[Malware analysis] Black Ball SMBGhost 취약점 공격
[Malware analysis] Black Ball SMBGhost 취약점 공격 참조> https://s.tencent.com/research/report/1008.html> https://gist.github.com/vortexau/13de5b6f9e46cf419f1540753c573206 이터널블루(Eternal Blue) 취약점 발생으로 큰 이슈였던 SMBGhost라고 불리는 CVE-2020-0796와 관련된 공격이다.아는 선에서 이야기하자면 이런 시나리오다.. 취약한 대상을 찾아 SMBv3 활성화 확인 후 CVE-2020-0796 취약점을 이용하여 중요 정보를 탈취하는 정도로 알고 있으며 해당 취약점에 대해서는 상세정보는 구글링을 권한다..Eternal Blue 취약점 악용(MS17-010) $..
[Malware analysis] MBRLocker 악성코드를 생성하는 Dropper
[Malware analysis] MBRLocker 악성코드를 생성하는 Dropper 참조> https://securitynews.sonicwall.com/xmlpost/coronavirus-trojan-overwriting-the-mbr/> https://www.boannews.com/media/view.asp?idx=87385&kind=14 본글은 코로나 이슈를 이용하여 악성행위를 하는 악성코드로 4월초 해당 파일에 대해 확인해 본적이 있다.분석 내용을 블로그에 남기기 위하여 새로 분석해본다.(그림 1)을 살펴보면 해당 파일에 대해 확인할 수 있다.(그림 1) (그림 2)를 살펴보면 RCData(리소스스크립트) 부분에 스크립트를 확인할 수 있다. (그림 2) COVID-19.exe 실행시 (그림 3)..
[Reversing] Python zlib unpacking
[Reversing] Python zlib unpacking 참조> https://stackabuse.com/python-zlib-library-tutorial/> https://docs.python.org/3/library/zlib.html Python zlib는 참조 링크를 통하여 알 수 있다.HwpScan2 도구는 한글(HWP) 문서 파일의 취약점 및 파일 구조에 대해 분석 정보를 확인할 수 있다.하지만 해당 도구는 주기적으로 재설치가 필요하며 가끔 오류가 발생하는 거 같다.해당 도구의 하나의 기능인 zlib decompress 관련해서 Python을 이용하여 제작하였다.>>> import zlib>>> obj1 = open('[.eps_file]', 'rb').read()>>> obj2 = zli..
[Malware analysis] 북한의 회색지대 전략과 대응방안.hwp
[Malware analysis] 북한의 회색지대 전략과 대응방안.hwp 참조 - '북한의 회색지대 전략과 대응방안' 한글문서(HWP) 유포 중 > https://asec.ahnlab.com/1347 본 블로그에서 ESP 관련 내용을 확인할 수 있다. KINU 전문가 자문 요청사항(한미동맹과 한중관계).hwp(그림 1)을 보게되면 샘플 파일을 확보한 것을 확인할 수 있다.(그림 1) (그림 2)을 보게되면 본문 내용과 함께 해당 파일의 정보를 확인할 수 있으며, 2019년 작성 되어 2020년 6월 23일에 수정된 정보와 작성자는 Venus.H로 확인할 수 있다. (그림 2) 한글 파일 구조 확인 시 BinData는 PNG, OLE, EPS로 구성되어 있으며 EPS 코드 용량이 한글 문서 용량의 절반을 ..
[Reversing] 델파이(Delphi) 관련 정리
[Reversing] 델파이(Delphi) 관련 정리 영화 '결백' 동영상 파일(*.AAC)로 위장하여 유포되는 백도어> https://asec.ahnlab.com/1351 참조> https://sanseolab.tistory.com/56> http://www.reversenote.info/how-to-analyze-delphi/> https://reverseengineering.stackexchange.com/questions/2873/which-ida-pro-signature-should-be-used-for-borland-delphi-6-0-7-0-binaries-as-re> https://sanseolab.tistory.com/55 분석을 하다보면 여러 언어(VB, dotNet, C, C++, M..
1. Bandit Level 1 → Level 2[문제]다음 레벨의 비밀번호는 홈 디렉토리에있는 "-"라 파일에 저장됩니다. * 이전 레벨에서 추출한 패스워드 확인(2020/07/07 - [Wargame & CTF/OverTheWire] - [OverTheWire] Bandit Level 0 -> Level 1) [정답]1. bandit1 계정으로 로그인(ID : bandit1 / PW : boJ9jbbUNNfktd78OOpsqOltutMc3MY1) 2. Level 1에서 성공한 로그인 계정 접속 후 home 디렉토리의 - 파일 확인 : ls -l 3. "-" 파일에서 비밀번호 추출 : cat ./- 4. 비밀번호 확인 : CV1DtqXWVFXTvM2F0k09SHz0YwRINYA9 [추가 설명]bandi..
1. Bandit Level 0 → Level 1[문제]다음 레벨의 비밀번호는 홈 디렉토리에있는 readme 파일에 저장됩니다. SSH를 사용하여 bandit1에 로그인하려면이 비밀번호를 사용하십시오. 레벨의 비밀번호를 찾을 때마다 SSH (포트 2220)를 사용하여 해당 레벨에 로그인하고 게임을 계속하십시오. * 이전 레벨에서 추출한 패스워드 확인(2020/07/07 - [Wargame & CTF/OverTheWire] - [OverTheWire] Bandit Level 0) [정답]1. Level 0에서 성공한 로그인 계정 접속 후 home 디렉토리의 readme 파일 확인 : ls -l 2. readme 파일에서 비밀번호 추출 : cat readme 3. 비밀번호 확인 : boJ9jbbUNNfktd..
1. Bandit Level 0[문제]이 레벨의 목표는 SSH를 사용하여 게임에 로그인하는 것입니다. 연결해야하는 호스트는 포트 2220의 bandit.labs.overthewire.org입니다. 사용자 이름은 bandit0이고 암호는 bandit0입니다. 로그인 한 후 레벨 1 페이지로 이동하여 레벨 1을이기는 방법을 찾으십시오. 참조> https://overthewire.org/wargames/bandit/ [정답]1. PuTTY를 활용한 접속 방법: 원격 프로그램인 PuTTY를 실행하여 "Host Name : bandit.labs.overthewire.org / Port : 2220" 입력 후 open 버튼 클릭 2. 윈도우 기본 ssh 활용 접속 방법: cmd 실행 -> "ssh bandit0@b..