Wordのドキュメントファイルやリッチテキストファイル

Wordのドキュメントファイルやリッチテキストファイルに仕込まれたマルウェアは、シェルコードなどが見える場合があるが、難読化されている場合もある。


WordにデバッガーをAttachしてシェルコード部分を抜き出せばよいという話を聞いたが、Attachまではできてもシェルコード部分を呼び出すところを抜き出すところまでは未到達である。

圧縮されていればそれを展開させるところまで実行させるのが難しい。


経験値が上がれば抜き出せるのだろうか。相当難しい。

何より動作処理が重くなり、固まることも多々ある。

もう少し自動化できれば何とかなりそうなんだが。