XCZ.kr PROB.24 Memoryyyyy Dumpppppp

파일을 다운받아 볼라틸리티로 분석해보겠습니다.

먼저, 아래처럼 imageinfo를 살펴보겠습니다.

플래그 형식을 보면, 프로세스 이름을 써야합니다. 

프로세스 리스트를 일차적으로 살펴보겠습니다.

Mmm.exe라는 수상한 이름의 실행 파일이 보입니다. 

하지만 이 정보로만은 플래그를 작성할 수 없기 때문에 네트워크 정보를 더 살펴보겠습니다.

딱 한 개의 프로세스만 추출되었습니다.

포트 번호는 80, PID는 1124라고 하네요.

이전에 실행했던 pslist의 추출 결과에서, PID가 1124인 것을 보면,

nc.exe 입니다.

그리고 2012년 11월 2일은 금요일이네요!