Malware-analysis-and-Reverse-engineering

공개적으로 제공되는 일부 악성코드 분석 및 리버스 엔지니어링 자료 (보고서, 팁, 트릭...)

[KPOT v2.0 스틸러 리버스 엔지니어링]

[MBR 디버깅 - IDA + Bochs 에뮬레이터 (CTF 예제)]

[Wireshark에서 TLS 복호화]

[Ryuk 랜섬웨어 - API 리졸빙 및 임포트 재구성]

[Formbook 리버싱]

[인코딩된 셸코드 리버싱]

[WINDBG 커널 및 사용자 모드 디버깅 (EPROCESS, ETHREAD, TEB, PEB...)]

[Cutter 2.0 - 새로운 기능 소개 (리버스 디버깅...)]

[C 함수 fopen 추적]

C 함수 fopen 추적 [파트1] - NTApi까지의 IDA Free 사용자 모드 Walk-Through 추적
C 함수 fopen 추적 [파트2] - Windbg 커널 디버깅 - 사용자 모드에서 커널 Executive 서브시스템까지의 Walk-Through

[표시(Visible) vs 숨김(Hidden) vs 매우 숨김(VeryHidden) 시트 - Excel 바이너리 파일 형식 (.xls)]

[Metasploit을 사용한 CVE-2019-0708 (BlueKeep) 악용 (수동 설정 GROOMBASE + GROOMSIZE)]

[MSOffice 외부 리소스 참조 남용]

MSOffice 외부 리소스 참조 남용 [파트1] - TEMPLATE_INJECTION
MSOffice 외부 리소스 참조 남용 [파트2] - OLEOBJECT_INJECTION

[CyberDefenders "DumpMe" 메모리 포렌식 챌린지를 1시간 안에 실시간으로 해결]

[PS에서 Volatility3 출력 형식 지정 트릭]

[고급 메모리 포렌식 (Windows) - 위협 헌팅 및 초기 악성코드 분석]

[LokiBot 분석]

[1] Lokibot 분석 - Windbg(커널 디버깅) 및 Live C2로 GuLoader 무력화
[2] Lokibot 분석 - GULoader 및 LokiBot C2 스푸핑 [파트1] - Python 자체 구현
[2] Lokibot 분석 - GULoader 및 LokiBot C2 스푸핑 [파트2] - INetSim + BurpSuite
[3] Lokibot 분석 - 리버싱, API 해싱, 디코딩

[Kaseya 공격과 관련된 REvil 랜섬웨어의 빠른 API 리졸빙]

[COM과 함께 춤을 - 컴포넌트 오브젝트 모델 이해를 위한 심층 분석]

COM이란 무엇이며 그 기능, 레지스트리의 COM (도구 - COM 뷰어), COM 클라이언트-서버 (Powershell/.NET COM 클라이언트 사용), IDA에서 COM 인스턴스 및 메서드 리버싱 (구조체, 타입, ComIDA 플러그인), LokiBot 악성코드 샘플에서 COM 메서드를 사용하는 흥미로운 방식

[HiveNightmare - 레지스트리 하이브 ACL의 버그]

[PE 파싱 도구에서 취약점 찾기 - 직접 작성하지 않은 도구는 절대 신뢰하지 말 것]

[정적으로 임포트된 오픈소스 라이브러리를 사용하는 바이너리(악성코드 샘플) 리버싱]

정적으로 임포트된 오픈소스 라이브러리를 사용하는 악성코드 샘플을 리버싱할 때 알아두면 유용한 메모, 팁 및 트릭

[CryptoCrazy 랜섬웨어 리버싱 - PoC 복호화기 및 몇 가지 트릭]

이 비디오는 리버싱 과정과 Python으로 PoC 복호화기를 만드는 가이드를 다룹니다. 비디오의 마지막 부분에서는 Powershell에서 직접 이 랜섬웨어의 복호화 루틴만 동적으로 호출하여 모든 파일을 복호화하는 또 다른 트릭을 다룹니다.

[.NET 리버싱의 Powershell 및 DnSpy 트릭 - AgentTesla]

[Powershell이 무엇인지 정말 안다고 생각하십니까 ???]

관리 코드(Managed code) vs 비관리 코드(UnManaged code). 리버싱 및 디버깅 중 발생하는 어려움.
좋은 예가 바로 Powershell 그 자체입니다.

[AgentTesla 악성코드의 전체 악성코드 분석 워크플로우]

[SmartAssembly 8+ 디난독화 및 원본 모듈 재생성 SAE+DnSpy]

비디오는 SAE(Simple-Assembly-Explorer)를 사용한 최신 SmartAssembly 8+(.NET용 상용 난독화 도구)의 디난독화와 DnSpy를 사용한 원본 모듈 재생성을 다룹니다. [샘플 다운로드]

[.NET 리버싱의 고급 DnSpy 트릭 - 추적, 중단점, VMProtect 처리]

[NightSky 랜섬웨어 - VMProtect 슈트를 입은 Rook RW 포크]

[IDAPro로 Delphi MBR Wiper 및 감염된 부트스트랩 코드 리버싱]

샘플, 제가 준비한 주석이 달린 IDA IDB, Bochs 이미지: [다운로드-비밀번호:infected]

[.NET 리버싱 Get-PDInvokeImports - P/Invoke, D/Invoke 및 동적 P/Invoke 처리]

관리 코드에서 비관리 코드를 호출하는 P/Invoke, D/Invoke 및 동적 P/Invoke 구현의 .NET 리버싱에 관한 비디오. Get-PDInvokeImports 도구 소개 [Get-PDInvokeImports]

[악성코드 분석 보고서 - APT29 C2-클라이언트 Dropbox 로더]

APT29 C2-클라이언트 Dropbox 로더의 리버스 엔지니어링 심층 분석.

[.NET 런타임을 로드하는 HTML 애플리케이션 "HTA" 분석]

[제로에서 히어로까지 - Tiny_Tracer로 APT29 추적의 고급 사용법]

자세한 내용은 비디오 아래의 설명을 확인하세요.

[.NET 리버싱의 고급 DnSpy 트릭 2 - PS 디버깅, Watch vs Locals, 코드 최적화, 그 외..]

Powershell 스크립트 디버깅 시 Powershell 프로세스 디버깅 - 모듈 로딩 포착 (dnSpy)
DnSpy 다중 프로세스 디버깅
.NET 디버깅 중 코드 최적화 처리 (Locals를 볼 수 없고 중단점을 설정할 수 없는 시기와 이유)
dnSpy의 Watch vs Locals 창 - 둘 다 활용하기 (필드 보기, 식 호출 등)

[네이티브 함수 및 어셈블리 코드 호출]

CPR @CPResearch에서 공개한 첫 번째 팁과 트릭 - IDA-Appcall, Dumpulator 및 순수 Unicorn Engine의 실용적인 사용법을 보여줍니다.
주석이 달린 코드 스니펫을 최대한 활용하기.
이를 멋지게 만드는 데 도움을 준 팀원 @BenHerzog11235 및 @a14xt에게 큰 감사를 전합니다.