안녕하세요, 환영합니다.
이 새로운 섹션에서는 Remcos 트로이 목마에 대한 설명은 이 웹사이트에서 확인할 수 있습니다.
따라서 Remcos 원격 제어 및 감시는 독일에 본사를 둔 회사의 합법적인 소프트웨어로 판매되고 있습니다.
Windows 시스템을 원격으로 관리하기 위한 보안을 깨고 현재 여러 악의적인 목적으로 널리 사용되고 있습니다.
위협 행위자의 캠페인.
Remcos는 모든 Windows를 완벽하게 제어하고 모니터링하는 데 사용할 수 있는 정교한 원격 액세스 트로이 목마입니다.
Windows XP 이상의 컴퓨터.
이것은 Remcos에 대한 설명이며, 이 웹사이트에서 코스를 다운로드하거나 구매할 수 있습니다.
그 자체.
이제 시작해 보겠습니다.
이 Remcos 에이전트를 다운로드하세요.
에이전트는 대상 컴퓨터에 설치하는 데 사용되며, 이 에이전트를 보내는 방법은 에이전트에 따라 달라집니다.
전달 전략.
이메일로 보내거나 웹사이트에 게시하거나 소셜 엔지니어링을 사용하여 누군가를 끌어들일 수 있습니다.
설치하려면
따라서 에이전트는 멀웨어 그 자체입니다.
이제 먼저 눈을 떠 보겠습니다.
작성된 내용을 확인합니다.
여기에서 점 세 개를 클릭하고 포럼 비용 폴더로 이동합니다.
그리고 펙커는 닷넷으로 작성되었습니다.
엔트로피를 클릭하면 매우 높은 수치를 확인할 수 있습니다.
7. 3, 92% 포장.
그리고 32비트 애플리케이션입니다.
이제 스튜디오를 사용하여 열어 보겠습니다.
이 드래그 램은 스튜디오로 들어갑니다.
또한 32비트 애플리케이션 엔트로피가 높다고 말합니다.
일곱.
그래서 꽉 차 있습니다.
그리고 그는 매우 이상한 이름을 가지고 있습니다.
내부 이름.
파일 설명도 있습니다.
따라서 이 패커는 닷넷 프레임워크로 작성되었습니다.
그러나 내부에 있는 에이전트 자체는 C 플러스 플러스로 작성됩니다.
이제 그 포장을 풀어보겠습니다.
32비트 프로그램이므로 x 32 디버그로 열어보겠습니다.
x32 dbg를 실행하고 여기 옵션에서 시스템, 중단점 및 콜백을 선택 취소합니다.
트로이 목마 저장 및 열기를 클릭합니다.
눈치챘다면 트로이 목마가 가짜 PDF 아이콘을 사용합니다.
이제 몇 가지 중단점을 설정하고 중단점 탭으로 이동한 다음 여기에 설정합니다.
가상 ALLOC의 중단점입니다.
그리고 가상 보호의 중단점.
디버거의 중단점이 존재합니다.
createprocess 내부 w에 중단점이 있으므로 모든 중단점이 거기에 있는지 확인하기만 하면 됩니다.
옵션.
또한 여기에서 DLL 입력 시 중단하도록 기본 설정을 지정할 것입니다.
이는 렘코스가 실행 중에 호출할 수 있는 다른 라이브러리를 캡처한 다음 클릭하기 위한 것입니다.
저장을 클릭합니다.
그런 다음 이제 실행을 클릭합니다.
그리고 디버거가 있는 API에 부딪힙니다.
따라서 반환을 위해 실행하면 디버거가 감지되었음을 의미하는 하나의 값을 반환합니다.
따라서 디버거가 감지하지 못하도록 이 값을 0으로 되돌려야 합니다.
그리고 다시 달려갑니다.
이번에는 가상 할당을 누른 다음 여기로 이동하여 가상 할당을 따라갈 수 있습니다.
그런 다음 할당된 주소에서 반환되는 내용을 확인합니다.
X 레지스터에서.
A 하나 뒤에 3과 0 세 개가 이어집니다.
원하시면 여기 1번을 따라가셔도 됩니다.
그리고 다시 달려갑니다.
다시 가상 할당에 들어갑니다.
그리고 이제 넘어갑니다.
그리고 여기에서는 잠금 호출을 밟습니다.
이번에는 이 메모리 영역 0028을 할당합니다.
그리고 이제 우리는 이미 거기에서 무언가를 풀었습니다.
이제 덤 2를 선택하고 덤 2에서 이 내용을 따릅니다.
마우스 오른쪽 버튼을 클릭합니다.
그리고 할당되지 않았기 때문에 제대로 따라갈 수 없습니다.
