[ctf-d] GrrCON 2015 #5

5팀 이은경

문제

 

풀이

재부팅 후에도 계속 실행되기 위한 레지스트리가 무엇인지 알아야 될 것 같다.

윈도우가 시작될 때마다 악성코드를 실행할 수 있는 방법이 있는데, (지속 메커니즘)

그 중 가장 일반적으로 쓰이는 방법은 RUN 레지스트리 키에 항목을 추가하는 것이다.

참고1

 

가장 일반적인 run 레지스트리 키 목록이다.

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnceEx
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

 

레지스트리 키를 확인할 수 있는 volatility 플로그인은 'printkey'이다.

▶ printkey

참고2

volatility_2.6_win64_standalone.exe -f "Target1-1dd8701f.vmss" --profile=Win7SP1x86 printkey -K "Microsoft\Windows\CurrentVersion\Run"

악성파일인 AnyConnectInstaller.exe가 보인다.

답은 MrRobot

 

정답