mal_unpack

malunpack PE-sieve를 기반으로 하는 동적 언패커 📖 더 읽기 . 패킹된 악성코드를 실행하고, 페이로드가 언패킹될 때까지 기다린 다음, 페이로드를 덤프하고 원본 프로세스를 종료합니다. !CAUTION 이 언패커는 원본 악성코드를 실행합니다. 가상 머신에서만 사용하세요. ⚙ 사용법 기본 사용법: malunpack.exe /exe /timeout 기본적으로 삽입된 PE를 덤프합니다. 셸코드를 덤프하려면 /shellc 옵션을 사용하세요. 수정/후킹/패치된 PE를 덤프하려면 /hooks 옵션을 사용하세요. 언패커가 처음...

CAPEv2

CAPE: 악성코드 구성 및 페이로드 추출 - 문서 CAPE는 악성코드 샌드박스입니다. 샌드박스는 악성 파일을 격리된 환경에서 실행하면서 그 동적 동작을 계측하고 포렌식 아티팩트를 수집하는 데 사용됩니다. CAPE는 Cuckoo v1에서 파생되었으며, Windows 플랫폼에서 다음과 같은 핵심 기능을 제공합니다: API 후킹 기반의 행위 계측 실행 중 생성, 수정, 삭제된 파일 캡처 PCAP 형식의 네트워크 트래픽 캡처 행위 및 네트워크 시그니처 기반의 악성코드 분류 악성코드 실행 중 촬영된 데스크톱 스크린샷 대상 시스템의 전...

unlicense

Unlicense Themida/WinLicense 2.x 및 3.x로 보호된 실행 파일을 동적으로 언패킹하는 Python 3 도구입니다. 경고: 이 도구는 대상 실행 파일을 실행합니다. 대상 실행 파일이 무엇을 하는지 확실하지 않은 경우 반드시 VM에서 이 도구를 사용하세요. 참고: 32비트 실행 파일을 덤프하려면 32비트 Python 인터프리터를 사용해야 합니다. 특징 Themida/WinLicense 2.x 및 3.x 지원 32비트 및 64비트 PEEXE 및 DLL 지원 32비트 및 64비트 .NET 어셈블리EXE만 지원...

Shinigami

Shinigami Shinigami는 프로세스 할로잉 또는 일반적인 패커 루틴을 통해 주입되는 악성코드 임플란트를 탐지하고 언패킹하도록 설계된 실험적 도구입니다. 작동 원리 이 도구는 프로세스 할로잉과 관련된 NT 함수를 후킹하고 새로 실행 가능해진 메모리 페이지에 페이지 가드 비트를 표시하는 방식으로 작동합니다. 이 기법을 통해 Shinigami는 일반적으로 셸코드나 언패킹된 코드로 인해 발생하는 간접 흐름 변경을 탐지할 수 있으며, 이는 종종 악성코드를 나타냅니다. Shinigami는 대상 실행 파일을 일시 중단된 상태로...

VMUnprotect.Dumper

VMUnprotect.Dumper VMUnprotect.Dumper 는 변조된 VMProtect 어셈블리 를 찾는 프로젝트입니다. AsmResolver를 사용하여 VMP 로 보호된 어셈블리를 동적으로 언패킹합니다. VMProtect 3.7.0 최신 및 몇 가지 이전 버전에서 작동합니다. VMUnprotect.Dumper 사용 전 VMUnprotect.Dumper 사용 후 사용법 VMUnprotect.Dumper.exe example.vmp.exe 대상 앱이 다른 프레임워크를 사용하는 경우, 아마 작동하지 않을 것입니다. 필요에...