그렇죠?
따라서 F9를 계속 실행하면 다시 잠깁니다.
뒤로 물러서세요.
이 전화로 와서 이쪽으로 오세요.
따라서 이번에는 이 지역에 할당됩니다.
따라서 아래에서 오른쪽 클릭으로 이동하겠습니다.
저도 마찬가지입니다.
즉, 실제로 유용한 가상이 아니라는 뜻입니다.
그래서 우리는 계속 달리고 있습니다.
어느 쪽이 다시 계속 밟고 지나갑니다.
이번에는 지역 5 뒤에 0이 세 번 나옵니다.
덤프 도구를 선택하고 따라 해보세요.
또한 다시 팔로우할 수 없습니다.
즉, 이것은 우리가 따라야 할 유용한 가상 잠금 장치가 아닙니다.
계속 실행합니다.
뒤로 물러서세요.
알겠습니다.
가상 잠금은 아무데도 가지 않으므로 비활성화할 수 있는 것 같습니다.
다시 한 번 시도해 보겠습니다.
동일한 5 0.
이전과 동일합니다.
따라서 중단점으로 이동하여 가상을 비활성화할 수 있습니다.
이는 멀웨어 분석의 시행착오와 탐색적 특성을 다시 한 번 보여줍니다.
따라서 무언가가 작동하지 않는 경우 예를 들어 마우스 오른쪽 버튼을 클릭하면 이 API를 비활성화할 수 있습니다.
더 이상 유용하지 않으므로 더 이상 따르지 않을 것입니다.
이제 실행하면 이번에는 가상 보호에 도달하고 이제 가상으로 넘어갑니다.
보호.
전화가 올 때까지 보호 모드로 이동합니다.
그런 다음 가상 보호의 두 번째 매개 변수를 살펴봅니다.
그리고 이번에는 이를 위한 라이브러리인 Mscorlib 라이브러리를 참조할 것입니다.
Net 프레임워크입니다.
여기에는 특이한 사항이 없으므로 이를 기억할 필요가 없습니다.
필요하지 않습니다.
그래서 다시 뛰기만 하면 됩니다.
다시?
보호할 수 있습니다.
뒤로 물러서세요.
점프.
가상 보호로 이동하여 미덕 보호 코어에 도달할 때까지 가상 보호로 이동합니다.
두 번째 매개변수를 다시 살펴보세요.
Ms.
다시 전화하세요.
유용하지 않습니다.
그래서 우리는 이를 계속 무시하고 있습니다.
실행.
저는 그것을 다시 지키기 위해 밟고 뛰어넘어 보호했습니다.
핵심에 도달할 때까지.
두 번째 매개변수를 살펴보세요.
CLR은 닷넷 프레임워크의 일부인 공용 언어 런타임의 일부이기도 합니다.
따라서 여기에는 특이하거나 의심스러운 점이 없습니다.
따라서 이 부분은 무시하고 계속 실행하면 됩니다.
알겠습니다.
그런 다음 가상 보호 단계를 계속 진행합니다.
전화가 올 때까지 한 발짝 물러서세요.
다시 두 번째 매개 변수를 검사했지만 다시 한 번 의심스러운 점이 발견되지 않았습니다.
다시 실행합니다.
그리고 마침내 의미 있는 무언가에 도달했습니다.
API에 디버거가 있으므로 실행하여 반환하고 X에서 무엇을 반환하는지 확인해 보겠습니다.
그리고 우리는 그것이 하나라는 것을 알 수 있습니다.
그래서 우리는 이것을 뒤집어야 합니다.
따라서 이 값을 수정하고 0으로 변경하여 반전시킵니다.
다시 달릴 수 있습니다.
이제 자유롭게 실행됩니다.
여기에서 아래쪽에서 볼 수 있듯이 가상 보호에서 다시 중단하고 넘어가면 버전으로 이동합니다.
핵심을 보호하고 핵심에 집중하세요.
그리고 여전히 CLR을 호출하는 것을 볼 수 있습니다.
이제 이 API가 연결하기에 적합하지 않다는 것을 알았으므로 Virtualprotect를 비활성화하겠습니다.
따라서 이 항목을 마우스 오른쪽 버튼으로 클릭하고 비활성화합니다.
따라서 이제 잠금 상태인 API를 비활성화하고 계속 실행할 수 있도록 보호해야 합니다.
이제 자유롭게 실행됩니다.
왼쪽 하단을 보고 어떤 일이 일어나는지 확인하세요.
그리고 우리는 첫 번째 기회 예외에 도달했습니다.
계속 진행할 수 있으며 다음 동영상에서 계속 설명하겠습니다.
시청해 주셔서 감사합니다.