์ ์ฑ์ฝ๋ ๋ถ์๊ณผ ๋ฆฌ๋ฒ์ค ์์ง๋์ด๋ง์ ์ธ๊ณ๋ฅผ ํํํ์ธ์. ์ด ํฌ๊ด์ ์ธ ๊ฐ์ด๋๋ ์ ์ฑ ์ํํธ์จ์ด๋ฅผ ์ดํดํ๊ณ ํด์นํ๊ธฐ ์ํ ํ์ ๊ธฐ์ , ๋๊ตฌ ๋ฐ ๋ฐฉ๋ฒ๋ก ์ ๋ค๋ฃน๋๋ค.
์ ์ฑ์ฝ๋ ๋ถ์: ๋ฆฌ๋ฒ์ค ์์ง๋์ด๋ง ๊ธฐ๋ฒ ์ฌ์ธต ํ๊ตฌ
์ค๋๋ ์ ์ํธ ์ฐ๊ฒฐ๋ ๋์งํธ ํ๊ฒฝ์์ ์ ์ฑ์ฝ๋์ ์ํ์ ๋งค์ฐ ํฝ๋๋ค. ์ ์ฑ์ฝ๋๊ฐ ์ด๋ป๊ฒ ์๋ํ๋์ง ์ดํดํ๋ ๊ฒ์ ์ฌ์ด๋ฒ ๋ณด์ ์ ๋ฌธ๊ฐ, ์ฐ๊ตฌ์, ๊ทธ๋ฆฌ๊ณ ์์ ๊ณผ ์กฐ์ง์ ๋ณดํธํ๋ ค๋ ๋ชจ๋ ์ฌ๋์๊ฒ ์ค์ํฉ๋๋ค. ์ด ํฌ๊ด์ ์ธ ๊ฐ์ด๋๋ ์ ์ฑ์ฝ๋ ๋ถ์ ๋ฐ ๋ฆฌ๋ฒ์ค ์์ง๋์ด๋ง์ ์ธ๊ณ๋ฅผ ๊น์ด ํ๊ณ ๋ค์ด, ํ์ ๊ธฐ์ , ๋๊ตฌ ๋ฐ ๋ฐฉ๋ฒ๋ก ์ ๋ํ ์์ธํ ๊ฐ์๋ฅผ ์ ๊ณตํฉ๋๋ค. ์ฐ๋ฆฌ๋ ์ ์ฑ ์ํํธ์จ์ด๊ฐ ์ด๋ป๊ฒ ์๋ํ๋์ง, ๊ทธ๋ฆฌ๊ณ ๊ทธ๊ฒ์ ์ด๋ป๊ฒ ํด๋ถํ์ฌ ๊ถ๊ทน์ ์ผ๋ก ๋ฏธ๋์ ๊ณต๊ฒฉ์ ์ดํดํ๊ณ ์ํํ๋ฉฐ ์๋ฐฉํ๋ ๊ฒ์ ๋ชฉํ๋ก ํ ์ง ํ๊ตฌํ ๊ฒ์ ๋๋ค.
์ ์ฑ์ฝ๋ ๋ถ์์ด๋ ๋ฌด์์ด๋ฉฐ ์ ์ค์ํ๊ฐ์?
์ ์ฑ์ฝ๋ ๋ถ์์ ์ ์ฑ ์ํํธ์จ์ด์ ๋์, ๋ชฉ์ ๋ฐ ์ ์ฌ์ ์ํฅ์ ์ดํดํ๊ธฐ ์ํด ์ด๋ฅผ ๊ฒ์ฌํ๋ ๊ณผ์ ์ ๋๋ค. ์ด๋ ์ ์ฑ์ฝ๋์ ๊ธฐ๋ฅ, ํต์ ํจํด ๋ฐ ๊ฐ์ผ ๋ฐฉ๋ฒ์ ์๋ณํ๊ธฐ ์ํ ์ฒด๊ณ์ ์ธ ์กฐ์ฌ๋ฅผ ํฌํจํฉ๋๋ค. ์ด ์ง์์ ๋ค์์ ์ํด ์ค์ํฉ๋๋ค:
- ์ฌ๊ณ ๋์: ์ ์ฑ์ฝ๋ ๊ฐ์ผ์ ์ ์ํ๊ฒ ์๋ณํ๊ณ L ํฌํจํฉ๋๋ค.
- ์ํ ์ธํ ๋ฆฌ์ ์ค: ์ํ ํ์์, ๊ทธ๋ค์ ์ ์ ๋ฐ ๋ชฉํ์ ๋ํ ์ ๋ณด ์์ง.
- ์ทจ์ฝ์ ํ๊ฐ: ์ ์ฑ์ฝ๋๊ฐ ์ ์ฉํ๋ ์ทจ์ฝ์ ์ ์ํฅ์ ํ์ ํฉ๋๋ค.
- ์ ์ฑ์ฝ๋ ์น๋ฃ: ์ ์ฑ์ฝ๋๋ฅผ ์ ๊ฑฐํ๊ณ ์ฌ๊ฐ์ผ์ ๋ฐฉ์งํ๊ธฐ ์ํ ํจ๊ณผ์ ์ธ ์ ๋ต ๊ฐ๋ฐ.
- ์๊ทธ๋์ฒ ์์ฑ: ์ ์ฌํ ์ ์ฑ์ฝ๋์ ํฅํ ๊ฐ์ผ์ ํ์งํ๊ณ ์ฐจ๋จํ๊ธฐ ์ํ ์๊ทธ๋์ฒ ๊ฐ๋ฐ.
์ ์ฑ์ฝ๋ ๋ถ์์ ์ค์์ฑ์ ๋จ์ํ ๋ฐ์ด๋ฌ์ค๋ฅผ ์ ๊ฑฐํ๋ ๊ฒ์ ๋์ด์ญ๋๋ค. ์ด๋ ๋์์์ด ์งํํ๋ ์ํ ํ๊ฒฝ์ ๋ํ ๊ท์คํ ํต์ฐฐ๋ ฅ์ ์ ๊ณตํ์ฌ ๋ณด์ ์ ๋ฌธ๊ฐ๋ค์ด ์๋ก์ด ์ํ์ ๋ํด ์ ์ ์ ์ผ๋ก ๋ฐฉ์ดํ ์ ์๋๋ก ํฉ๋๋ค. ์ฌ์ด๋ฒ ๊ณต๊ฒฉ์ ์ธ๊ณ์ ํน์ฑ์ ์ ์ฑ์ฝ๋ ๋ํฅ ๋ฐ ๋ฐฉ์ด ์ ๋ต์ ๋ํ ์ ์ธ๊ณ์ ์ธ ์ดํด๋ฅผ ํ์๋ก ํฉ๋๋ค.
