패커입니다.
그리고 여기 하단으로 내려가면 위로 유틸리티가 있고 압축 풀기 버튼이 있는 것을 볼 수 있습니다.
거기서 포장 풀기를 클릭합니다.
그리고 성공적으로 포장을 풀었습니다.
이제 포장을 풀었습니다.
저장할 수 있습니다.
덮어쓰기?
아니요.
그래서 뒤에 새 접미사를 붙여 새 이름을 붙였습니다.
포장을 풀거나 이렇게 말할 수 있습니다.
위로.
포장 풀기.
이와 같이 정리한 후 저장을 클릭합니다.
이제 여기에 새 파일이 있어야 합니다.
이제 포장을 풀었습니다.
이제 마지막으로 P 스튜디오에서 분석해 보겠습니다.
그러니 마음을 열고 유틸리티로 이동하세요.
P 스튜디오를 엽니다.
그런 다음 언팩 파일을 스튜디오로 드래그하여 분석하기만 하면 됩니다.
알겠습니다.
여기에서 몇 가지 정보를 확인할 수 있습니다.
그리고 문자열.
제 기술을 볼 수 있습니다.
이를 클릭하여 이에 따라 그룹화할 수 있습니다.
그리고 보시다시피 꽤 긴 목록을 사용하고 있는 의심스러운 API 중 일부는 다음과 같습니다.
멀웨어에서 매우 흔합니다.
알겠습니다.
보이시죠?
지금 바로 분석할 수 있습니다.
세션이 끝날 때까지 목표를 성공적으로 달성했습니다.
램닛 트로이목마의 포장을 풀고 UPS 스페셜 인사이드 레인 침입의 포장을 풀었습니다.
시청해 주셔서 감사합니다.
다음 편에서 뵙겠습니다.