M

MLOG

한국어

동적 악성코드 분석의 세계를 알아보세요. 악성 소프트웨어를 안전하게 실행하고 관찰하여 행위, 영향, 의도를 파악하는 종합 가이드입니다.

악성코드 분석의 모든 것: 동적 분석 기법 심층 탐구

사이버 보안이라는 끊임없는 창과 방패의 싸움에서 적을 이해하는 것은 무엇보다 중요합니다. 악성 소프트웨어, 즉 악성코드는 전 세계 사이버 범죄자, 국가 지원 행위자, 핵티비스트들의 주요 무기입니다. 이러한 위협으로부터 방어하기 위해 우리는 악성코드를 해부하고, 그들의 동기를 파악하며, 작동 방식을 배워야 합니다. 이것이 바로 현대 보안 전문가에게 필수적인 분야인 악성코드 분석의 영역입니다. 여기에는 여러 접근 방식이 있지만, 오늘 우리는 가장 확실한 방법 중 하나인 동적 분석에 대해 심층적으로 알아볼 것입니다.

악성코드 분석이란? 간단히 살펴보기

핵심적으로 악성코드 분석은 악성코드 샘플을 연구하여 그 출처, 기능, 잠재적 영향을 파악하는 과정입니다. 최종 목표는 방어를 개선하고, 사고에 대응하며, 선제적으로 위협을 탐지하는 데 사용할 수 있는 실행 가능한 인텔리전스를 생성하는 것입니다. 이 과정은 일반적으로 두 가지 큰 범주로 나뉩니다:

정적 분석은 기초적인 이해를 제공하지만, 코드 난독화나 패킹 같은 기법에 의해 방해받을 수 있습니다. 바로 이 지점에서 동적 분석이 빛을 발하며, 악성코드가 실제로 실행되었을 때 무슨 일을 하는지 볼 수 있게 해줍니다.

움직이는 악의 해독: 동적 분석의 이해

행위 분석이라고도 불리는 동적 악성코드 분석은 악성코드가 실행되는 동안 관찰하는 기술이자 과학입니다. 분석가는 분해된 코드 라인을 샅샅이 훑어보는 대신, 디지털 생물학자처럼 표본을 페트리 접시(안전한 가상 환경)에 놓고 그 행동과 상호작용을 신중하게 기록합니다. 이는 다음과 같은 중요한 질문에 답합니다:

정적 분석 vs. 동적 분석: 두 가지 방법론 이야기

동적 분석의 진가를 제대로 이해하려면 정적 분석과 직접 비교하는 것이 도움이 됩니다. 이 둘은 상호 배타적이지 않으며, 실제로 가장 효과적인 분석은 종종 두 가지를 조합하여 이루어집니다.

동적 분석의 목표

분석가가 동적 분석을 수행할 때, 그들은 특정 정보를 수집하는 임무를 수행합니다. 주요 목표는 다음과 같습니다:

요새 구축하기: 안전한 분석 환경 설정

경고: 이것이 과정에서 가장 중요한 부분입니다. 절대 개인용 또는 회사 컴퓨터에서 의심스러운 파일을 실행하지 마십시오. 동적 분석의 전체 전제는 샌드박스로 알려진 완전히 격리되고 통제된 실험실 환경을 만드는 것입니다. 목표는 이 통제된 공간 내에서 악성코드가 마음껏 활동하게 하되, 실제 세계에 피해를 주지 않고 탈출할 위험이 없도록 하는 것입니다.

실험실의 심장: 가상 머신(VM)

가상화는 악성코드 분석 실험실의 초석입니다. 가상 머신(VM)은 물리적 머신(호스트) 위에서 실행되는 완전히 에뮬레이트된 컴퓨터 시스템입니다. Oracle VM VirtualBox(무료)나 VMware Workstation Player/Pro와 같은 소프트웨어가 업계 표준입니다.

왜 VM을 사용해야 할까요?

분석 VM은 악성코드가 '집처럼' 느끼도록 일반적인 기업 환경을 모방하여 구성해야 합니다. 여기에는 Microsoft Office, Adobe Reader, 웹 브라우저와 같은 일반적인 소프트웨어를 설치하는 것이 포함됩니다.

