1. PE 파일

1.1 PE(Portable Executable) 파일이란?

• Windows 운영체제에서 실행 가능한 파일 형식

• .exe, .dll, .sys 등 다양한 확장자를 가짐

• Microsoft에서 정의한 실행 파일 구조로, 내부에 코드, 데이터, 리소스 등을 포함

1.2 주요 구조

• DOS Header (IMAGE_DOS_HEADER)
  • 옛날 MS-DOS용 헤더
  • MZ 시그니처로 시작
  • 마지막 필드인 e_lfanew는 PE Header 위치 가리킴

• PE Header (IMAGE_NT_HEADERS)
  • PE\0\0 시그니처로 시작
  • 두 부분으로 나뉨:
    • File Header: 머신 타입, 섹션 수, 타임스탬프 등
    • Optional Header: 실제로는 필수, 진입점 주소, 이미지 크기, 섹션 정렬 정보 등 포함

• Section Table (IMAGE_SECTION_HEADER)
  • 코드(.text), 데이터(.data), 리소스(.rsrc) 등 실제 내용의 위치/크기 정보
  • 각 섹션이 메모리와 파일에서 어떻게 배치될지를 정의

• 각 섹션 (Sections)
  • .text: 실행 코드
  • .data: 초기화된 데이터
  • .rsrc: 리소스 (아이콘, GUI, 문자열 등)
  • .reloc: 재배치 정보 등

1.3 악성코드 분석 관점에서 왜 중요할까?

• 악성코드는 PE 구조를 조작하거나 위장하여 보안 시스템을 우회

• *진입점(EntryPoint)**을 바꾸거나, 섹션을 숨기거나 추가하여 악성 행위를 숨김

• Import Table을 분석하면 어떤 함수(API)를 사용하는지 확인 가능 → 악성 행위 추정 가능

• *Packers(압축기)**는 PE 구조를 난독화하여 분석을 어렵게 만듦

1.4 분석 도구 예시

• PE-bear, CFF Explorer, Detect It Easy(DIE): PE 구조 보기

• IDA, Ghidra: 디컴파일과 연동 분석

2. Packer

2.1 Packer(패커)란?

• 실행 파일(PE 등)의 크기를 줄이거나 코드 분석을 어렵게 만들기 위해 파일을 압축/암호화하는 도구 또는 기법

2.2 패커의 목적

2.3 패커 작동 방식

2.4 악성코드 분석에서의 패커 특징

2.5 대표적인 패커 종류

2.6 패커 탐지 & 언패킹 도구