HOME
SANS GIAC GREM (Reverse Engineering)

「SANS GIAC GREM (Reverse Engineering)」の記事一覧

マルウェアがキーボード入力を盗聴（キーロギング）するために設定するフックAPIはどれか。

SetWindowsHookExを使用すると、システム全体のキーボードイベントをフックできる。

2026年3月21日

マルウェアが「APC（Asynchronous Procedure Call）インジェクション」を用いる目的はどれか。

APCキューにタスクを登録することで、スレッドが待機状態に入った際に不正なコードを実行させる。

2026年3月21日

「FindWindow」関数を使用してデバッガを検知する際、何を探しているか。

OllyDbgやx64dbgなどの特定のウィンドウ名やクラス名を検索してデバッガを検知する。

2026年3月21日

x64アーキテクチャにおいて、関数の最初の4つの引数を渡すために使用されるレジスタ（Windows）はどれか。

Windows x64の呼出規約では、RCX, RDX, R8, R9の順に引数が格納される。

2026年3月21日

デバッガで実行中に「EIP」レジスタの値を変更するとどうなるか。

EIP（命令ポインタ）は次に実行する命令のアドレスを保持しているため、変更により実行フローを制御できる…

2026年3月21日

プロセス中空化（Process Hollowing）の手法で、最初にターゲットプロセスを起動する際のフラグはどれか。

プロセスを中断状態で起動し、メモリを書き換えた後に再開するのが一般的な手順である。

2026年3月21日

ビーコニング（Beaconing）と呼ばれる挙動の特徴はどれか。

ビーコニングは、マルウェアが指令を待つために定期的に外部サーバーへ送る信号のことである。

2026年3月21日

関数のプロローグで見られる「PUSH EBP; MOV EBP, ESP」の主な目的はどれか。

この手順により、現在の関数のローカル変数や引数にアクセスするための基準点が作られる。

2026年3月21日

他のプロセスのメモリ空間にコードを書き込むために使用されるAPIはどれか。

WriteProcessMemoryは指定したプロセスのメモリ範囲にデータを直接書き込む。

2026年3月21日

Volatility 3において、実行中のプロセス一覧を表示するプラグインはどれか。

pslistプラグインはEPROCESS構造体を辿って現在実行中のプロセスをリストアップする。

2026年3月21日