ํต์ฌ ๋ฆฌ๋ฒ์ค ์์ง๋์ด๋ง ๊ธฐ๋ฒ
๋ฆฌ๋ฒ์ค ์์ง๋์ด๋ง์ ์ ์ฑ์ฝ๋ ๋ถ์์ ํต์ฌ์ ๋๋ค. ์ด๋ ์ํํธ์จ์ด ํ๋ก๊ทธ๋จ(์ด ๊ฒฝ์ฐ ์ ์ฑ์ฝ๋)์ ํด์ฒดํ์ฌ ๋ด๋ถ ์๋ ๋ฐฉ์์ ์ดํดํ๋ ๊ณผ์ ์ ๋๋ค. ์ฌ๊ธฐ์๋ ๋ช ๊ฐ์ง ํต์ฌ ๊ธฐ์ ์ด ํฌํจ๋ฉ๋๋ค:
1. ์ ์ ๋ถ์
์ ์ ๋ถ์์ ์ ์ฑ์ฝ๋๋ฅผ ์คํํ์ง ์๊ณ ๊ฒ์ฌํฉ๋๋ค. ์ด๋ ์ ์ฑ์ฝ๋์ ์ฝ๋, ๋ฆฌ์์ค ๋ฐ ๊ตฌ์ฑ์ ๋ถ์ํ์ฌ ๊ทธ ๊ธฐ๋ฅ์ ํ์ ํ๋ ๊ฒ์ ํฌํจํฉ๋๋ค. ์ด๋ ์กฐ์ฌ๋ฅผ ์์ํ๋ ๋น๊ต์ ์์ ํ๊ณ ํจ์จ์ ์ธ ๋ฐฉ๋ฒ์ด ๋ ์ ์์ต๋๋ค. ์ ์ ๋ถ์์ ๋ค์๊ณผ ๊ฐ์ ๋ค์ํ ๋๊ตฌ์ ๊ธฐ์ ์ ํฌ๊ฒ ์์กดํฉ๋๋ค:
- ๋์ค์ด์ ๋ธ๋ฆฌ: ์ ์ฑ์ฝ๋์ ์ด์ง ์ฝ๋๋ฅผ ์ด์ ๋ธ๋ฆฌ ์ธ์ด๋ก ๋ณํํ์ฌ ์ฌ๋์ด ๋ ์ฝ๊ธฐ ์ฝ๊ฒ ๋ง๋ค๊ณ , ๋ถ์๊ฐ๋ค์ด ํ๋ก๊ทธ๋จ์ ์ํด ์คํ๋๋ ๊ธฐ๋ณธ ๋ช ๋ น์ ๋ณผ ์ ์๋๋ก ํฉ๋๋ค. ์ธ๊ธฐ ์๋ ๋์ค์ด์ ๋ธ๋ฌ๋ก๋ IDA Pro, Ghidra (NSA์ ๋ฌด๋ฃ ์คํ์์ค ์ต์ ), Hopper ๋ฑ์ด ์์ต๋๋ค.
- ๋์ปดํ์ผ: ์ด์ ๋ธ๋ฆฌ ์ฝ๋๋ฅผ ์์ ๋ ๋ฒจ ์ธ์ด(์: C, C++)๋ก ๋ณํํฉ๋๋ค. ํญ์ ์๋ฒฝํ์ง๋ ์์ง๋ง, ๋์ปดํ์ผ๋ฌ๋ ์ฝ๋์ ๋ ผ๋ฆฌ๋ฅผ ๋ ์ฝ๊ฒ ๋ณผ ์ ์๋๋ก ์ ๊ณตํฉ๋๋ค. ์์๋ก๋ ๋์ปดํ์ผ๋ฌ๊ฐ ํฌํจ๋ IDA Pro์ Ghidra์ ๋์ปดํ์ผ๋ฌ๊ฐ ์์ต๋๋ค.
- ๋ฌธ์์ด ์ถ์ถ: ์ ์ฑ์ฝ๋ ์ฝ๋ ๋ด์ ํฌํจ๋ ์ฌ๋์ด ์ฝ์ ์ ์๋ ๋ฌธ์์ด์ ์๋ณํ๊ณ ์ถ์ถํฉ๋๋ค. ์ด๋ฌํ ๋ฌธ์์ด์ ์ข ์ข API ํธ์ถ, ํ์ผ ๊ฒฝ๋ก, URL ๋ฐ ์ค๋ฅ ๋ฉ์์ง์ ๊ฐ์ ๊ท์คํ ์ ๋ณด๋ฅผ ๋๋ฌ๋ ๋๋ค. strings (๋๋ถ๋ถ์ Linux ์์คํ ์์ ์ฌ์ฉํ ์ ์๋ ๋ช ๋ น์ค ์ ํธ๋ฆฌํฐ) ๋๋ ์ ๋ฌธ ์ ์ฑ์ฝ๋ ๋ถ์ ๋๊ตฌ์ ๊ฐ์ ๋๊ตฌ๊ฐ ์ด ์์ ์ ์ํํ ์ ์์ต๋๋ค.
- ๋ฆฌ์์ค ์ถ์ถ: ์์ด์ฝ, ์ด๋ฏธ์ง, ๊ตฌ์ฑ ํ์ผ๊ณผ ๊ฐ์ ๋ด์ฅ๋ ๋ฆฌ์์ค๋ฅผ ์๋ณํ๊ณ ์ถ์ถํฉ๋๋ค. ์ด๋ ์ ์ฑ์ฝ๋์ ์๊ฐ์ ๊ตฌ์ฑ ์์์ ์ด์ ์ค์ ์ ์ดํดํ๋ ๋ฐ ๋์์ด ๋ฉ๋๋ค. Windows์ Resource Hacker ๋๋ ์ ๋ฌธ ๋ถ์ ๋๊ตฌ์ ๊ฐ์ ๋๊ตฌ๊ฐ ์ด๋ฅผ ์ํด ์ฌ์ฉ๋ฉ๋๋ค.
