[Defcon DFIR CTF 2019] Memory 08

8. mal-ware-are-you

의심되는 악성코드의 md5 해시값을 찾는 문제입니다.

 

pstree: 실행 중인 프로세스 간의 연결 구조를 트리형식으로 출력

명령어는 vol.exe -f 파일이름 --profile=프로파일이름 pstree 형식이나

vol.exe -f 파일이름 pstree  --profile=프로파일이름 형식으로 쓰면 됩니다.

 

procdump: 프로세스 메모리 덤프 생성. 장애 프로세스의 원인을 파악하는데 사용. 

명령어는 vol.exe -f 파일이름 --profile=프로파일이름 procdump -p PID -D . 형식으로 쓰면 됩니다.

 

certutil: 윈도우10에 내장되어 있는 md5 해시값 구하는 툴. 

명령어는 CertUtil -hashfile 파일이름 MD5 형식으로 쓰면 됩니다.

 

 

vol.exe -f defcon.mem pstree --profile=Win7SP1x64
vol.exe -f defcon.mem --profile=Win7SP1x64 procdump -p 3496 -D .
certutil -hashfile executable.3496.exe md5

1) cmd 열기

2) pstree 이용.

3) procdump 이용.

4) certutil 이용.

먼저 pstree를 이용하여 PID를 구합니다. PID를 이용하여 procdump를 합니다. 결과값으로 나온 executable.3496.exe의 해시값을 certutil를 이용하여 구합니다.

정답: 690ea20bc3bdfb328e23005d9a80c290