-o-k's story

Big-O 표기법 개념 알고리즘의 효율성을 표기해주는 표기법, 보통 알고리즘의 시간 복잡도와 공간 복잡도를 나타내는데 주로 사용한다. 단계 1. 대략적인 계산을 통해 수행되는 연산의 개수를 판단한다. 2. 영향력이 가장 큰 대표 항목만 남기고 삭제 -> 상수를 무시 사용하는 이유 주어진 알고리즘의 증가율보다 크거나 같은 최소의 증가율을 찾는 것이 목적.

환경설정 환경: Visual Studio 2017 프로젝트: C# 콘솔 앱(.NET Core) Visual Studio Installer 기본 코드 using System; namespace CSharp { class Program { static void Main(string[] args) { Console.WriteLine("Hello World!"); } } } 실행 결과 참고 실행파일 위치에서 exe파일이 생성되지 않을때(DLL만 생성) https://docs.microsoft.com/ko-kr/archive/blogs/benjaminperkins/net-core-application-where-is-my-exe-how-to-publish .NET Core application, where is ..

"실전 악성코드와 멀웨어 분석(Practical Malware Analysis) 책의 실습 부분을 공부하고 작성한 분석 보고서" 사용한 파일 [Lab03-04.exe] 가상 환경 Windows XP Professional 실습 3-4) 기초 분석 도구를 이용해 Lab03-04.exe 파일에서 발견된 악성코드를 분석하라. Kernel32.dll : 파일과 관련된 행위를 한다는 것을 알 수 있다. CopyFile function 기존 파일을 새 파일로 복사한다. WriteFile function 지정된 파일 또는 입/출력 장치에 데이터를 쓴다. ReadFile function 지정된 파일 또는 입/출력 장치에서 데이터를 읽는다. DeleteFileA function 기존 파일을 삭제한다. GetFileTim..

"실전 악성코드와 멀웨어 분석(Practical Malware Analysis) 책의 실습 부분을 공부하고 작성한 분석 보고서" 사용한 파일 [Lab03-03.exe] 가상 환경 Windows XP Professional 실습 3-3) 안전한 환경에서 기초 동적 분석 도구를 이용해 모니터링하는 동안 Lab03-03.exe 파일에서 발견된 악성코드를 실행하라. 1) Process Explorer로 이 악성코드를 모니터링했을 때 무엇을 알아냈는가? 부모 프로세스를 잃어버리고 자식 프로세스 svchost.exe로 남는다. 답: Lab03-03.exe파일은 svchost.exe 파일을 자식 프로세스로 실행시키고 자기 자신은 사라진다. 2) 실시간 메모리 변조를 확인할 수 있는가? svchost.exe 메모리에 ..

"실전 악성코드와 멀웨어 분석(Practical Malware Analysis) 책의 실습 부분을 공부하고 작성한 분석 보고서" 사용한 파일 [Lab03-2.exe] [Lab03-2.dll] 가상 환경 Windows XP Professional 실습 3-2) 기초 동적 분석 도구를 이용해 Lab03-2.dll 파일에서 발견된 악성코드를 분석하라 라이브러리 파일 설치하는 방법 정직하게 보이는 것 보면 패킹은 되어있지 않은 것 같다. [import 디렉터리] 네트워크와 관련된 라이브러리를 보고 네트워크 행위를 한다는 것을 알 수 있다. ADVAPI32.dll 레지스트리와 관련된 라이브러리 존재, 서비스와 관련된 행위를 하는 모듈 존재, 서비스로 등록되면 악성코드가 자동으로 실행될 수 있도록 함. 서비스는 백..

"실전 악성코드와 멀웨어 분석(Practical Malware Analysis) 책의 실습 부분을 공부하고 작성한 분석 보고서" 사용한 파일 [Lab03-01.exe] 가상 환경 Windows XP Professional 실습 3-1) 기초 동적 분석 도구를 이용해 Lab03-1.exe 파일에서 발견된 악성코드를 분석하라. 1) 악성코드의 임포트 함수와 문자열은 무엇인가? Kernel32.dll에 ExitProcess 함수만 사용한다. 패킹이 되어있는지 확인해본다. 'junkcode'라는 패커로 패킹이 되어있는 것을 알 수 있었다. 다음은 strings로 확인해보기 텍스트 파일로 결과를 저장시킨다. 많은 레지스트리 키가 나오는 것을 알 수 있다. SOFTWARE\Microsoft\Windows\Curre..

UDPFlooding Malware를 제작하여 정적/동적 분석 https://t-okk.tistory.com/59 [UDP Flooding] UDP Flooding Malware 제작 1. 전체 Flowchart 순서 1) 악성코드는 서버에 10004번 포트로 'IMHACKER_10자리 숫자' 메시지를 UDP 통신으로 전송한다. 2) C&C 서버로 부터 공격 대상자 IP와 PORT 번호를 받고 공격지에 UDP Flooding 공격을.. t-okk.tistory.com *악성코드 분석하는 과정에서는 패킹하지 않은 파일을 가지고 분석하였다. 1. 정적분석 1.1 Virustotal(https://www.virustotal.com/gui/home) 악성 여부를 판단하는 안티바이러스 도구 악성코드 탐지에서 패턴..

1. 전체 Flowchart 순서 1) 악성코드는 서버에 10004번 포트로 'IMHACKER_10자리 숫자' 메시지를 UDP 통신으로 전송한다. 2) C&C 서버로 부터 공격 대상자 IP와 PORT 번호를 받고 공격지에 UDP Flooding 공격을 수행한다. => 10자리 숫자를 10번 반복해서 전송 3) 악성코드는 단독으로 실행하는 EXE 파일로 작성 4) 악성코드의 분석가를 방해하기 위해 EXE 파일을 난독화하였다. 2. Malware 설명 사용된 악성코드: UDPMalware.exe 사용된 소스파일: source.cpp #define _CRT_SECURE_NO_WARNINGS #define _WINSOCK_DEPRECATED_NO_WARNINGS #include #include #include ..

사용한 모델 CatBoostClassifier, xgboost, LightGBM, DecisionTree, RandomForest, NaiveBayes 사용한 데이터셋 https://www.kaggle.com/c/microsoft-malware-prediction Microsoft Malware Prediction Can you predict if a machine will soon be hit with malware? www.kaggle.com 공통 코드 import pandas as pd import numpy as np import lightgbm as lgb #import xgboost as xgb from scipy.sparse import vstack, csr_matrix, save_npz, ..

* 작업환경 VMware [Windows XP Professional] ollydbg [shadow] * 실습을 진행하기 전에 알아야 할 사항(ollydbg) 1) 디스어셈블러 윈도우(Disassembler window) : 프로그램의 어셈블리 언어를 보여주는 창 2) 레지스터 윈도우 : 레지스터 상태를 보여주는 창 (EAX, EBX 등) 3) 스택 윈도우 : 스택을 보여주는 창 4) 메모리 덤프 윈도우 : 특정 메모리의 헥사 값(16진수)을 보여주는 창 1. masm32 설치 1) 설치링크 http://www.masm32.com/download.htm Download The MASM32 SDK NOTE on the version of MASM supplied in the MASM32 SDK. The v..