PE 파일 구조와 악성코드 분석

PE(Portable Executable) 파일 기본 구조:

┌─────────────────┐
│   DOS Header    │  ← MZ 시그니처
│   DOS Stub      │
├─────────────────┤
│   PE Signature  │  ← "PE\0\0"
├─────────────────┤
│   COFF Header   │  ← 머신 타입, 섹션 수
│   Optional Hdr  │  ← 엔트리포인트, 이미지 베이스
├─────────────────┤
│ Section Headers │  ← .text, .data, .rdata 등
├─────────────────┤
│   .text         │  ← 실행 코드
│   .data         │  ← 초기화된 데이터
│   .rdata        │  ← Import/Export 테이블
│   .rsrc         │  ← 리소스 (아이콘 등)
└─────────────────┘

악성코드 분석 시 확인할 것:

• Import Table — 사용하는 API (CreateRemoteThread, VirtualAllocEx 등은 의심)
• 엔트로피 — 높으면 패킹/암호화 가능성
• 섹션 이름 — 비정상적인 이름은 패커 사용 의심
• 타임스탬프 — 조작 여부 확인