시그니처를 기반으로 *dynmx*를 강력하게 만드는 몇 가지 DSL 기능을 찾을 수 있습니다:
* 대체 경로가 있는 API 호출 시퀀스 정의
* 정규 표현식을 사용한 API 호출 함수 이름 매칭
* 여러 연산자를 사용한 인수 및 반환 값 매칭
* 변수 저장, 예: API 호출 시퀀스에서 핸들 추적을 위해
* 부울 연산자(`AND`, `OR`, `NOT`)를 사용한 탐지 조건 정의

위에 표시된 시그니처를 사용하여 샘플 `c0832b1008aa0fc828654f9762e37bda019080cbdd92bd2453a05cfb3b79abb3`의 함수에 대해 *dynmx*를 실행하면 시그니처가 탐지되었음을 나타내는 다음 출력이 표시됩니다.```
$ python3 dynmx.py detect -i 601941f00b194587c9e57c5fabaf1ef11596179bea007df9bdcdaa10f162cac9.json -s process_hollow.yml


    |
  __|         _  _    _  _  _
 /  |  |   | / |/ |  / |/ |/ |  /\/
 \_/|_/ \_/|/  |  |_/  |  |  |_/ /\_/
          /|
          \|
            
 Ver. 0.5 (PoC), by 0x534a


[+] Parsing 1 function log(s)
[+] Loaded 1 dynmx signature(s)
[+] Starting detection process with 1 worker(s). This probably takes some time...

[+] Result
process_hollow	c0832b1008aa0fc828654f9762e37bda019080cbdd92bd2453a05cfb3b79abb3.txt

|

### 리소스
함수 로그에서 접근된 OS 리소스를 추출하려면, 함수 로그에 대해 *dynmx* 명령어 `resources`를 간단히 실행하면 됩니다. 아래는 SHA-256 해시 합계가 `601941f00b194587c9e57c5fabaf1ef11596179bea007df9bdcdaa10f162cac9`인 샘플에 대한 자세한 출력 예시입니다. 이는 [Avast-CTU Public CAPEv2 Dataset](https://github.com/avast/avast-ctu-cape-dataset)의 일부인 CAPE 샌드박스 보고서입니다.```
$ python3 dynmx.py -f detail resources --input 601941f00b194587c9e57c5fabaf1ef11596179bea007df9bdcdaa10f162cac9.json


    |
  __|         _  _    _  _  _
 /  |  |   | / |/ |  / |/ |/ |  /\/
 \_/|_/ \_/|/  |  |_/  |  |  |_/ /\_/
          /|
          \|

 Ver. 0.5 (PoC), by 0x534a


[+] Parsing 1 function log(s)
[+] Processing function log(s) with the command 'resources'...

[+] Result
Function log: 601941f00b194587c9e57c5fabaf1ef11596179bea007df9bdcdaa10f162cac9.json (/Users/sijansen/Documents/dev/dynmx_flogs/cape/Public_Avast_CTU_CAPEv2_Dataset_Full/extracted/601941f00b194587c9e57c5fabaf1ef11596179bea007df9bdcdaa10f162cac9.json)
	Process: 601941F00B194587C9E5.exe (PID: 2008)
		Filesystem:
			C:\Windows\SysWOW64\en-US\SETUPAPI.dll.mui (CREATE)
			API-MS-Win-Core-LocalRegistry-L1-1-0.dll (EXECUTE)
			C:\Windows\SysWOW64\ntdll.dll (READ)
			USER32.dll (EXECUTE)
			KERNEL32.dll (EXECUTE)
			C:\Windows\Globalization\Sorting\sortdefault.nls (CREATE)
		Registry:
			HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\OLEAUT (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Setup (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Setup\SourcePath (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\DevicePath (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\DisableImprovedZoneCheck (READ)
			HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings (READ)
			HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Security_HKLM_only (READ)
	Process: 601941F00B194587C9E5.exe (PID: 1800)
		Filesystem:
			C:\Windows\SysWOW64\en-US\SETUPAPI.dll.mui (CREATE)
			API-MS-Win-Core-LocalRegistry-L1-1-0.dll (EXECUTE)
			C:\Windows\SysWOW64\ntdll.dll (READ)
			USER32.dll (EXECUTE)
			KERNEL32.dll (EXECUTE)
			[...]
			C:\Users\comp\AppData\Local\vscmouse (READ)
			C:\Users\comp\AppData\Local\vscmouse\vscmouse.exe:Zone.Identifier (DELETE)
		Registry:
			HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\OLEAUT (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Setup (READ)
			[...]
	Process: vscmouse.exe (PID: 900)
		Filesystem:
			C:\Windows\SysWOW64\en-US\SETUPAPI.dll.mui (CREATE)
			API-MS-Win-Core-LocalRegistry-L1-1-0.dll (EXECUTE)
			C:\Windows\SysWOW64\ntdll.dll (READ)
			USER32.dll (EXECUTE)
			KERNEL32.dll (EXECUTE)
			C:\Windows\Globalization\Sorting\sortdefault.nls (CREATE)
		Registry:
			HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\OLEAUT (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Setup (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Setup\SourcePath (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\DevicePath (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\DisableImprovedZoneCheck (READ)
			HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings (READ)
			HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Security_HKLM_only (READ)
	Process: vscmouse.exe (PID: 3036)
		Filesystem:
			C:\Windows\SysWOW64\en-US\SETUPAPI.dll.mui (CREATE)
			API-MS-Win-Core-LocalRegistry-L1-1-0.dll (EXECUTE)
			C:\Windows\SysWOW64\ntdll.dll (READ)
			USER32.dll (EXECUTE)
			KERNEL32.dll (EXECUTE)
			C:\Windows\Globalization\Sorting\sortdefault.nls (CREATE)
			C:\ (READ)
			C:\Windows\System32\uxtheme.dll (EXECUTE)
			dwmapi.dll (EXECUTE)
			advapi32.dll (EXECUTE)
			shell32.dll (EXECUTE)
			C:\Users\comp\AppData\Local\vscmouse\vscmouse.exe (CREATE,READ)
			C:\Users\comp\AppData\Local\iproppass\iproppass.exe (DELETE)
			crypt32.dll (EXECUTE)
			urlmon.dll (EXECUTE)
			userenv.dll (EXECUTE)
			wininet.dll (EXECUTE)
			wtsapi32.dll (EXECUTE)
			CRYPTSP.dll (EXECUTE)
			CRYPTBASE.dll (EXECUTE)
			ole32.dll (EXECUTE)
			OLEAUT32.dll (EXECUTE)
			C:\Windows\SysWOW64\oleaut32.dll (EXECUTE)
			IPHLPAPI.DLL (EXECUTE)
			DHCPCSVC.DLL (EXECUTE)
			C:\Users\comp\AppData\Roaming\Microsoft\Network\Connections\Pbk\_hiddenPbk\ (CREATE)
			C:\Users\comp\AppData\Roaming\Microsoft\Network\Connections\Pbk\_hiddenPbk\rasphone.pbk (CREATE,READ)
		Registry:
			HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\OLEAUT (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Setup (READ)
			[...]
		Network:
			24.151.31.150:465 (READ)
			http://24.151.31.150:465 (READ,WRITE)
			107.10.49.252:80 (READ)
			http://107.10.49.252:80 (READ,WRITE)