- PE (Portable Executable) ๋ถ์: PE ํ์ผ ํ์(Windows์์ ์ผ๋ฐ์ )์ ๋ถ์ํ์ฌ ๊ฐ์ ธ์ค๊ธฐ(imports), ๋ด๋ณด๋ด๊ธฐ(exports), ์น์ ๋ฐ ๊ธฐํ ๋ฉํ๋ฐ์ดํฐ์ ๊ฐ์ ์ ๋ณด๋ฅผ ์ถ์ถํฉ๋๋ค. ์ด๋ ์ ์ฑ์ฝ๋์ ๋์ ๋ฐ ์ข ์์ฑ์ ๋ํ ๋จ์๋ฅผ ์ ๊ณตํฉ๋๋ค. PE Explorer, PEview, CFF Explorer์ ๊ฐ์ ๋๊ตฌ๊ฐ PE ํ์ผ ๋ถ์์ ์ฌ์ฉ๋ฉ๋๋ค.
- ํด์ฑ: ์ ์ฑ์ฝ๋ ํ์ผ์ ํด์ ๊ฐ(์: MD5, SHA-256)์ ๊ณ์ฐํฉ๋๋ค. ์ด๋ฌํ ํด์๋ ์๋ ค์ง ์ ์ฑ์ฝ๋ ์ํ์ ์๋ณํ๊ณ ์ ์ฑ์ฝ๋ ๋ณ์ข ์ ์ถ์ ํ๋ ๋ฐ ์ฌ์ฉ๋ฉ๋๋ค. VirusTotal๊ณผ ๊ฐ์ ์จ๋ผ์ธ ์๋น์ค๋ ํ์ผ ํด์๋ฅผ ์ฝ๊ฒ ์กฐํํ ์ ์๋๋ก ํฉ๋๋ค.
์์: "C:\\Users\\Public\\malware.exe"๋ผ๋ ๋ฌธ์์ด์ ํฌํจํ๋ ์ ์ฑ์ฝ๋ ์ํ์ ๊ณ ๋ คํด ๋ณด์ธ์. ์ ์ ๋ถ์์ ์ด ํ์ผ ๊ฒฝ๋ก๋ฅผ ๋๋ฌ๋ด์ด ์ ์ฑ์ฝ๋๊ฐ ์์ ์ ์ค์นํ๋ ค๋ ์์น๋ฅผ ์ ์ฌ์ ์ผ๋ก ๋ํ๋ผ ์ ์์ต๋๋ค. ์ด๋ ์ ์ฑ์ฝ๋์ ์๋์ ๋ํ ๋จ์๋ฅผ ์ ๊ณตํฉ๋๋ค.
2. ๋์ ๋ถ์
๋์ ๋ถ์์ ์ ์ด๋ ํ๊ฒฝ(์: ์๋๋ฐ์ค ๋๋ ๊ฐ์ ๋จธ์ )์์ ์ ์ฑ์ฝ๋๋ฅผ ์คํํ๊ณ ๊ทธ ๋์์ ๊ด์ฐฐํ๋ ๊ฒ์ ํฌํจํฉ๋๋ค. ์ด๋ ์ ์ฑ์ฝ๋์ ๋ฐํ์ ๋์์ ์ดํดํ๋ ๋ฐ ์ค์ํ ๋จ๊ณ์ ๋๋ค. ํต์ฌ ๊ธฐ์ ์ ๋ค์๊ณผ ๊ฐ์ต๋๋ค:
- ์๋๋ฐ์ฑ: ์๋๋ฐ์ค ํ๊ฒฝ์์ ์ ์ฑ์ฝ๋๋ฅผ ์คํํ์ฌ ํธ์คํธ ์์คํ ์ผ๋ก๋ถํฐ ์ ์ฑ์ฝ๋๋ฅผ ๊ฒฉ๋ฆฌํฉ๋๋ค. ์ด๋ฅผ ํตํด ๋ถ์๊ฐ๋ ๊ฐ์ผ ์ํ ์์ด ์ ์ฑ์ฝ๋์ ๋์์ ๊ด์ฐฐํ ์ ์์ต๋๋ค. Cuckoo Sandbox์ ๊ฐ์ ์๋๋ฐ์ค ์๋ฃจ์ ์ด ๋๋ฆฌ ์ฌ์ฉ๋ฉ๋๋ค.
- ํ๋ก์ธ์ค ๋ชจ๋ํฐ๋ง: ํ๋ก์ธ์ค, ์ค๋ ๋ ๋ฐ ๋คํธ์ํฌ ์ฐ๊ฒฐ์ ์์ฑ, ์์ ๋ฐ ์ข ๋ฃ๋ฅผ ๋ชจ๋ํฐ๋งํฉ๋๋ค. ์ด๋ ์ ์ฑ์ฝ๋์ ํ๋์ ๋ํ ํต์ฐฐ๋ ฅ์ ์ ๊ณตํฉ๋๋ค. Sysinternals์ Process Monitor๋ ์ด๋ฅผ ์ํ ๊ท์คํ ๋๊ตฌ์ ๋๋ค.
- ๋คํธ์ํฌ ํธ๋ํฝ ๋ถ์: ์ ์ฑ์ฝ๋์ ์ํด ์์ฑ๋ ๋คํธ์ํฌ ํธ๋ํฝ์ ์บก์ฒํ๊ณ ๋ถ์ํฉ๋๋ค. ์ด๋ ์ ์ฑ์ฝ๋๊ฐ ์ ์ดํ๋ ๋๋ฉ์ธ๊ณผ ๋ณด๋ด๊ณ ๋ฐ๋ ๋ฐ์ดํฐ๋ฅผ ํฌํจํ ์ ์ฑ์ฝ๋์ ํต์ ํจํด์ ๋๋ฌ๋ ๋๋ค. Wireshark์ ๊ฐ์ ๋๊ตฌ๋ ๋คํธ์ํฌ ํธ๋ํฝ ๋ถ์์ ํ์์ ์ ๋๋ค.
