PMAT 여정 — 2

마지막 업데이트에서 과정을 21% 진행했으며 실험실에서 맬웨어 샘플에 대한 분석을 시작하지 않았습니다. 몇 가지 모듈을 완료하여 47% 완료했습니다. 기본 정적 분석을 완료 하고 기본 동적 분석을 시작했습니다 . 이 용어들을 분해해 봅시다.

정적 분석은 실행하지 않고 악성코드를 분석하는 것입니다. 반면 동적 분석은 샘플이 실행되는 동안 맬웨어를 분석합니다. 그렇기 때문에 랩 환경이 인터넷과 호스트 시스템으로부터 잠겨 있는지 확인하는 것이 매우 중요합니다. 당신은 하지 않습니다호스트 시스템을 감염시키지 않고 실제로 C2(Command and Control) 서버에서 악성 항목을 다운로드하지 않는 것과 같은 여러 가지 이유로 맬웨어 샘플이 호스트나 인터넷에 닿기를 원합니다. 그렇기 때문에 Matt는 이 과정과 이후 과정에서 맬웨어를 폭파할 때 안전을 보장하기 위해 많은 시간과 노력을 기울였습니다. 그는 또한 맬웨어를 분석으로 안전하게 처리하는 산업 표준, 맬웨어 샘플의 안전한 소스에 대해 논의하고 의도적으로 맬웨어를 사용할 준비가 될 때까지 맬웨어 샘플을 손상되지 않도록 하는 데 시간을 보냅니다.

여담으로, 저는 개인적으로 defang과 Fang이라는 용어에 여전히 낄낄거립니다. 아마 제 멍청한 그레이하운드와 그들의 이빨이 생각나기 때문일 것입니다. 아래를 참조하십시오.

기본 정적 분석 강의에서는 샘플 해싱, 맬웨어 리포지토리 확인, 문자열 및 FLOSS 사용, PEview 및 PEStudio를 포함하는 여러 주제를 안내합니다. 그 외에도 Matt는 귀하가 하고 있는 일의 "이유"를 이해할 수 있도록 약간의 추가 지식을 제공합니다. 코스를 수강하는 동안 다른 사람들도 그렇게 할 것이라고 확신하기 때문에 끝없이 감사합니다. 이를 통해 몇 가지 기본적인 Windows API(Application Programming Interface) 설명과 PEview를 사용하여 맬웨어를 보다 철저하게 특성화하는 방법에 대해 자세히 설명합니다. 예를 들어 Matt는 PEview에서 특정 헤더를 살펴보는 것의 중요성에 대해 논의하여 분석가로서 맬웨어가 압축될 수 있는지 확인하는 데 도움을 줍니다. 맬웨어 압축 은 맬웨어 작성자가 위장 또는AV(안티바이러스) 탐지를 피하기 위해 실행 파일을 난독화합니다 .

아래에 내 VM의 스크린샷이 포함되어 있습니다. 나는 검게하고 일부 텍스트를 회색으로 표시했습니다. 이 과정의 일부 "샘플"은 멀웨어를 모방하기 위해 Matt가 작성했습니다. 그래서 나는 A) 그의 자료를 표절하거나 B) 코스에서 탐색의 재미를 포기하고 싶지 않습니다. 강조 표시된 비트, 가상 크기 및 원시 데이터 크기 는 맬웨어 샘플이 압축되었는지 확인하는 데 도움이 되는 맬웨어 분석 퍼즐의 일부입니다.

나에게 눈을 뜨게 한 코스의 다른 부분은 PEview에서 IMPORT_Address_Table을 사용하고 있습니다. 이것은 Matt가 작업 뒤에 있는 "이유"에 대해 더 많은 정보를 제공하는 또 다른 예입니다. IAT는 API 호출에 대한 정보를 수집하고 해당 정보를 다른 IOC(침해 지표)와 연관시켜 현재 상황에 대한 더 큰 그림을 그리는 데 사용할 수 있습니다. 걱정하지 마십시오. 자세히 설명해 드릴 것입니다.

저는 개인적 으로 시작하기 전에 Matt가 어떻게 메모를 작성하는지 알아보기 위해 기본 정적 분석 모듈 의 마지막 부분에 있는 메모 검토를 빠르게 살펴볼 것을 권장합니다 . 그는 Microsoft OneNote를 사용하지만 이것이 귀하에게 제공되지 않는 경우 스크린샷을 저장할 수 있는 기능이 있는 워드 프로세서로 충분합니다. 지금 그가 말하는 내용을 이해할 필요는 없습니다. 모듈을 진행하면서 메모할 수 있도록 그가 메모하는 방법에 대한 아이디어를 얻으십시오.

마지막으로 Matt는 과정의 초기 릴리스 이후 몇 가지 업데이트를 추가했습니다. 21년 11월 28일에 그는 mrd0x의 MalAPI.io 라는 훌륭한 리소스와 사용 방법에 대한 정보를 추가했습니다 . 이것은 맬웨어에서 일반적으로 남용되는 Windows API를 식별하는 데 도움이 됩니다. 또한 2022년 11월 19일에 Capa by Mandiant 라는 도구에 대해 논의하는 보다 최근 업데이트가 이루어졌습니다 . Capa는 그 자체로 야수이며 MITRE ATT&CK 와 같은 프레임워크 와 TTP(Tactics, Techniques, and Procedures) 정의에 대한 업계 표준, Malware Behavioral Catalog (MBC)에 매핑됩니다.

아, 제가 언급한 바에 따르면 Matt Kiely는 오늘 TryHackMe에서 Advent of Cyber ​​2022 이벤트를 주최하고 있으며 따라갈 캐롤이 있습니다. 이 글을 올린 후에 확인하겠습니다.