[Memory] GrrCON 2015 #22

 

https://whitesnake1004.tistory.com/698

Memory - GrrCON 2015 #22

 

이 풀이가 나에겐 와닿지 않는다. 

 

순전히 제가 생각한 흐름이니까 틀린 점 있으면 알려주세요.

---

"내가 생각하는" 풀이의 흐름은 이렇다. 

 

c&c 서버라고 했으니까 netscan결과를 봐야겠다. 여러 결과가 나오는데 iexplore.exe가 딱 하나 있고 눈에 띈다. 

 

54.84.237.92가 답이라고 생각이 들지만, 더 정확히 판단을 내리기 위해서 malfind결과를 본다. 

 

malfind

• 사용자 모드 형태로 은폐되어 있거나 인젝션 된 코드 또는 DLL 정보를 분석하는 명령어
• VAD 태그와 페이지 권한들 같은 문자들을 기반으로 사용자 모드 메모리에 숨겨져 있거나 삽입되어 있는 코드가 DLLs를 찾아낸다. 

python vol.py -f pos1.vmss --profile="Win7SP1x86_23418" malfind

 

많은 결과가 나오는데 iexplore.exe가 2개 나오는데 앞의 결과 3208이 여기 있다.  

 

때문에 netscan의 결과로 발견한 ip가 정답인 것을 확신할 수 있다. 

 

54.84.237.92