- ๋ ์ง์คํธ๋ฆฌ ๋ชจ๋ํฐ๋ง: Windows ๋ ์ง์คํธ๋ฆฌ ๋ณ๊ฒฝ ์ฌํญ์ ๋ชจ๋ํฐ๋งํฉ๋๋ค. ์ ์ฑ์ฝ๋๋ ์ข ์ข ์์คํ ์ ์์ฃผํ๊ณ , ๊ตฌ์ฑ ๋ฐ์ดํฐ๋ฅผ ์ ์ฅํ๋ฉฐ, ์๋์ผ๋ก ์์ ์ ์คํํ๊ธฐ ์ํด ๋ ์ง์คํธ๋ฆฌ๋ฅผ ์ฌ์ฉํฉ๋๋ค. Regshot ๋ฐ Process Monitor์ ๊ฐ์ ๋๊ตฌ๊ฐ ๋ ์ง์คํธ๋ฆฌ ๋ชจ๋ํฐ๋ง์ ์ฌ์ฉ๋ ์ ์์ต๋๋ค.
- ํ์ผ ์์คํ ๋ชจ๋ํฐ๋ง: ์ ์ฑ์ฝ๋์ ์ํด ์์ฑ, ์์ ๋ฐ ์ญ์ ๋๋ ํ์ผ ๋ฐ ๋๋ ํ ๋ฆฌ๋ฅผ ๊ด์ฐฐํฉ๋๋ค. ์ด๋ ์ ์ฑ์ฝ๋์ ์ ํ ๋ฉ์ปค๋์ฆ๊ณผ ๊ฐ์ ํ์ผ ๊ด๋ จ ํ๋์ ๋๋ฌ๋ ๋๋ค. Process Monitor์ ๊ฐ์ ๋๊ตฌ๊ฐ ํ์ผ ์์คํ ๋ชจ๋ํฐ๋ง์ ์ ์ฉํฉ๋๋ค.
- ๋๋ฒ๊น : ๋๋ฒ๊ฑฐ(์: x64dbg, OllyDbg)๋ฅผ ์ฌ์ฉํ์ฌ ์ ์ฑ์ฝ๋ ์ฝ๋๋ฅผ ํ ์ค์ฉ ์คํํ๊ณ , ๋ฉ๋ชจ๋ฆฌ๋ฅผ ๊ฒ์ฌํ๋ฉฐ, ์คํ ํ๋ฆ์ ์ดํดํฉ๋๋ค. ์ด๋ ๋ถ์ ํ๋ก์ธ์ค์ ๋ํ ์ธ๋ถํ๋ ์ ์ด๋ฅผ ์ ๊ณตํ๋ ๊ณ ๊ธ ๊ธฐ์ ์ ๋๋ค.
์์: ์๋๋ฐ์ค์์ ์ ์ฑ์ฝ๋๋ฅผ ์คํํจ์ผ๋ก์จ ๋์ ๋ถ์์ ์ ์ฑ์ฝ๋๊ฐ ํน์ ์๊ฐ์ ์์ ์ ์คํํ๊ธฐ ์ํ ์์ฝ๋ ์์ ์ ์์ฑํ๋ค๋ ๊ฒ์ ๋ฐํ๋ผ ์ ์์ต๋๋ค. ์ด ํต์ฐฐ๋ ฅ์ ์ ์ฑ์ฝ๋์ ์ง์์ฑ ๋ฉ์ปค๋์ฆ์ ์ดํดํ๋ ๋ฐ ์ค์ํฉ๋๋ค.
์ ์ฑ์ฝ๋ ๋ถ์์ ์ํ ํ์ ๋๊ตฌ
์ ์ฑ์ฝ๋ ๋ถ์์ ์ ๋ฌธ ๋๊ตฌ์ ํฌ๊ฒ ์์กดํฉ๋๋ค. ๋ค์์ ๊ฐ์ฅ ์ผ๋ฐ์ ์ผ๋ก ์ฌ์ฉ๋๋ ๋ช ๊ฐ์ง์ ๋๋ค:
- ๋์ค์ด์ ๋ธ๋ฌ: IDA Pro, Ghidra, x64dbg (๋๋ฒ๊ฑฐ ๊ฒธ์ฉ), Hopper
- ๋๋ฒ๊ฑฐ: x64dbg, OllyDbg, GDB
- ๋์ปดํ์ผ๋ฌ: IDA Pro (๋์ปดํ์ผ๋ฌ ํฌํจ), Ghidra (๋์ปดํ์ผ๋ฌ ํฌํจ)
- ์๋๋ฐ์ค ํ๊ฒฝ: Cuckoo Sandbox, Any.Run, Joe Sandbox
- ๋คํธ์ํฌ ๋ถ์๊ธฐ: Wireshark, Fiddler
- ํ๋ก์ธ์ค ๋ชจ๋ํฐ: Process Monitor (Sysinternals)
- ํฅ์ค ํธ์ง๊ธฐ: HxD, 010 Editor
- PE ๋ถ์๊ธฐ: PE Explorer, PEview, CFF Explorer
- ๋ฌธ์์ด ์ถ์ถ ๋๊ตฌ: strings (๋ช ๋ น์ค), strings.exe (Windows)
- ์ํฐ๋ฐ์ด๋ฌ์ค ๋ฐ ์จ๋ผ์ธ ์ค์บ ์๋น์ค: VirusTotal
ํจ์ปค ๋ฐ ๋๋ ํ ์ฒ๋ฆฌ
์ ์ฑ์ฝ๋ ์ ์์๋ค์ ์ข ์ข ํจ์ปค์ ๋๋ ํ ๊ธฐ์ ์ ์ฌ์ฉํ์ฌ ์ฝ๋๋ฅผ ๋ถ์ํ๊ธฐ ์ด๋ ต๊ฒ ๋ง๋ญ๋๋ค. ์ด๋ฌํ ๊ธฐ์ ์ ์ ์ฑ์ฝ๋์ ์ค์ ๊ธฐ๋ฅ์ ์จ๊ธฐ๊ณ ํ์ง๋ฅผ ํํผํ๋ ๊ฒ์ ๋ชฉํ๋ก ํฉ๋๋ค. ์ด๋ฌํ ๋ฌธ์ ๋ฅผ ๋ค๋ฃจ๋ ๋ฐฉ๋ฒ์ ๋ค์๊ณผ ๊ฐ์ต๋๋ค:
1. ํจ์ปค
ํจ์ปค๋ ์ ์ฑ์ฝ๋์ ์ฝ๋์ ๋ฆฌ์์ค๋ฅผ ์์ถํ๊ฑฐ๋ ์ํธํํฉ๋๋ค. ์ ์ฑ์ฝ๋๊ฐ ์คํ๋ ๋, ๋ฉ๋ชจ๋ฆฌ์์ ์ค์ค๋ก ์์ถ์ ํ๋๋ค. ํจํน๋ ์ ์ฑ์ฝ๋๋ฅผ ๋ถ์ํ๋ ๊ฒ์ ๋ค์์ ํฌํจํฉ๋๋ค:
- ํจ์ปค ์๋ณ: PEiD ๋ฐ Detect It Easy (DiE)์ ๊ฐ์ ๋๊ตฌ๋ ์ฌ์ฉ๋ ํจ์ปค๋ฅผ ์๋ณํ๋ ๋ฐ ๋์์ด ๋ ์ ์์ต๋๋ค.
