Monster Monster

충돌 시험장에는 차와 벽만 있는 게 아니다.궤도, 계측 센서, 초고속 카메라가 같이 있어야 한다.카메라가 꺼져 있으면 충돌은 일어났는데 아무것도 남지 않는다.지난 글에서 시뮬레이션 스크립트를 만들었다. 룰이 노리는 행위를 안전하게 발생시키는 스크립트다.그런데 스크립트는 혼자 돌지 않는다. 어딘가에서 실행돼야 하고, 실행한 결과가 어딘가에 쌓여야 하고, 쌓인 것을 룰로 뒤져 봐야 한다.2편에서 검증에 필요한 세 가지를 말했다. EDR이 설치된 컴퓨터, 행위를 일으킬 방법, 쌓인 로그를 룰로 뒤져볼 검색기. 3편이 두 번째였다. 이번 글은 나머지 둘, 첫 번째와 세 번째를 짓는 이야기다.전체 그림 — 명령과 로그는 다른 길로 다닌다먼저 이 글에 계속 나올 구조부터 정리하겠다. 글로 쓰면 이 한 줄이다.① ..

화재경보기에 점검 버튼이 달려 있는 이유를 생각해봤다.진짜 불을 내지 않고도 경보기가 동작하는지 확인하기 위해서다.탐지룰에도 그 버튼이 필요했다.지난 글에서 문제를 정리했다. 탐지룰을 만들어도 실제로 매칭되는지 확인할 방법이 없었고, 확인하려면 세 가지가 필요한데 그중 아무것도 없었다는 이야기였다.이번 글은 그중 두 번째, 탐지 대상 행위를 실제로 발생시키는 수단을 만든 이야기다.충돌 시험에 사람을 태우지는 않는다자동차 충돌 시험은 차를 시속 64km로 벽에 부딪혀서 에어백 전개 시점과 차체 변형을 측정한다. 여기에 사람을 태우지 않는다. 대신 인체와 유사한 질량 분포와 관절을 가진 더미를 태운다. 충돌은 실제로 일으키되 피해만 제거한 것이다.탐지룰 검증도 구조가 같다. 룰이 노리는 행위가 실제로 발생해..

집에 단 화재경보기가 1년 동안 한 번도 울리지 않았다. 좋은 걸까?탐지룰을 만드는 일이 정확히 이렇다.지난 글에서 하네스 엔지니어링이 무엇인지 이야기했다. 만든 것을 믿지 않기로 하고, 대신 확인해 줄 장치를 만드는 일이라고 했다. 그럼 나는 왜 그런 장치가 필요했을까. 이번 글은 그 이야기다.먼저 화재경보기부터 보자. 집 천장에 경보기를 달았다. 1년이 지났는데 한 번도 울리지 않았다. 이건 두 가지 중 하나다. 불이 안 났거나, 경보기가 고장났거나. 둘을 구분하지 않으면 안심할 수 없다. 그래서 화재경보기에는 점검 버튼이 달려 있다. 눌러보면 그 자리에서 울린다. 살아 있다는 뜻이다.내가 만들던 탐지룰에는 그 버튼이 없었다.탐지룰이 무엇인가회사 컴퓨터에는 보통 감시 프로그램이 깔려 있다. 보안 업계..

만드는 일과, 만든 것이 진짜 동작하는지 확인하는 장치를 만드는 일은 다르다.자동차 정기검사장에서 이 차이를 배웠다.자동차는 2년마다 검사를 받아야 한다. 검사장에 가면 검사원이 한 번 스윽 훑어보고 "이 정도면 브레이크가 잘 듣겠네요" 하며 도장을 찍어주지 않는다. 차를 롤러 위에 올리고, 실제로 브레이크를 밟게 하고, 제동력이 얼마나 나오는지 계기에 찍힌 숫자를 본다. 기준에 못 미치면 불합격이다. 검사원의 감이 아니라 숫자가 결정한다.소프트웨어를 만드는 사람들은 이상하게도 이 단계를 자주 건너뛴다. 코드를 읽어보고 "이러면 되겠다" 하고 배포한다. 문제가 없으면 잘 만든 것이고, 문제가 생기면 그때 고친다. 많은 팀이 이렇게 일하고, 대체로 굴러간다. 어느 규모까지는.나는 탐지룰을 만드는 일을 한다..

