HighCode

블로그 이미지

프알못

모두를 위한 프로그래밍, 보안, IT 정보

'UnderCode'에 해당되는 글 6건

제목 날짜
  • 가짜 백신프로그램 Trojan.FakeAV 제거하기 2016.10.18
  • [랜섬웨어] A** 랜섬웨어 툴 2016.10.02
  • 랜섬웨어를 알아봅시다. [복구법&작동원리 포함] 2016.10.02
  • [CrackMe] CrackR's KrakkRSR 2016.10.01
  • 블랙해커들이 사용하는 백신 우회 기법 1 [코드 암호화](3) 2016.10.01
  • [CrackMe] Delphi CrackMe #1(2) 2016.10.01

가짜 백신프로그램 Trojan.FakeAV 제거하기

UnderCode/Malware 2016. 10. 18. 15:00




요즘은 많이 없어진 편이지만


예전에는 가짜 백신 프로그램들이 아주 인터넷상에 엄청나게 많았죠


지금도 종종 볼 수 있습니다. 이러한 프로그램들은 대부분의 메이저 백신프로그램들이 Trojan.FakeAV로 탐지하고 있습니다.


Trojan.FakeAV


확산성 : 낮음

심각성 : 낮음


[설명]

가짜 백신 프로그램으로 위장하여 사용자 PC에 악성코드 및 악성 프로그램이 설치된것처럼 속여 사용자로 부터 결제를 유도하는 악성 프로그램. 

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 에 레지스트리를 등록하여 컴퓨터가 켜질때마다 사용자를 귀찮게 하는게 특징이라면 특징.

조금만 조심하면 감염되지 않으며, 설치된것 만으로 어떠한 악성행위는 하지 않으므로 확산성, 심각성 두 개 모두 낮음을 주었습니다.




치료 방법


치료 방법은 현재 사용하고 있는 백신 프로그램을 이용하여 치료를 시도 해볼 수 있고, 혹여 치료가 불가능하다면 전용 백신을 통하여 치료 할 수 있습니다.


TrojanFakeAv_removal_x86.exe


Bitdefender 에서 만든 전용 백신입니다. 필요하신분은 사용해서 치료 해주세요.



가짜 백신 제거, 가짜 백신 치료, Trojan.FakeAV


저작자표시비영리동일조건

'UnderCode > Malware' 카테고리의 다른 글

가짜 백신프로그램 Trojan.FakeAV 제거하기  (0) 2016.10.18
랜섬웨어를 알아봅시다. [복구법&작동원리 포함]  (0) 2016.10.02
블랙해커들이 사용하는 백신 우회 기법 1 [코드 암호화]  (3) 2016.10.01
Posted by 프알못
IT, 악성코드, 악성코드무료치료

트랙백

※ 스팸 트랙백 차단중 ...{ ? }

[랜섬웨어] A** 랜섬웨어 툴

UnderCode/Hacking Tool 2016. 10. 2. 03:02

본 블로그에서는 해당 프로그램을 제공하지 않습니다.


얼마전에 랜섬웨어 툴을 하나 얻어서 소개하고자 한다.


▲ A** 랜섬웨어 툴


- 비트코인을 받을 주소

- 복호화 가격(BTC)

- 복호화할 파일 확장자


이렇게 3가지를 입력한 후 빌드하면 끝인 구조.




생성된 파일.


먼저 백신프로그램을 이용해서 파일을 검사해보았다.


File Name: highcode.exe 

File Size: 598.5 KB
Scan Date: 19:10:35 | 10/01/2016
Detected by: 17/35

MD5: fd90c255aca906d54f795d9d1a43df25
SHA256: 17a5649e35dc7ff6b36453fe3ae42acd9d2dadabc980ec4c7b4d8a4f82033f5e

A-Squared: Clean
Ad-Aware: Gen
Avast: Clean
AVG Free: Could be a Trojan horse Ransom.EDA2.dropper
Avira: Clean
BitDefender: Gen
BullGuard: Gen
Clam Antivirus: Clean
Comodo Internet Security: TrojWare.Win32.TrojanDownloader.Prardrukat.AA@397154239
Dr.Web: Trojan.DownLoader22.55002
ESET NOD32: Trojan.MSIL/Filecoder.Atom
eTrust-Vet: Gen
F-PROT Antivirus: Clean
F-Secure Internet Security: Gen
FortiClient: Clean
G Data: Gen
IKARUS Security: Clean
K7 Ultimate: Trojan ( 004f98bb1 )
Kaspersky Antivirus: HEUR
McAfee: Clean
MS Security Essentials: Clean
NANO Antivirus: Clean
Norman: Gen
Norton Antivirus: Heur.AdvML.B
Panda CommandLine: Clean
Panda Security: Clean
Quick Heal Antivirus: EE
Solo Antivirus: Clean
Sophos: Clean
SUPERAntiSpyware: Clean
Trend Micro Internet Security: Ransom_ATOM.SM0
Twister Antivirus: Backdoor.544A409DC7A7C661
VBA32 Antivirus: Clean
VIPRE: Clean
Zoner AntiVirus: Clean



