[CodeEngn] Malware L08

다음은 악성코드 Flow의 일부분이다.
다른 악성코드를 실행하여 추가 감염을 일으키는 함수의 주소를 찾으시오
(함수는 소문자가 아닌 대문자로 인증해주세요)
Ex) 00401000

 

 

문제 파일로 악성코드 파일의 Flow 맵이 제공된다.

 

 

 

상당히 많은 양의 데이터가 제공되지만, 실제로 하나씩 함수를 따라가며 읽어보면 특이한 부분이 있다.

 

 

loc_4025F4 함수에서 ShellExecuteExA 함수를 호출한다. 위의 함수( loc_4025F4 )가 실패할 경우 아래 00402606 주소에 위치한 ShellExecuteExA 가 작동되도록 설정되어 있다.

 

따라서 아래의 블록이 아닌 위쪽 블록이 악성코드가 추가 감염을 위해 다른 악성 행위를 실행하는 부분이므로, 문제에서 요구하는 flag는 4025F4  이다.