0. 개요우리 프로젝트에서 가장 위험하고, 가장 조심스럽게 설계된 컴포넌트가 Yggdrasil 입니다. 외부 세계에서 떠도는 익스플로잇(raw PoC)을 실제로 만지는 유일한 곳이기 때문입니다. Yggdrasil의 파이프라인 기준으로 소개합니다. "raw PoC 가 유입되고 안전한 recipe로 나가기까지" 1-cycle를 설명합니다. 1. Yggdrasil 이란?"raw PoC를 안전한 safe-poc로 만들고 recipe.yaml 로 변환 및 검증하는 작업장" 북유럽 신화의 세계수(Yggdrasil) 에서 이름을 빌렸으며, 뿌리(수집된 PoC)에서 시작해 가지(분석 및 검증)를 거쳐 열매(recipe)를 맺는, 이 시스템의 "제작소(Forge)" 입니다. Yggdrasil이 하는 역할은 단순합니다.-..

안녕하세요. 현재 개발 진행 중인 BAS 프로젝트를 소개 합니다. BAS 는 Breach Attack Simulation의 줄임말 입니다. 우리 프로젝트에서는 실시간으로 위협 정보(PoC)를 수집하고, 사용자가 그중 하나를 선택하면 사용자의 컴퓨터에 에이전트를 설치해 "안전한 PoC(Safe-PoC)" 수준으로 취약 여부를 검증합니다. 그리고 그 결과로 부터 내부 전파 가능성을 모델링해 그래프로 시각화 합니다. 핵심은 3 가지 입니다.- OSINT를 입력으로 받는다 ㅡ 소셜 트렌드 및 github, exploit-db 등 실시간으로 수집합니다.- 실제로 실행해 검증한다 ㅡ 단, 절대 무기화하지 않은 Safe-PoC만 실행합니다.(RCE -> calc.exe 실행 또는 임시 파일 생성)- 사람이 수동 동의..

개요 최근 비너스락커 조직이 문서파일 내에 은닉하여 악성코드를 유포 하고있다. 문서파일 열람 시 상단의 "콘텐츠 사용" 버튼을 클릭하면 문서파일 내 매크로가 실행되며 특정 C2와 연결하여 바이너리 파일 다운로드 후 실행되며, 해당 악성코드는 explorer.exe 에 Code Injection을 하여 약 5개의 플러그인 들을 실행시키며 자세한 사항은 하단에서 확인이 가능하다. 해당 보고서에서는 바이너리 파일만 분석을 진행하며 해당 바이너리 파일은 현재 상세분석 관련된 보고서가 공개되어 있지 않기에 상세분석을 하게 되었다. 문서파일 매크로 분석은 - https://monster-bbulman.tistory.com/12?category=670587 x64dbg를 활용한 doc 난독화 스크립트 분석 본 작성자..

이번 분석 건은 전에 분석했던 GandCrab FileLess 입니다. 분석을 하던 중에 전에 분석했던 것과 다른 점이 있어서 블로그를 작성하게 되었습니다. 다른 점은 Delphi 짜여진 바이너리 파일 행위가 바뀌었습니다. 전에 분석했던 것은 단순 GandCrab PE복호화 및 실행이었는데, 해당 분석 건에서는 V3 Check, UAC Bypss, ALYac Check 하는 기능들이 확인되었습니다. 자바스크립트를 열어보면 위와 같이 난독화 된 문자열들을 확인할 수 있다. 아래는 복호화한 스크립트 이다. 파워셸을 실행시키며 인자 값으로 .log를 실행하는 것으로 확인된다. log파일을 열어보면 base64로 인코딩 된 문자열들이 확인되며 복호화를 하면 아래와 같다. 전과 같이 분석을 하다보면 파일시그니처 ..