- ์ธํจํน: ์ ๋ฌธ ์ธํจ์ปค ๋๋ ์๋ ์ธํจํน ๊ธฐ์ ์ ์ฌ์ฉํ์ฌ ์๋ณธ ์ฝ๋๋ฅผ ๋๋ฌ๋ ๋๋ค. ์ด๋ ๋๋ฒ๊ฑฐ์์ ์ ์ฑ์ฝ๋๋ฅผ ์คํํ๊ณ , ๋ธ๋ ์ดํฌํฌ์ธํธ๋ฅผ ์ค์ ํ๋ฉฐ, ๋ฉ๋ชจ๋ฆฌ์์ ์ธํจํน๋ ์ฝ๋๋ฅผ ๋คํํ๋ ๊ฒ์ ํฌํจํ ์ ์์ต๋๋ค.
- ์ํฌํธ ์ฌ๊ตฌ์ฑ: ํจ์ปค๋ ์ข ์ข ํ๋ก๊ทธ๋จ์ ์ํฌํธ๋ฅผ ๋ชจํธํ๊ฒ ๋ง๋ค๊ธฐ ๋๋ฌธ์, ์๋ณธ ํ๋ก๊ทธ๋จ์ ๊ธฐ๋ฅ์ ์ฌ๋ฐ๋ฅด๊ฒ ๋ถ์ํ๋ ค๋ฉด ์๋ ๋๋ ์๋ ์ํฌํธ ์ฌ๊ตฌ์ฑ์ด ํ์ํ ์ ์์ต๋๋ค.
์์: UPX๋ ํํ ํจ์ปค์ ๋๋ค. ๋ถ์๊ฐ๋ ์ ์ฉ UPX ์ธํจ์ปค๋ฅผ ์ฌ์ฉํ์ฌ UPX๋ก ํจํน๋ ํ์ผ์ ์๋์ผ๋ก ์ธํจํนํ ์ ์์ต๋๋ค.
2. ๋๋ ํ
๋๋ ํ ๊ธฐ์ ์ ํ๋ก๊ทธ๋จ์ ๊ธฐ๋ฅ์ ๋ณ๊ฒฝํ์ง ์๊ณ ์ ์ฑ์ฝ๋์ ์ฝ๋๋ฅผ ์ดํดํ๊ธฐ ์ด๋ ต๊ฒ ๋ง๋ญ๋๋ค. ์ผ๋ฐ์ ์ธ ๋๋ ํ ๊ธฐ์ ์ ๋ค์๊ณผ ๊ฐ์ต๋๋ค:
- ์ฝ๋ ๋ณํ: ๋ณ์ ์ด๋ฆ ๋ณ๊ฒฝ, ๋ถํ์ํ ์ฝ๋ ์ฝ์ , ์ฝ๋ ์ฌ์ ๋ ฌ์ ํตํด ๋ฐ๋ผ๊ฐ๊ธฐ ์ด๋ ต๊ฒ ๋ง๋ญ๋๋ค.
- ๋ฌธ์์ด ์ํธํ: ๋ฏผ๊ฐํ ์ ๋ณด๋ฅผ ์จ๊ธฐ๊ธฐ ์ํด ๋ฌธ์์ด์ ์ํธํํฉ๋๋ค.
- ์ ์ด ํ๋ฆ ํํํ: ์ฝ๋์ ์ ์ด ํ๋ฆ์ ์ฌ๊ตฌ์ฑํ์ฌ ๋ ๋ณต์กํ๊ฒ ๋ง๋ญ๋๋ค.
- API ํจ์ ํธ์ถ ๋์ฒด: API ํจ์์ ๋ํ ๊ฐ์ ํธ์ถ์ ์ฌ์ฉํ๊ฑฐ๋ ์ ์ฌํ ๊ธฐ๋ฅ์ ๊ฐ์ง ๋ค๋ฅธ API ํจ์๋ฅผ ์ฌ์ฉํฉ๋๋ค.
๋๋ ํ ํด์ ๋ ์ข ์ข ๋ค์๊ณผ ๊ฐ์ ๊ณ ๊ธ ๊ธฐ์ ์ ํ์๋ก ํฉ๋๋ค:
- ์๋ ๋ถ์: ์ฌ์ฉ๋ ๋๋ ํ ๊ธฐ์ ์ ์ดํดํ๊ธฐ ์ํด ์ฝ๋๋ฅผ ์ ์คํ๊ฒ ๊ฒํ ํฉ๋๋ค.
- ์คํฌ๋ฆฝํ : ์คํฌ๋ฆฝํธ(์: Python ๋๋ ๋์ค์ด์ ๋ธ๋ฌ๊ฐ ์ง์ํ๋ ์คํฌ๋ฆฝํ ์ธ์ด ์ฌ์ฉ)๋ฅผ ์์ฑํ์ฌ ๋๋ ํ ํด์ ์์ ์ ์๋ํํฉ๋๋ค.
- ์๋ํ๋ ๋๋ ํ ํด์ ๋๊ตฌ: ํน์ ๋๋ ํ ํด์ ๋จ๊ณ๋ฅผ ์๋ํํ๋ ๋๊ตฌ๋ฅผ ์ฌ์ฉํฉ๋๋ค.
