1. 악성 코드

1.1 악성 코드란

• 악성코드(Malware)는 "악의적인 소프트웨어"의 줄임말로, 사용자나 시스템에 피해를 주기 위해 만들어진 프로그램 또는 코드

1.2 악성 코드 종류별 특징

1.3 악성 코드 별 대응 방식

2. 컴퓨터 구조

2.1 레지스터 (Registers)

레지스터 변경 여부 추적은 코드 흐름 분석, 악성코드 행위 추정에 중요함.

2.2 메모리 구조 (Memory Layout)

악성코드는 종종 Stack을 오염시키거나, Heap에 셸코드를 적재해서 공격함.

2.3 스택 구조 (Call Stack)

• 후입선출(LIFO) 구조

• 함수 호출 시:
  • 리턴 주소
  • 이전 EBP
  • 함수 인자
  • 지역 변수 순서로 쌓임

• 함수가 끝나면 ret 명령어로 스택에서 리턴 주소 복원

악성코드는 스택을 조작해서 리턴 주소를 바꾸는 ROP/JOP 기법을 사용할 수 있음.

2.4 명령어 실행 흐름

• 명령어 페치 → 디코드 → 실행

• EIP/RIP은 현재 실행 중인 명령어 주소를 가리킴

• 흐름 변경 명령: jmp, call, ret, je, jne, loop

코드 흐름을 분석하면 악성코드의 "조건부 실행"이나 "우회 로직"을 파악할 수 있음

2.5 인터럽트 & 시스템 콜

• 인터럽트 (int): 하드웨어/소프트웨어 요청으로 CPU가 처리 루틴 전환

• 시스템 콜: OS 기능 요청 (int 0x80, syscall 등)

악성코드는 시스템 호출을 통해 파일 열기, 네트워크 연결, 프로세스 생성 등 행위를 함

2.6 명령어 세트 (ISA)

• x86, x64 구조가 주로 사용됨

• 각 명령어는 opcode + 피연산자 구조

명령어 해석 능력은 IDA, Ghidra, x64dbg에서 필수

2.7 엔디안 (Endian)

예시: 0x12345678

• Little Endian: 78 56 34 12

• Big Endian: 12 34 56 78

파일 분석 시 바이트 순서에 따라 결과가 달라질 수 있으니 주의!

2.8 메모리 주소 체계

악성 PE 파일 분석 시 RVA → 실제 위치 매핑이 필요