실 테스트


가상머신에서 테스트 해보기로 했다 jpg만 전부 암호화 시켜보자



오늘의 실험체 windows 기본 사진여러분들







짠... at파일로 전부 암호화 되었다. 원래대로 확장자를 바꿔도 사진이 나오지 않는다.






얼마지나 이런 페이지가 나타났다. 

협박 당하는 중 =_=..



이것으로 랜섬웨어 툴 소개 끝

저작자표시비영리동일조건

'UnderCode > Hacking Tool' 카테고리의 다른 글

[랜섬웨어] A** 랜섬웨어 툴  (0) 2016.10.02
Posted by 프알못

트랙백

※ 스팸 트랙백 차단중 ...{ ? }

랜섬웨어를 알아봅시다. [복구법&작동원리 포함]

UnderCode/Malware 2016. 10. 2. 02:23

요즘 사회이슈중 하나인 랜섬웨어를 소개 하고자 합니다.


우선 랜섬웨어가 뭔지 부터 소개하자면..



랜섬웨어란?


RANSOM(몸값을 요구하다) + WARE(제품) 의 합성어로

사용자의 프로그램을 인질로 삼아 몸값을 요구하는 악성코드 입니다.



▲ 랜섬웨어를 한장으로 표현한 그림



어떻게 작동하는가?


랜섬웨어는 우선 사용자의 실행으로 작동합니다. 사용자가 해당 악성코드를 모르고 받아 실행하면 즉시 랜섬웨어는 사용자의 파일을 암호화 하기 시작합니다. 일단 암호화 된 파일은 복호화를 위한 키가 없으면 복구할 수 없습니다.


여기서 해커는 키를 주는 대가로 금품을 요구하게 됩니다.



보통 자신의 익명성을 지키기 위해 비트코인을 이용하여 금품을 줄것을 요구하고 있습니다.

일부 랜섬웨어는 백신제품이 복구해주는 경우도 있으나 그렇지 않은경우 파일은 영영 복구되지 않습니다.




램섬웨어에 걸렸을 경우 대처법


중요한 파일은 무조건 백업 해두시는게 제일 좋습니다. 하지만 의도치않게 감염되었다면 즉시 컴퓨터를 강제로 종료하고 

복구모드로 부팅하여 파일을 백업해야 합니다. 종료하는 시기가 늦으면 늦을수록 파일이 암호화 되므로 빠르게 종료하는게 좋습니다.

그냥 감염되면 바로 전원을 빼버리세요..


복구가 가능한 랜섬웨어들의 경우 대부분 카스퍼스키에서 복구툴을 제공하고 있습니다. 카스퍼스키 만쉐


https://noransom.kaspersky.com/


자신이 해당하는 랜섬웨어를 체크하고 해당 소프트를 눌러 복구툴을 받아서 실행해주시면 됩니다.



카스퍼스키에서 지원하는 복구가능한 랜섬웨어 목록


1. WildfireDecryptor tool


- Wildfire 지원


2. ShadeDecryptor tool


- Shade version 1 

- Shade version 2.


3. RakhniDecryptor tool


- Rakhni

-Agent.iih

-Aura

-Autoit

-Pletor

-Rotor

-Lamer

-Lortok

-Cryptokluchen

-Democry

-Bitman (TeslaCrypt) version 3 and 4

-Chimera.


4. RannohDecryptor tool


Rannoh

- AutoIt

- Fury

- Crybola

- Cryakl

- CryptXXX versions 1 and 2 (Trojan-Ransom.Win32.CryptXXX로 진단되는 악성코드에 의해 암호화된 파일이 감지되었지만 복구 되지 않은 파일들)

- Polyglot



돈을 내면 해커들은 파일을 복구해 주는가?



경우에 따라 다릅니다. 초기에는 해커들은 몸값만 지불하면 복호화 키를 보내줬지만 현재 랜섬웨어 피해가 증가하고 수사가 집중되는 상황에서 자신의 익명을 드러내지 않기 위해서 몸값만 챙기는 경우가 있고, 그냥 한탕하고 도망가야지 라고 생각하는 더 악질적인 해커들이 존재해서 파일을 복구받지 못하는경우가 많이 발생하고 있습니다. 혹여 돈을 줄까라고 생각하신다면 정말 정말 신중하게 생각해보시고 보내는것을 추천드립니다. 왠만하면 보내지마세요..




