안녕하세요, 새 섹션에 오신 것을 환영합니다.
이 새로운 세션에서는 Zloader 트로이 목마의 포장을 풀고, 다음은 Zloader 트로이 목마에 대한 글입니다.
지로더 트로이목마는 2006년부터 은행 업계를 강타한 제우스 멀웨어 트로이목마의
변종으로, 최근 100개가 넘는 공격 캠페인에 사용되었습니다.
지로더는 최근 제우스의 화신들도 사용하고 있는 코로나19 미끼가 포함된 이메일을 사용합니다.
한 걸음 더 나아가 Zloader는 악성 이력서, 송장, Excel 첨부 파일과 같은 다른 미끼도
사용합니다.
2020년 5월 20일 기준, 연구원들은 매일 한 개의 새로운 Zloader 캠페인을 발견하고 있습니다.
Zloader 작동 방식.
Zloader는 공격적인 이메일 캠페인을 통해 확산되며, 이메일에는 코로나19 또는
구직을 언급하는 자극적인 제목의 악성 첨부파일과 감염된 Microsoft Word 파일 링크가 포함된 청구서가 포함되어
있습니다.
인보이스 이메일의 경우 사용자가 문서의 '콘텐츠 사용' 버튼을 클릭하면 멀웨어 설치
프로그램이 다운로드됩니다.
이것이 Zloader에 대한 배경 설명입니다.
리소스 섹션에서 Zloader 끝부분을 다운로드하여 압축을 풉니다.
바탕화면의 Zloader라는 폴더에 넣으면 Zloader가 파일, 동적 링크 라이브러리임을 알 수 있습니다.
이제 PE 스튜디오를 살펴보겠습니다.
그러니 플레어 유틸리티에서 PE 스튜디오를 열어보세요.
그리고 Zloader를 PE Studio로 드래그합니다.
여기서 엔트로피가 6임을 알 수 있습니다. 432.
하지만 이는 상당히 오해의 소지가 있습니다.
7개 미만이므로 포장이 풀린 상태입니다.
실제로는 꽉 차 있습니다.
32비트 프로그램입니다.
그리고 여기 파일 헤더에 컴파일러 스탬프가 2020년 4월 24일로 표시되어 있습니다. 섹션: . 텍스트, . 데이터, .
데이터, . rsrc, . reloc.
라이브러리.
세 개의 라이브러리.
kernel32, user32, advapi32를 포함하며 약 100개의 임포트를 포함합니다.
다음은 몇 가지 수입품입니다.
꽤 많이 있습니다.
수입 100건.
IsDebuggerPresent도 있는 것을 볼 수 있습니다.
리소스에서 문자열 테이블, 버전 및 매니페스트를 볼 수 있습니다. 문자열 아래, 대부분 암호화되어 있습니다.
이는 압축된 실행 파일이라는 사실에 신뢰성을 부여합니다. 버전은 1입니다. 1. 0. 0.
회사 이름은 TheMusicSim입니다. TheMusicSim을 파일 설명으로 사용합니다.
이제 x32dbg로 포장을 풀어보겠습니다.
그러니 x32dbg를 실행하세요.
옵션, 환경설정에서 시스템 중단점 및 항목 중단점을 선택 취소합니다.
저장을 클릭한 다음 트로이 목마를 엽니다.
즉시 DLL을 로드하기 위해 rundll32가 실행됩니다.
이는 매우 정상적인 현상입니다.
그냥 내버려 두세요.
이제 몇 가지 중단점을 설정하겠습니다.
첫 번째 중단점은 VirtualAlloc입니다.
Enter
키를 누릅니다.
중단점 탭을 클릭합니다.
중단점을 주시하세요.
두 번째 중단점은 VirtualProtect입니다.
Enter 키를 누릅니다.
세 번째 중단점은 CreateProcessInternalW입니다.
Enter 키를 누릅니다. 네 번째 중단점은 IsDebuggerPresent입니다.
다음.
중단점 탭으로 이동하여 모든 중단점이 설정되었는지 확인합니다.
그런 다음 CPU로 이동하여 실행 또는 F9를 누릅니다.
그리고 이제 실행 중입니다.
코드를 풀려면 시간이 좀 걸립니다.
그러니 그냥 실행하세요.
마지막으로 중단점에 도달했습니다.
VirtualAlloc.
그래서 우리는 이 문제를 극복할 수 있습니다.
VirtualAlloc으로 이동한 다음 여기에서 호출로 이동합니다.
VirtualAlloc 호출. 그 위로 올라가서 보세요.
덤프에서 이 내용을 따르겠습니다.
마우스 오른쪽 버튼을 클릭하고 현재 여기 1번 덤프인 덤프를 따라간 다음 F9를 눌러 다시 실행합니다.
VirtualAlloc에 두 번째로 충돌합니다.
다시 한 번 넘어갑니다.
가상 할당 호출로 오세요. 한 걸음 다가가서 보세요.
이번에는 두 번째 덤프를 따라가 보겠습니다.
따라서 두 번째 덤프를 선택합니다.
마우스 오른쪽 버튼을 클릭하고 덤프에서 팔로우합니다.
그리고 이제 두 번째 덤프에서 그 뒤를 따르고 있습니다.
한편, 1번 덤프에는 셸코드가 채워져 있는 것을 볼 수 있습니다.
두 번째 덤프는 아직
비어 있습니다.
이제 다시 F9를 누릅니다.
또는 여기 이 아이콘을 클릭하세요.
가상 할당에 세 번째로 부딪혔으니 다시 한 번 살펴보겠습니다.
뛰어넘고, 뛰어넘고, 뛰어넘어 이 VirtualAlloc 호출에 도달할 때까지 다시 한 번 뛰어넘어 -를 살펴봅니다.
이번에는 3번 덤프에서 이를 따라가려고 하므로 3번 덤프를 클릭합니다.
따라서 등록을 마우스 오른쪽 버튼으로 클릭하고 덤프에서 팔로우를 선택합니다.
이제 세 번째 덤프를 따라갑니다.
한편, 두 번째 덤프에는 일부 셸코드가 채워져 있습니다.
현재 1번과 2번을
덤프하면 압축이 풀린 코드를 찾을 수 있습니다.
이제 3번 덤프가 생성되었으므로 F9를 클릭하여 다시 실행합니다.
그리고 이번에는 VirtualProtect를 공격합니다.
이 시점에서 잠시 멈추고 다음 동영상에서 계속 설명하겠습니다.
시청해 주셔서 감사합니다.