제리의 블로그

리소스 처리 FindResource, LoadResource, SizeofResource, LockResource메모리 할당 VirtualAllocEx, WriteProcessMemory(쓰기) 원격 프로세스에 스레드 생성 및 실행CreateRemoteThread(프로세스 핸들, 인젝션된 스레드의 시작점, 스레드의 인자) DLL 로드 LoadLibrary 프로세스 핸들링CreateToolhelp32SnapshotProcess32FirstProcess32NextOpenProcess -> 프로세스 핸들

위장 악성코드 실행 위장 악성코드의 유래는 간단하게 프로세스 목록을 통해 악성코드를 확인할 수 있기 때문에 악성코드 제작자는 이를 은닉하는 기법을 개발하게 됬다. 위장 실행 기법(covert launching technique)이라고 부른다. 실행기(로더, Loader) 자신이나 다른 악성코드를 설정하는 악성코드의 유형이다. 가장 일반적인 예로 실행 파일이나 DLL을 자신의 리소스 섹션에 갖고 있다. 리소스 섹션에 있는 악성코드를 실행시키기 전에 실행기는 FindResource, LoadReasource, SizeofResource, LockResource 같은 리소스 처리 API를 사용한다. 악성코드 실행기는 관리자 권한으로 실행되거나 관리자 권한으로 권한상승을 해야한다. 일반 사용자 권한으로는 모든 ..