랜섬웨어 랜섬웨어 치료법 랜섬웨어 치료 랜섬웨어 뜻 

램섬웨어 원리 암호화 복호화


저작자표시비영리동일조건

'UnderCode > Malware' 카테고리의 다른 글

가짜 백신프로그램 Trojan.FakeAV 제거하기  (0) 2016.10.18
랜섬웨어를 알아봅시다. [복구법&작동원리 포함]  (0) 2016.10.02
블랙해커들이 사용하는 백신 우회 기법 1 [코드 암호화]  (3) 2016.10.01
Posted by 프알못
IT, 랜섬웨어, 맬웨어, 악성코드

트랙백

※ 스팸 트랙백 차단중 ...{ ? }

[CrackMe] CrackR's KrakkRSR

UnderCode/Cracking 2016. 10. 1. 22:50

[Description]

[파일] CrackR's KrakkRSR

[유형] key 찾기

[제작언어] .Net

[난이도] 0


이번에는 .net 으로 구현된 파일을 크래킹 해보겠습니다.



오늘의 주인공 Form1 입니다.


바로 디스어셈블러로 코드 확인


...

너무 쉽군요 krakkey 만 찾으면 끝


1
2
3
4
5
6
public Form1()
{
    this.krakkey = "2968723465784783";
    this.components = null;
    this.InitializeComponent();
}

cs

엌ㅋㅋ 3초만에 발견




크랙완료




크래킹, .Net 크랙, 크랙미, 크랙하기, 게임크랙, 프로그램 크랙, 디버거


저작자표시비영리동일조건

'UnderCode > Cracking' 카테고리의 다른 글

[CrackMe] CrackR's KrakkRSR  (0) 2016.10.01
[CrackMe] Delphi CrackMe #1  (2) 2016.10.01
Posted by 프알못

트랙백

※ 스팸 트랙백 차단중 ...{ ? }

블랙해커들이 사용하는 백신 우회 기법 1 [코드 암호화]

UnderCode/Malware 2016. 10. 1. 21:44

블랙해커들은 자신의 맬웨어가 백신프로그램에 의한 탐지를 방지하기 위해 여러가지 우회 방법을 이용하는데 

그중 한가지 코드 암호화를 소개하겠습니다.


본 블로그에서는 정확한 해킹 기법등을 제공하지 않습니다.



코드 암호화 기법?


코드 암호화 기법은 내부 바이너리 코드를 암호화 해서 백신 프로그램이 해당 파일을 검사할 시 맬웨어 패턴을 검사하는것을 방지하여 백신을 우회할 수 있는 방법입니다.



암호화 기법은 해당 맬웨어 코드를 암호화 해놓고 사용자가 실행하면 메모리에서 해당 코드가 복호화 되어 실행되는 구조를 가지고 있어서

탐지하기 어려우므로 사용자들이 감염되기 쉽습니다.



백신 프로그램은 이를 어떻게 탐지 하는가?


코드가 일단 암호화되면 보통 키 값을 private 하게 주기 때문에 복호화 코드를 모르는 이상 백신 프로그램이 이를 복호화하는것은 거의 불가능합니다. 때문에 백신프로그램은 이를 탐지하기 위해 암호화 프로그램마다 가지고 있는 시그니처 코드를 가지고 탐지를 하게 됩니다.


이런 방식의 탐지는 오진율을 크게 높이게 되는데, 가령 이미 리포트된 암호화 프로그램을 통해 사용자에게 무해한 프로그램을 암호화 하게 되면 백신 프로그램들은 이를 맬웨어로 분류하여 탐지하게 됩니다.




한번 사용해 봅시다.


암호화 프로그램이 블랙해커들에게 얼마나 유용한것인지 한번 제가 테스트 해보겠습니다.



원본파일(맬웨어)  [34/86]




86개의 백신중 34개가 맬웨어로 탐지합니다. 

.. 왜이렇게 못잡는..?




암호화된 파일 [25/86]




86개의 백신중 25로 줄어들었습니다. 오래된 암호화 프로그램이라 효과가 크게 나타나진 않았지만 효과가 있네요.





오늘은 코드 암호화를 알아봤습니다.

블랙해커들은 지금도 무수히 많은 암호화 프로그램을 내놓고 있고 백신회사들도 빠르게 그에 대응하고 있는 

정말이지 창과 방패의 싸움이라 할 수 있겠네요.




