본문 바로가기
728x90

shellcode

[Spear-Phishing] Malicious HWP Document Exploit Analysis
정보보안/Spear-Phishing 2023. 8. 30. [Spear-Phishing] Malicious HWP Document Exploit Analysis 1. Attack Flow 한글 파일을 실행 포스트 스크립트 실행 파워 셸 스크립트 실행 공격자 C2서버로부터 악성 페이로드를 전달받음 감염 2. Basic Extract 윈도우에는 prefetch라는 아티팩트가 존재한다. 이를 통해 실행된 프로세스의 실행 시간과 같은 정보를 확인할 수 있다. 위와 같은 악성 문서를 열었을 때 prefetch를 통해 어떤 악성행위를 하는지 확인해보자. GBB(고스트 스크립트 관련 프로세스)가 실행된 후 파워 셸이 실행되는 것을 볼 수 있다. 따라서 익스플로잇 코드가 있다는 것을 짐작할 수 있다. 이제 oledump로 파일을 분석해보자. eps파일이 encapsulated 된 PostScript파일이므로 이 파일을 먼저 추출해보자. oledump의 -d -s 옵션을 사용해..
[Spear-Phishing] ShellCode Analysis (API Hash Pattern Matching)
정보보안/Spear-Phishing 2023. 8. 27. [Spear-Phishing] ShellCode Analysis (API Hash Pattern Matching) 1. ShellCode란 Exploit의 페이로드로 이용되는 작은 크기의 코드 페이로드의 목적뿐만 아니라 악성코드 드엥 의해 다양한 상황과 목적에 활용됨 오늘날은 기계어와 데이터로 이루어져있음 셸코드를 분석하기에 앞서 셸코드의 동작방식을 이해해보자. 먼저 실행파일이 로더에 의해 로딩된 이후 다양한 DLL을 불러온다. (kernel32.dll , user32.dll) 프로그램이 실행되면 프로그램 내부의 헤더와 코드가 실행된다. 이후 라이브러리에 정의된 함수들을 호출하게 될 것이고, 리턴코드가 실행되면서 위 DLL들을 가져오게 된다. 만약 실행파일의 내부에 셸코드가 있다면, 가상 메모리 공간인 스택 버퍼 혹은 힙 버퍼에 적재될 수 있다. 셸코드는 각각의 라이브러리 내의 함수 주소를 알 수 없으므로 바인딩이라..
[Spear-Phishing] Malicious Document의 구성요소
정보보안/Spear-Phishing 2023. 8. 27. [Spear-Phishing] Malicious Document의 구성요소 1. Format and Frequency 사용되는 포맷은 MS 오피스, PDF, HWP, RTF, 압축파일 등 다양하다. 이러한 파일에 내장된 다양한 코드, 스크립트, 익스플로잇, 실행파일 등을 강제로 실행한다. 열고싶게 만드는 이름을 쓴다. (ex, 국세청, 벌금 등) 2. Component of Malicious Document 악성 문서 파일의 구성요소에는 크게 네가지가 있다. (Exploit, ShellCode, Scripts, Executable File) 먼저 Exploit을 살펴보자. 1. Exploit Exploit은 문서 내의 데이터, 패킷 소프트웨어를 의미한다. Exploit이 적용되면 문서파일의 비정상적인 동작을 유발하고 임의의 코드를 강제로 실행하게 만든다. 2. ShellCod..
728x90

티스토리툴바