## Installation
소프트웨어를 사용하려면 대상 시스템에 Python 3.9가 설치되어 있어야 합니다. 또한, 다음 Python 패키지들을 설치해야 합니다:
* `anytree`,* `lxml`,* `pyparsing`,* `PyYAML`,* `six` and* `stringcase`

패키지를 설치하려면 아래 표시된 `pip3` 명령어를 실행하세요. 시스템 전체에 패키지를 설치하는 대신 Python 가상 환경을 사용하는 것이 좋습니다.```
pip3 install -r requirements.txt

일반적으로, 출력에 표시된 대로 로그 처리, 결과 출력 형식 또는 멀티프로세싱과 관련된 여러 명령줄 매개변수를 정의할 수 있습니다. 또한 특정 작업을 실행하기 위해 명령을 선택해야 합니다. 작업자 수는 멀티프로세싱을 사용하는 명령에만 영향을 미친다는 점에 유의하십시오. 현재 이러한 명령은 `detect`와 `convert`입니다.

명령에는 특정 명령줄 매개변수가 있으며, 명령에 `-h` 매개변수를 지정하여 확인할 수 있습니다. 예를 들어 아래와 같이 `detect` 명령의 경우입니다.```
$ python3 dynmx.py detect -h
usage: dynmx.py detect [-h] --sig SIG [SIG ...] --input INPUT [INPUT ...] [--recursive] [--json-result JSON_RESULT] [--runtime-result RUNTIME_RESULT] [--detect-all]

optional arguments:
  -h, --help            show this help message and exit
  --recursive, -r       Search for input files recursively
  --json-result JSON_RESULT
                        JSON formatted result file
  --runtime-result RUNTIME_RESULT
                        Runtime statistics file formatted in CSV
  --detect-all          Detect signature in all processes and do not stop after the first detection

required arguments:
  --sig SIG [SIG ...], -s SIG [SIG ...]
                        dynmx signature(s) to detect
  --input INPUT [INPUT ...], -i INPUT [INPUT ...]
                        Input files

|

결과 출력의 세부 수준은 명령줄 매개변수 `--output-format`으로 정의할 수 있으며, 개괄적인 결과를 보려면 `overview`로, 자세한 결과를 보려면 `detail`로 설정할 수 있습니다. 예를 들어, 출력 형식을 `detail`로 설정하면 콘솔에 표시되는 탐지 결과에는 탐지를 유발한 정확한 API 호출과 리소스가 포함됩니다. 개요 출력 형식은 어떤 함수 로그에서 어떤 시그니처가 탐지되었는지만 표시합니다.

## 예제 명령줄
단일 작업자 프로세스로 함수 로그에서 *dynmx* 시그니처 탐지```
python3 dynmx.py -w 1 detect -i "flog.txt" -s dynmx_signature.yml

서명 확인 (기본적인 무결성 검사만 수행)```
python3 dynmx.py check -s dynmx_signature.yml

## 문제 해결
이 도구는 석사 논문을 작성하는 과정에서 개발된 개념 증명(proof-of-concept)임을 양해 부탁드립니다. 따라서 코드 품질이 항상 최상은 아니며 버그나 오류가 있을 수 있습니다. 주어진 시간 내에서 가능한 한 견고하게 도구를 만들기 위해 노력했습니다.

오류를 해결하는 가장 좋은 방법은 로깅(콘솔 및/또는 로그 파일)을 활성화하고 로그 레벨을 `debug`로 설정하는 것입니다. 예외 처리기는 상세한 오류를 로그에 기록하여 문제 해결에 도움을 줄 수 있습니다.