저작자표시비영리동일조건

'UnderCode > Malware' 카테고리의 다른 글

가짜 백신프로그램 Trojan.FakeAV 제거하기  (0) 2016.10.18
랜섬웨어를 알아봅시다. [복구법&작동원리 포함]  (0) 2016.10.02
블랙해커들이 사용하는 백신 우회 기법 1 [코드 암호화]  (3) 2016.10.01
Posted by 프알못
  • 익명
    2016.12.09 11:20

    스크립트 키디들이 프로텍터 도구로 사용해서 백신 무력화를 하죠. (개나소나)

    • 프알못
      2016.12.10 18:19 신고

      스크립트 키드가 아니더라도 편의상 해커들도 툴을 이용하는 경우가 많습니다. 툴을 이용하더라도 우회가 힘들다면 매뉴얼리하게 직접 코드를 수정합니다. 쉬운 길 놔두고 어려운길 가는 사람이 바보아닌가요? 스크립트 키드는 단지 툴 외의 방법으로는 우회를 하지 못하는 사람을 일컫는 말입니다.

  • 렛잇고
    2017.02.06 01:24

    유용하게 잘봤습니다 !! 바이러니 암호화 프로그램은 예를 들어 뭐가있을까요?

트랙백

※ 스팸 트랙백 차단중 ...{ ? }

[CrackMe] Delphi CrackMe #1

UnderCode/Cracking 2016. 10. 1. 20:53

오랜만에 크래킹 연습을 위해 외국사이트에서 CrackMe를 하나 찾았네요..

한번도 시도 안해본 Delphi 로 짜여진 CrackMe 로 오래만에 크랙해보겠습니다.


[Description]

[파일] Volty's Delphi Crackme #1

[유형] key 찾기

[제작언어] Delphi

[난이도] 2




오늘 크랙할 프로그램입니다. 


많이본 CrackMe와 같은구조로 적절한 코드를 입력하고 아니면 아예 분기를 싹 다 통과로 바꾸던가... 버튼을 누르면 통과되는 프로그램입니다.

테스트로 아무 코드나 넣고 버튼을 눌러보겠습니다.



이렇게 아무렇게나 입력을 하고... Autheenticate 버튼을 누르면...



"아무 일도 일어나지 않았다."



제작자가 틀린코드는 아무것도 뜨지 않도록 해놨네요... 보통 틀렸을때 뜨는 메세지가 있을경우 string 값을 찾아서 쉽게 코드를 찾을 수 있는데 아쉽네요.


그럼 바로 ollydbg를 꺼내들고 크랙해보겠습니다.



▲ ollydbg로 열어본 해당 파일




우선 가장 만만한... string 파일을 뒤져보겠습니다. All referenced text string 을 들어가서 찾아보죠




바.로.발.견


다행히(?) 만만한 string 값 찾기로 바로 코드 오프셋을 알 수 있었습니다.

이제 해당 오프셋에 적절하게 breakpoint를 걸고 실행하면 되겠네요.





문자열 출력을 위해 파라메터를 준비하는 부분으로 예상할 수 있습니다.

이프로그램에서는 아예 틀린 값인경우 이 부분으로 넘어오지도 않습니다.



이 부분을 찾은것만으로는 해결 불가능하니 입력값을 받아서 키 값과 대조하는 부분을 찾아보죠



ㅋㅋ 간단하게 완료..!


한 opcode 씩 실행시켜서 키 값과 입력값이 일치하면 넘겨주는 부분을 찾으면 끝이겠네요


00537388     8B45 FC                 MOV EAX,DWORD PTR SS:[EBP-4]


해당 코드를 실행했을 경우 레지스터 결과



EAX 보시면 제가 테스트로 적은 코드값이 들어가 있네요 감이온다 감이...



0053738B     8B15 38E75400           MOV EDX,DWORD PTR DS:[54E738]


다음 라인. 54E738 ... Data Stack 을 바로 확인해보니 7DDE7C 라는 값 발견.

이걸 다시 타고 메모리 스택을 확인하니 ...