์์: ์ ์ฑ์ฝ๋ ์ํ์ ๋ฌธ์์ด์ ๋๋ ํํ๊ธฐ ์ํด XOR ์ํธํ๋ฅผ ์ฌ์ฉํ ์ ์์ต๋๋ค. ๋ถ์๊ฐ๋ XOR ํค๋ฅผ ์๋ณํ ๋ค์ ๋ฌธ์์ด์ ํด๋ ํ ๊ฒ์ ๋๋ค.
์ค์ ์ ์ฑ์ฝ๋ ๋ถ์: ๋จ๊ณ๋ณ ์ ๊ทผ ๋ฐฉ์
๋ค์์ ์ ์ฑ์ฝ๋ ๋ถ์์ ์ํํ๊ธฐ ์ํ ์ผ๋ฐ์ ์ธ ์์ ํ๋ฆ์ ๋๋ค:
- ์ ์ฑ์ฝ๋ ์ํ ํ๋ณด: ์ ๋ขฐํ ์ ์๋ ์์ค ๋๋ ๋ณด์ ํ๊ฒฝ์์ ์ ์ฑ์ฝ๋ ์ํ์ ํ๋ณดํฉ๋๋ค.
- ์ด๊ธฐ ํ๊ฐ (๊ธฐ๋ณธ ์ ์ ๋ถ์):
- ํ์ผ์ ํด์(MD5, SHA-256)๋ฅผ ๊ณ์ฐํ๊ณ ๊ธฐ๋กํฉ๋๋ค.
- ํ์ผ ์ ํ ๋ฐ ํ์ผ ํฌ๊ธฐ๋ฅผ ํ์ธํฉ๋๋ค.
- PEiD ๋๋ Detect It Easy (DiE)์ ๊ฐ์ ๋๊ตฌ๋ฅผ ์ฌ์ฉํ์ฌ ํจ์ปค ์ฌ๋ถ๋ฅผ ํ์ธํฉ๋๋ค.
- strings์ ๊ฐ์ ๋๊ตฌ๋ฅผ ์ฌ์ฉํ์ฌ ๋ฌธ์์ด์ ์ถ์ถํ๊ณ ํฅ๋ฏธ๋ก์ด ๋จ์๋ฅผ ์ฐพ์ต๋๋ค.
- ๊ณ ๊ธ ์ ์ ๋ถ์:
- ํ์ผ์ ๋์ค์ด์ ๋ธํฉ๋๋ค (IDA Pro, Ghidra ๋ฑ).
- ๊ฐ๋ฅํ๋ฉด ์ฝ๋๋ฅผ ๋์ปดํ์ผํฉ๋๋ค.
- ์ ์์ ์ธ ๊ธฐ๋ฅ์ ์ํด ์ฝ๋๋ฅผ ๋ถ์ํฉ๋๋ค.
- API ํธ์ถ, ํ์ผ ์์ , ๋คํธ์ํฌ ํ๋ ๋ฐ ๊ธฐํ ์์ฌ์ค๋ฌ์ด ๋์์ ์๋ณํฉ๋๋ค.
- PE ํค๋(imports, exports, resources)๋ฅผ ๋ถ์ํ์ฌ ์ข ์์ฑ ๋ฐ ์ ๋ณด๋ฅผ ์ฐพ์ต๋๋ค.
- ๋์ ๋ถ์:
- ์ ์ด๋ ํ๊ฒฝ(์๋๋ฐ์ค ๋๋ ๊ฐ์ ๋จธ์ )์ ์ค์ ํฉ๋๋ค.
- ์ ์ฑ์ฝ๋๋ฅผ ์คํํฉ๋๋ค.
- ํ๋ก์ธ์ค ๋์์ ๋ชจ๋ํฐ๋งํฉ๋๋ค (Process Monitor).
- ๋คํธ์ํฌ ํธ๋ํฝ์ ์บก์ฒํฉ๋๋ค (Wireshark).
- ๋ ์ง์คํธ๋ฆฌ ๋ฐ ํ์ผ ์์คํ ๋ณ๊ฒฝ ์ฌํญ์ ๋ชจ๋ํฐ๋งํฉ๋๋ค.
- ์๋๋ฐ์ค์์ ์ ์ฑ์ฝ๋์ ๋์์ ๋ถ์ํ๊ณ , ๊ทธ ๋์๊ณผ ์์ฑํ๋ ์ํฐํฉํธ๋ฅผ ๊ด์ฐฐํฉ๋๋ค.
- ๋ณด๊ณ ๋ฐ ๋ฌธ์ํ:
- ๋ชจ๋ ๋ฐ๊ฒฌ ์ฌํญ์ ๋ฌธ์ํํฉ๋๋ค.
- ์ ์ฑ์ฝ๋์ ๋์, ๊ธฐ๋ฅ ๋ฐ ์ํฅ์ ๋ํ ์์ฝ ๋ณด๊ณ ์๋ฅผ ์์ฑํฉ๋๋ค.
- ๊ด๋ จ ์ดํด๊ด๊ณ์์ ๋ณด๊ณ ์๋ฅผ ๊ณต์ ํฉ๋๋ค.
- ์๊ทธ๋์ฒ ์์ฑ (์ ํ ์ฌํญ):
- ์ ์ฑ์ฝ๋ ๋๋ ๊ทธ ๋ณ์ข ์ ํ์งํ๊ธฐ ์ํ ์๊ทธ๋์ฒ(์: YARA ๊ท์น)๋ฅผ ์์ฑํฉ๋๋ค.
- ๋ณด์ ์ปค๋ฎค๋ํฐ์ ์๊ทธ๋์ฒ๋ฅผ ๊ณต์ ํฉ๋๋ค.
ํน์ ๋จ๊ณ์ ๊ธฐ์ ์ ์ ์ฑ์ฝ๋ ์ํ๊ณผ ๋ถ์๊ฐ์ ๋ชฉํ์ ๋ฐ๋ผ ๋ฌ๋ผ์ง ๊ฒ์ ๋๋ค.
