악성코드 분석 시 C&C 서버 다운으로 통신 실패할 때 데이터 내용 확인 방법

C&C 서버 다운 시, Wireshark에서 Client가 어떤 데이터를 보내려 했는지 확인 불가 Client가 보내려 한 데이터 확인 시 악성코드 종류 판별에 도움 데이터만 필요할 경우, C&C와 통신 가능한 다른 악성코드 샘플을 재탐색할 필요 없음 요청 데이터에서 C&C 서버 이름이나 쿼리된 URL 등 네트워크 시그니처 파악 가능 [TCP 연결 과정] C&C <-> Client의 데이터 송수신은 대부분 TCP로 이루어짐 TCP 네트워크 과정에서 Three-Way Handshaking이 선행되어야 데이터 송수신이 가능 [C&C 서버 다운으로 TCP 연결 실패 시] C&C 서버가 다운되었을 경우 RST 패킷만 돌아오게 됨 이 경우 TCP 연결을 맺지 못하므로 감염된 PC에서 어떤 데이터를 보내려고 했는지 확인 불가 [fakenet 툴을 이용해 가상의 C&C와의 연결 환경 구축] FakeNet Fireeye에서 개발한 악성코드 분석 프로그램 악성코드가 정상적으로 C&C와 연결되었다고 ...