코드 중간 중간 보이던 유니코드 값들이 합쳐져있는게 보이네요. 아마도 이게 우리가 찾던... ㅎㅎ

쭉쭉 내려서 코드를 실행하다 보면


00537391    E8 CA06EDFF                   CALL Crack_Au.00407A60

00537396    75 23                             JNZ SHORT Crack_Au.005373BB

00537398    C705 50E75400 60EA000    MOV DWORD PTR DS:[54E750],0EA60

005373A2    C705 48E75400 2515030    MOV DWORD PTR DS:[54E748],31525

005373AC    C705 4CE75400 0000000    MOV DWORD PTR DS:[54E74C],0

005373B6    E8 99FEFFFF                     CALL Crack_Au.00537254

005373BB    33C0                              XOR EAX,EAX


값의 동일을 확인한후 분기하는 부분입니다. 여기를 손봐주면 이건 끝이네요




크랙완료



그럼 이제 키 값을 제 마음대로 바꿔보겠습니다.



제 블로그로 키값 변경





잘되네요!




크래킹, CrackMe, 델파이 크랙, 크랙하는법, 리버싱, 크래킹 하는법, 해킹


저작자표시비영리동일조건

'UnderCode > Cracking' 카테고리의 다른 글

[CrackMe] CrackR's KrakkRSR  (0) 2016.10.01
[CrackMe] Delphi CrackMe #1  (2) 2016.10.01
Posted by 프알못
리버싱, 크랙
  • ㅁㅁ
    2016.10.02 10:50

    어셈블리어 어디서 공부하셨나요??

  • craz_box
    2019.08.17 22:43 신고

    델파이개발하나요? 아니면 델파이리버싱만 하나요

트랙백

※ 스팸 트랙백 차단중 ...{ ? }
이전페이지 다음페이지
블로그 이미지

모두를 위한 프로그래밍, 보안, IT 정보

by 프알못

공지사항

    최근...

  • 포스트
  • 댓글
  • 트랙백
  • [SPRING] JSP 주석 정리
  • [Spring] 이클립스(eclipse) 톰캣.. (3)
  • [C] Anti Sandbox
  • 2017년 1월 토렌트 트래커 모음(201..
  • [Spring] Controller 에서 ModelAnd..
  • 더 보기
  • 델파이개발하나요? 아니면 델파이리..
    craz_box ㆍ 2019
  • 7번줄 SimpleDateFormat format = n..
    Mc ㆍ 2018
  • .바로 뒤에 공백 혹은 줄바꿈 문자..
    정규식어려워 ㆍ 2018
  • 문자열 내라서 \\\\ 쓰는 게 맞고,..
    Perit ㆍ 2018
  • 패턴 중 "^\\S+.는 \ 하나가 맞는..
    Rudy ㆍ 2018

태그

  • 토렌트
  • 컴퓨터 청소
  • 악성코드무료치료
  • 자바
  • 맬웨어
  • 백신
  • .트래커
  • 이클립스
  • 소프트웨어
  • CCleaner
  • IT
  • 트렌드
  • 랜섬웨어
  • 2016
  • Python
  • c언어
  • 포털사이트
  • 크랙
  • 파이썬
  • 프리웨어
  • 프로그래밍 언어
  • 악성코드
  • 토렌트 사용법
  • 리버싱
  • 스프링

글 보관함


  • 2018/09
    (1)

  • 2018/08
    (1)

  • 2017/03
    (1)

  • 2017/01
    (1)
«   2020/06   »
일 월 화 수 목 금 토
  1 2 3 4 5 6
7 8 9 10 11 12 13
14 15 16 17 18 19 20
21 22 23 24 25 26 27
28 29 30        

링크

카테고리

분류 전체보기 (28)
HighCode (14)
C/C++ (1)
Python (1)
Java (11)
C# (0)
Other (1)
UnderCode (6)
Malware (3)
Hacking Tool (1)
Exploit (0)
Cracking (2)
Software (5)
Torrent (3)
Game (0)
Freeware (2)
App (0)
News & Issue (2)
IT꿀팁 (0)
잼잼 (1)

카운터

Total
327,760
Today
21
Yesterday
404
방명록 : 관리자 : 글쓰기
프알못's Blog is powered by daumkakao
Skin info material T Mark3 by 뭐하라
favicon

HighCode

모두를 위한 프로그래밍, 보안, IT 정보

  • 태그
  • 링크 추가
  • 방명록

관리자 메뉴

  • 관리자 모드
  • 글쓰기
  • 분류 전체보기 (28)
    • HighCode (14)
      • C/C++ (1)
      • Python (1)
      • Java (11)
      • C# (0)
      • Other (1)
    • UnderCode (6)
      • Malware (3)
      • Hacking Tool (1)
      • Exploit (0)
      • Cracking (2)
    • Software (5)
      • Torrent (3)
      • Game (0)
      • Freeware (2)
      • App (0)
    • News & Issue (2)
    • IT꿀팁 (0)
    • 잼잼 (1)

카테고리

PC화면 보기 티스토리 Daum