[🥉 Bronze 4] IDA 그래프 한 장으로 끝내는 악성코드 재접속 주기 — DreamHack [CodeEngn] Malware L07 풀이

문제: DreamHack — [CodeEngn] Malware L07 분류: Reversing / Misc (정적 악성코드 분석) 난이도: 🥉 Bronze 4 FLAG: 614400

바이너리도, 서버도 주지 않는다. 주어지는 건 PDF 한 장뿐이고, 그 안엔 IDA Pro가 그린 어떤 악성코드의 control-flow 그래프가 캡쳐돼 있다. 문제는 "이 악성코드는 특정 사이트 접속에 실패하면 몇 ms 간격으로 재접속하는가"를 묻는다. 바이너리를 손에 쥐고 objdump나 gdb를 돌릴 필요가 없다 — 그래프 안의 재시도 루프만 따라가면 답이 바로 나온다.

문제 개요

문제 설명은 한 문단이다. "다음은 악성코드 Flow의 일부분이다. 분석결과 이 악성코드는 특정 사이트에 접속을 시도 하고 있는데 접속이 안될경우 몇초 단위로 재접속을 한다. 몇ms 단위로 재접속을 하는가." 답이 될 숫자는 그래프 안 어딘가의 상수 하나다.

🧩 배경 — CodeEngn Malware 시리즈와 정적 분석

CodeEngn은 국내에서 오래된 리버싱 스터디 커뮤니티고, Basic/Malware 시리즈는 실제 악성코드 샘플 대신 IDA로 뜬 디스어셈블리·그래프 캡쳐만 제공하는 문제 유형을 자주 낸다. 샘플 자체를 배포하지 않는 이유는 명확하다 — 실물 악성코드를 유포하지 않고도 "코드를 읽어 동작을 추론하는" 리버싱의 핵심 훈련만 뽑아낼 수 있기 때문이다.

이번 그래프에 나오는 코드는 bagla_super_downloader_1000이라는 뮤텍스 이름으로 자기 자신의 중복 실행을 막고, 레지스트리에 RegisterServiceProcess를 등록해 자신을 서비스처럼 위장한 뒤, 스레드를 하나 띄워 http://noshit.fateback.com/에 주기적으로 접속을 시도하는 전형적인 다운로더형 악성코드다. fateback.com은 과거 무료 다이나믹 DNS 서비스로, 이런 이름은 C2(명령제어) 서버 주소를 값싸게 굴리던 2000년대 악성코드에서 흔히 보인다.

🔬 정찰 — 제공 파일 읽기

문제 파일은 07.pdf 하나뿐이다. 열어보면 IDA의 그래프 뷰를 그대로 캡쳐한 이미지고, start 함수부터 뮤텍스 생성 → 서비스 등록 → 스레드 생성까지 한 화면에 다 들어 있다.

start 블록은 "bagla_super_downloader_1000" 이름으로 뮤텍스를 만들고, 이미 떠 있으면(GetLastError가 0xB7, 즉 ERROR_ALREADY_EXISTS) 조용히 종료한다. 처음 실행이면 loc_4018D5로 가서 RegisterServiceProcess를 GetProcAddress로 찾아 자신을 서비스 프로세스로 등록하려 시도하고, 성공 여부와 무관하게 loc_401911로 넘어간다.

loc_401911이 진짜 몸통이다. CreateThread로 워커 스레드를 하나 띄우고, "smtp_bagla_100" 뮤텍스를 또 하나 만든 다음, sub_4013A1을 호출해 "http://noshit.fateback.com/"에 접속을 시도한다. 여기서부터가 문제가 묻는 재시도 로직이다.

💣 핵심 — 재시도 루프와 Sleep 인자

sub_4013A1 호출 뒤 cmp eax, 29Ah(= 666)로 반환값을 검사한다. 값이 666이 아니면(jnz) 정상 종료 경로인 loc_401973로 빠져 뮤텍스를 정리하고 ExitProcess를 부른다. 반면 666과 같으면 — 즉 접속에 실패했다는 신호로 보이면 — fall-through로 00401966 블록에 떨어진다.

00401966:
    push    96000h          ; duMilliseconds
    call    ds:Sleep
    jmp     short loc_401950   ; sub_4013A1 재호출 → cmp 29Ah 재검사

loc_401950은 loc_401911과 똑같이 sub_4013A1("http://noshit.fateback.com/")을 다시 부르고 같은 cmp eax, 29Ah 비교를 반복한다. 즉 이 세 블록(sub_4013A1 호출 → cmp 29Ah → 실패 시 Sleep → 재호출)이 접속이 성공할 때까지 도는 재시도 루프다.

Sleep()의 인자는 밀리초 단위 정수다. push 96000h는 IDA 표기라 16진수이므로, 10진수로 환산해야 문제가 요구하는 "몇 ms"에 대한 답이 된다.

# 07.pdf loc_401966 블록의 재접속 슬립 값 해석
#
#   00401966:
#     push    96000h        ; duMilliseconds
#     call    ds:Sleep
#     jmp     short loc_401950
#
# Sleep()의 인자는 리틀엔디안 push 순서와 무관하게 그 자체로 ms 단위 정수다.
# 그래프상 리터럴은 16진수 표기(h 접미사)이므로 10진수로 변환하면 답이 나온다.
 
sleep_param_hex = 0x96000
 
print(f"push 96000h  ->  Sleep({sleep_param_hex} ms)")
print(f"0x96000 = {sleep_param_hex} (decimal ms)")
print(f"{sleep_param_hex} ms = {sleep_param_hex / 1000:.1f} sec")
print(f"ANSWER(flag) = {sleep_param_hex}")

0x96000은 614400이다. 초 단위로는 614.4초, 대략 10분 14초마다 재접속을 시도하는 셈이다. 짧은 폴링으로 탐지를 자초하지 않으면서도, 방어자 입장에선 "10분 주기로 반복되는 동일 목적지 접속"이라는 뚜렷한 패턴을 남기는 값이다.

🚀 확인 — flag 제출

614400을 그대로 제출하면 정답 처리된다. 드림핵 UI가 첫 응답에서 간헐적으로 오답 배지를 띄우는 경우가 있어(잘 알려진 프론트 타이밍 이슈), 같은 값으로 한 번 더 눌러 정답을 확정했다.

python3 dreamhack.py wg 374 --flag 614400

문제 페이지에서도 "대단해요! 정답을 맞히셨네요"로 확인된다.

📝 결론

바이너리가 없어도 리버싱은 성립한다.

이 문제엔 돌려볼 실행 파일이 없다. 있는 건 IDA가 뜬 그래프 캡쳐 한 장뿐이고, 그것만으로도 뮤텍스 이름·서비스 위장·C2 주소·재시도 간격까지 프로그램의 동작을 전부 재구성할 수 있었다. 결국 리버싱에서 진짜 필요한 건 디스어셈블러 화면 자체가 아니라 그 화면에 찍힌 어셈블리를 읽어내는 능력이다.

재시도 간격은 방어자에게 남는 지문이다.

공격자 입장에선 자연스러운 폴링 주기지만, 방어자 입장에선 "동일 목적지에 정확히 614.4초 간격으로 반복되는 연결 시도"가 곧 IOC(침해 지표)다. 방화벽·프록시 로그에서 이런 고정 주기 패턴을 찾아내는 것만으로도 C2 통신을 잡아낼 수 있고, 실제로 다수의 EDR·NDR 제품이 "비정상적으로 규칙적인 접속 간격"을 휴리스틱으로 사용한다. 악성코드가 하드코딩한 숫자 하나가 곧 탐지 시그니처가 되는 셈이다.