[Fiesta 2023] 특별문제 - 문제 5

 

문제 정보

 

YARA Rule은 파일, 프로세스에서 특정 패턴을 식별하고 검색하는 데 사용되는 패턴 매칭 도구로

주로 악성코드 종류를 식별하고 분류하는 목적으로 사용된다.

 

 

 

 

 

"Start" 파일 헤더

먼저, 주어진 악성 코드를 HxD로 열어보았다. “Start” 파일은 ELF 파일임을 확인할 수 있었다.

 

문제에서 유사 악성코드가 한 번에 탐지되는 경우 FLAG가 출력된다고 했으니,

주어진 악성코드와 같은 ELF 파일들을 식별하는 코드를 제출하면 FLAG를 구할 수 있을 것이다!

 

 

 

 

rule elf_file
{
	condition:
		uint32(0) == 0x464c457f
}

이 규칙은 ELF 파일 헤더의 처음 4바이트를 32비트 정수로 해석해

그 값이 “0x464c457f”인지 확인한다.

(여기서 0x464c457f는 ELF 파일의 헤더다)

 

 

 

 

 

사이트에 위 규칙을 제출하면, ELF 헤더를 가진 악성코드의 리스트와 함께 FLAG가 출력된다.

(FLAG는 제출할 때마다 랜덤하게 출력된다.)