아이다로 열었는데 해당 툴로 분기문 참거짓까지 확인하기 어려워서 그냥 무조건 다음 프로세스가 많은 곳으로 가서 분석했다.
calldll이라고 rename한 함수가 있다. 서브루틴들은 접은 글로 정리했다.
더보기
GetSystemDirectoryW는 시스템 디렉토리의 경로를 검색한다.
버퍼에 데이터를 작성한다. 하고 해당 파일을 Load 하는 거 같다.
sub_406694 내용은 접은글 >> address로 rename
더보기
OleInitialize가 어떤 함수인지 찾아봤는데 OLE라는 개체가 있는 거 같다. 윈도우에서 어떤 개체가 포함된 문서를 만들고 편집할 수 있는 기능을 말하는 거 같다. Object Linking and Embedding의 약어로, 찾아보니까 어떤 외부의 object에서 링킹을 하는 거기 때문에 해당 방법으로 악성 스크립트를 꺼내오지 않을까 싶다.
SHGetFileInfoW는 uflags에 따라 결과가 달라지므로 나중에 동적분석에서 확인해야될 거 같다.
sub_4062BA는 접은글
불러온 파일의 address를 얻는 거 같다.
더보기
이 이후에는 자꾸 뭔가를 cmp하는 명령어가 계속 나오는데 char가 맞게 나오는 건지 확인하는 거 같다. 자세히 분석하지는 않고 생략해서 넘겼다.
GetTempPathA를 이용해서 drop하는 거 같다.
SetEnvironmentVariableW로 어떤 환경변수를 참조한다. 이 함수로 어떤 악성 행위를 실행하지 않을까...라고 생각해본다.
DeleteFilew로 흔적을 지우는 거 같다.
어떤 tmp파일을 보는 거 같다. 양쪽 분기문 sub_4057F1과 sub_40586E 둘 다 어떤 security 관련한 함수를 쓴다.
string cpy하는 함수라 cpy로 rename
더보기
위에 SearchIndexer.exe 파일도 악성행위로 사용되는 프로그램 같다. 아래 보면 protocolhost, filehost 등을 검색하는 거 같다.
정말로 system32 폴더에 존재한다.
vmem 파일로 정확히 어떤 cmd를 입력했고 ps, net scan을 해봐야 더 자세히 알고 다시 동적 분석으로 돌아올 수 있을 거 같다.