์ ์ฑ์ฝ๋ ๋ถ์์ ์ค์ ์ฌ๋ก
์ด๋ฌํ ๊ธฐ์ ์ ์ ์ฉ์ ์ค๋ช ํ๊ธฐ ์ํด ๋ช ๊ฐ์ง ์๋๋ฆฌ์ค๋ฅผ ๊ณ ๋ คํด ๋ณด๊ฒ ์ต๋๋ค:
1. ๋์ฌ์จ์ด ๋ถ์
๋์ฌ์จ์ด๋ ํผํด์์ ํ์ผ์ ์ํธํํ๊ณ ๋ณตํธํ๋ฅผ ์ํ ๋ชธ๊ฐ์ ์๊ตฌํฉ๋๋ค. ๋ถ์์๋ ๋ค์์ด ํฌํจ๋ฉ๋๋ค:
- ์ ์ ๋ถ์: ์ฌ์ฉ๋ ์ํธํ ์๊ณ ๋ฆฌ์ฆ(์: AES, RSA), ๋์ ํ์ผ ํ์ฅ์, ๋ชธ๊ฐ ์๊ตฌ ๋ฉ์์ง ํ ์คํธ๋ฅผ ์๋ณํฉ๋๋ค.
- ๋์ ๋ถ์: ํ์ผ ์ํธํ ๊ณผ์ , ๋ชธ๊ฐ ์๊ตฌ ๋ฉ์์ง ์์ฑ, ๋ช ๋ น ๋ฐ ์ ์ด(C2) ์๋ฒ์์ ํต์ ์ ๊ด์ฐฐํฉ๋๋ค.
- ํค ๋ถ์: ์ํธํ ํค๊ฐ ๋ณต๊ตฌ ๊ฐ๋ฅํ์ง ์ฌ๋ถ๋ฅผ ํ๋จํฉ๋๋ค(์: ํค๊ฐ ์ฝํ๊ฒ ์์ฑ๋์๊ฑฐ๋ ์์ ํ์ง ์๊ฒ ์ ์ฅ๋ ๊ฒฝ์ฐ).
2. ๋ฑ ํน ํธ๋ก์ด ๋ชฉ๋ง ๋ถ์
๋ฑ ํน ํธ๋ก์ด ๋ชฉ๋ง๋ ๊ธ์ต ์ ๋ณด๋ฅผ ํ์น๊ณ ์ฌ๊ธฐ์ฑ ๊ฑฐ๋๋ฅผ ์ํํฉ๋๋ค. ๋ถ์์๋ ๋ค์์ด ํฌํจ๋ฉ๋๋ค:
- ์ ์ ๋ถ์: ํธ๋ก์ด ๋ชฉ๋ง๊ฐ ์ ์ดํ๋ URL, ์๊ฒฉ ์ฆ๋ช ํ์ทจ์ ์ฌ์ฉ๋๋ ๊ธฐ๋ฅ, ํฉ๋ฒ์ ์ธ ํ๋ก์ธ์ค์ ์ฝ๋๋ฅผ ์ฃผ์ ํ๋ ๋ฐ ์ฌ์ฉ๋๋ ๊ธฐ์ ์ ์๋ณํฉ๋๋ค.
- ๋์ ๋ถ์: ์ ์ฑ ์ฝ๋ ์ฃผ์ , ํค์คํธ๋กํฌ ์บก์ฒ, C2 ์๋ฒ๋ก์ ๋ฐ์ดํฐ ์ ์ถ์ ๊ด์ฐฐํฉ๋๋ค.
- ๋คํธ์ํฌ ํธ๋ํฝ ๋ถ์: C2 ์๋ฒ์์ ํต์ ์ ์๋ณํ๊ธฐ ์ํด ํธ๋ํฝ์ ๋ถ์ํ๊ณ , ์ด๋ค ๋ฐ์ดํฐ๊ฐ ์ ์ถ๋๋์ง ํ์ ํ๊ธฐ ์ํด ๋ฐ์ดํฐ ํจํท์ ๋ถ์ํฉ๋๋ค.
3. ์ง๋ฅํ ์ง์ ์ํ(APT) ๋ถ์
APT๋ ์ข ์ข ํน์ ์กฐ์ง์ด๋ ์ฐ์ ์ ๋์์ผ๋ก ํ๋ ์ ๊ตํ๊ณ ์ฅ๊ธฐ์ ์ธ ๊ณต๊ฒฉ์ ๋๋ค. ๋ถ์์๋ ๋ค์์ด ํฌํจ๋ฉ๋๋ค:
- ๋ค์ธต์ ์ ๊ทผ ๋ฐฉ์: ์ ์ ๋ฐ ๋์ ๋ถ์์ ์ํ ์ธํ ๋ฆฌ์ ์ค ๋ฐ ๋คํธ์ํฌ ํฌ๋ ์๊ณผ ๊ฒฐํฉํฉ๋๋ค.
- ๊ณต๊ฒฉ์ ๋ชฉ์ ์๋ณ: ๊ณต๊ฒฉ์์ ๋ชฉํ, ๋์ ์กฐ์ง, ์ฌ์ฉ๋ ์ ์ , ๊ธฐ์ ๋ฐ ์ ์ฐจ(TTP)๋ฅผ ๊ฒฐ์ ํฉ๋๋ค.
- ๊ท์: ๊ณต๊ฒฉ์ ๋ด๋นํ๋ ์ํ ํ์์๋ฅผ ์๋ณํฉ๋๋ค.
์ค๋ฆฌ์ ๋ฐ ๋ฒ์ ๊ณ ๋ ค ์ฌํญ
์ ์ฑ์ฝ๋ ๋ถ์์ ์ ์ฌ์ ์ผ๋ก ์ ์์ ์ธ ์ํํธ์จ์ด๋ฅผ ๋ค๋ฃจ๋ ๊ฒ์ ํฌํจํฉ๋๋ค. ์ค๋ฆฌ์ ๋ฐ ๋ฒ์ ์ง์นจ์ ์ค์ํ๋ ๊ฒ์ด ์ค์ํฉ๋๋ค:
- ์ ์ ํ ๊ถํ ํ๋: ๊ฒ์ฌํ ๊ถํ์ด ์๋ ์ ์ฑ์ฝ๋ ์ํ๋ง ๋ถ์ํ์ญ์์ค. ์ด๋ ํ์ฌ, ํด๋ผ์ด์ธํธ ๋๋ ์ํ์ ์์ ํ์ง ์์ ๋ชจ๋ ์ํฉ์์ ์ํ์ ๋ค๋ฃฐ ๋ ํนํ ์ค์ํฉ๋๋ค.
