[Memory] GrrCON 2015 #10

 

pid 2996을 memdump로 얻어서 strings로 뽑아낸 그 파일에서 ".exe"로 검색하면 다음과 같은 것을 발견할 수 있다. 

g로 시작 안한다 했고 exe만 뽑아보면

Rar.exe -> 압축관련 실행파일

wce.exe -> windows credential editor. 인증관련 뭐 파일인간보다...

nbtscan.exe -> netbios scan

 

nbtscan.exe, Rar.exe, wce.exe

 

---

아니.. 저 많은 .exe 중에서 저건지 어떻게 확신하지??