VMProtect로 난독화 된 악성코드 분석에 대한 예시

해당 악성코드는 system32 폴더에 악성 DLL을 생성한 후에 winlogon 프로세스에 Injection을 한다.원본 코드는 다음과 같다.

내가 개발한 API 난독화 해제 모듈을 이용하면 다음과 같다.

정상적으로 API 호출이 보이고 파라미터들도 잘 보인다. 하지만 몇 가지 버그가 있어서 함수 Call을 제대로 잡지 못한다. 현재는 수정을 한 상태이다.