- ๋ณด์ ํ๊ฒฝ ์ฌ์ฉ: ์ฐ๋ฐ์ ์ธ ๊ฐ์ผ์ ๋ฐฉ์งํ๊ธฐ ์ํด ํญ์ ์์ ํ๊ณ ๊ฒฉ๋ฆฌ๋ ํ๊ฒฝ(์๋๋ฐ์ค ๋๋ ๊ฐ์ ๋จธ์ )์์ ๋ถ์์ ์ํํ์ญ์์ค.
- ๊ฐ์ธ ์ ๋ณด ์กด์ค: ์ ์ฑ์ฝ๋๊ฐ ๋ฏผ๊ฐํ ์ ๋ณด๋ฅผ ํฌํจํ ๊ฐ๋ฅ์ฑ์ ์ผ๋์ ๋์ญ์์ค. ๋ฐ์ดํฐ๋ฅผ ์ ์คํ๊ฒ ๋ค๋ฃจ์ญ์์ค.
- ๋ฒ์ ๊ท์ ์ค์: ์ ์ฑ์ฝ๋ ์ฒ๋ฆฌ์ ๊ดํ ๋ชจ๋ ํด๋น ๋ฒ๋ฅ ๋ฐ ๊ท์ ์ ์ค์ํ์ญ์์ค. ์ด๋ ๊ทํ์ ์์น์ ๋ฐ๋ผ ํฌ๊ฒ ๋ค๋ฅผ ์ ์์ต๋๋ค.
์ ์ฑ์ฝ๋ ๋ถ์์ ๋ฏธ๋
์ ์ฑ์ฝ๋ ๋ถ์ ๋ถ์ผ๋ ๋์์์ด ์งํํ๊ณ ์์ต๋๋ค. ๋ค์์ ๋ช ๊ฐ์ง ์๋ก์ด ํธ๋ ๋์ ๋๋ค:
- AI ๋ฐ ๋จธ์ ๋ฌ๋: ์ ์ฑ์ฝ๋ ๋ถ์์ ํ์ง, ๋ถ๋ฅ, ๋์ ๋ถ์ ๋ฑ๊ณผ ๊ฐ์ ์ธก๋ฉด์ ์๋ํํ๊ธฐ ์ํด AI ๋ฐ ML์ ์ฌ์ฉํฉ๋๋ค.
- ์๋ํ๋ ๋ถ์ ํ๋ซํผ: ๋ค์ํ ๋ถ์ ๋๊ตฌ์ ๊ธฐ์ ์ ํตํฉํ์ฌ ๋ถ์ ํ๋ก์ธ์ค๋ฅผ ๊ฐ์ํํ๋ ์ ๊ตํ ํ๋ซํผ์ ๊ฐ๋ฐํฉ๋๋ค.
- ํ๋ ๋ถ์: ์ ์ฑ์ฝ๋์ ์ ๋ฐ์ ์ธ ํ๋์ ์ดํดํ๊ณ ์ด ์ ๋ณด๋ฅผ ์ฌ์ฉํ์ฌ ๊ฐ์ผ์ ํ์งํ๊ณ ์๋ฐฉํ๋ ๋ฐ ์ค์ ์ ๋ก๋๋ค.
- ํด๋ผ์ฐ๋ ๊ธฐ๋ฐ ์๋๋ฐ์ฑ: ํด๋ผ์ฐ๋ ๊ธฐ๋ฐ ์๋๋ฐ์ฑ ์๋น์ค๋ฅผ ํ์ฉํ์ฌ ํ์ฅ ๊ฐ๋ฅํ๊ณ ์จ๋๋งจ๋ ์ ์ฑ์ฝ๋ ๋ถ์ ๊ธฐ๋ฅ์ ์ ๊ณตํฉ๋๋ค.
- ๊ณ ๊ธ ํํผ ๊ธฐ์ : ์ ์ฑ์ฝ๋ ์ ์์๋ค์ ํํผ ๊ธฐ์ ์ ๊ณ์ํด์ ๊ฐ์ ํ ๊ฒ์ด๋ฉฐ, ์ด๋ ๋ถ์๊ฐ๋ค์ด ์ด๋ฌํ ๊ณผ์ ์ ์์๋๊ฐ์ผ ํ ๊ฒ์ ์๊ตฌํ ๊ฒ์ ๋๋ค.
๊ฒฐ๋ก
์ ์ฑ์ฝ๋ ๋ถ์์ ์ฌ์ด๋ฒ ๋ณด์์์ ์ค์ํ ๋ถ์ผ์ ๋๋ค. ๋ฆฌ๋ฒ์ค ์์ง๋์ด๋ง ๊ธฐ์ ์ ์๋ฌํ๊ณ , ๋๊ตฌ๋ฅผ ์ดํดํ๋ฉฐ, ์ค๋ฆฌ์ ๊ดํ์ ์ค์ํจ์ผ๋ก์จ ๋ณด์ ์ ๋ฌธ๊ฐ๋ค์ ๋์์์ด ์งํํ๋ ์ ์ฑ์ฝ๋ ์ํ์ ํจ๊ณผ์ ์ผ๋ก ๋ง์ค ์ ์์ต๋๋ค. ์ต์ ๋ํฅ์ ๋ํ ์ ๋ณด๋ฅผ ์ ์งํ๊ณ ๊ธฐ์ ์ ์ง์์ ์ผ๋ก ์ฐ๋งํ๋ ๊ฒ์ ์ด ์ญ๋์ ์ธ ๋ถ์ผ์์ ํจ๊ณผ๋ฅผ ์ ์งํ๋ ๋ฐ ํ์์ ์ ๋๋ค. ์ ์ฑ ์ฝ๋๋ฅผ ๋ถ์ํ๊ณ ์ดํดํ๋ ๋ฅ๋ ฅ์ ์ฐ๋ฆฌ์ ๋์งํธ ์ธ๊ณ๋ฅผ ๋ณดํธํ๊ณ ๋ชจ๋๋ฅผ ์ํ ์์ ํ ๋ฏธ๋๋ฅผ ๋ณด์ฅํ๋ ๋ฐ ๊ท์คํ ์์ฐ์ ๋๋ค.