네트워크 격리: 디지털 전파 통제

VM의 네트워크 연결을 제어하는 것은 매우 중요합니다. 네트워크 트래픽을 관찰하고 싶지만, 로컬 네트워크의 다른 머신을 공격하거나 원격 공격자에게 경고를 보내는 것을 원하지는 않습니다. 네트워크 구성에는 여러 수준이 있습니다:

분석가의 툴킷: 필수 소프트웨어

'깨끗한' 스냅샷을 찍기 전에 분석 VM에 올바른 도구를 갖추어야 합니다. 이 툴킷은 분석 중에 당신의 눈과 귀가 될 것입니다.

추적의 시작: 동적 분석 단계별 가이드

안전한 실험실이 준비되었으니, 이제 분석을 시작할 시간입니다. 이 과정은 체계적이며 신중한 문서화가 필요합니다.

1단계: 준비 및 기준선 설정

  1. 깨끗한 스냅샷으로 복원: 항상 알려진 양호한 상태에서 시작하십시오. VM을 설정한 후 찍어둔 깨끗한 스냅샷으로 되돌리십시오.
  2. 기준선 캡처 시작: Regshot과 같은 도구를 실행하고 '1st shot'을 찍으십시오. 이는 파일 시스템과 레지스트리의 기준선을 생성합니다.
  3. 모니터링 도구 실행: Process Monitor와 Wireshark를 열고 이벤트 캡처를 시작하십시오. ProcMon에서 필터를 구성하여 아직 실행되지 않은 악성코드 프로세스에 초점을 맞추되, 다른 프로세스를 생성하거나 주입할 경우 필터를 지울 준비를 하십시오.
  4. 샘플 전송: 악성코드 샘플을 VM으로 안전하게 전송하십시오. 공유 폴더(전송 직후 비활성화해야 함)나 간단한 드래그 앤 드롭이 일반적입니다.

2단계: 실행 및 관찰

이제 진실의 순간입니다. 파일 유형에 따라 악성코드 샘플을 더블 클릭하거나 명령줄에서 실행하십시오. 당신의 임무는 이제 수동적이지만 경계하는 관찰자가 되는 것입니다. 악성코드가 제 갈 길을 가도록 두십시오. 때로는 즉각적인 조치를 취하지만, 슬립 타이머가 있어 기다려야 할 때도 있습니다. 필요한 경우 시스템과 상호작용하여(예: 악성코드가 생성한 가짜 오류 메시지 클릭) 추가적인 행위를 유발하십시오.

3단계: 주요 행위 지표 모니터링

이것이 분석의 핵심으로, 모든 모니터링 도구의 데이터를 상호 연관시켜 악성코드 활동의 그림을 그리는 단계입니다. 여러 영역에 걸쳐 특정 패턴을 찾고 있습니다.

1. 프로세스 활동

Process Monitor와 Process Hacker를 사용하여 다음 질문에 답하십시오:

2. 파일 시스템 수정

ProcMon과 Regshot 비교를 사용하여 다음 질문에 답하십시오:

3. 레지스트리 변경

윈도우 레지스트리는 악성코드의 빈번한 표적입니다. ProcMon과 Regshot을 사용하여 다음을 찾으십시오:

4. 네트워크 통신

Wireshark에서 VM에서 발생하는 트래픽을 필터링하십시오. 스스로에게 물어보십시오:

4. 실행 후 분석 및 정리

  1. 캡처 중지: 악성코드가 주요 활동을 마쳤다고 판단되면 ProcMon과 Wireshark에서 캡처를 중지하십시오.
  2. 최종 스냅샷 촬영: Regshot에서 '2nd shot'을 찍고 비교를 실행하여 모든 파일 시스템 및 레지스트리 변경 사항에 대한 깔끔한 보고서를 생성하십시오.
  3. 분석 및 문서화: 모든 도구의 로그를 저장하십시오. 이벤트를 상호 연관시켜 악성코드의 행동 타임라인을 구축하십시오. 발견된 모든 IOC를 문서화하십시오.
  4. VM 되돌리기: 이것은 타협할 수 없는 부분입니다. 데이터가 안전하게 내보내지면 VM을 깨끗한 스냅샷으로 되돌리십시오. 감염된 VM을 재사용하지 마십시오.

창과 방패의 싸움: 악성코드 회피 기법 극복하기

악성코드 제작자들은 순진하지 않습니다. 그들은 동적 분석에 대해 알고 있으며 이를 탐지하고 회피하는 기능을 적극적으로 구축합니다. 분석가 업무의 상당 부분은 이러한 기법을 인식하고 우회하는 것입니다.

안티 샌드박스 및 안티 VM 탐지

악성코드는 가상화되거나 자동화된 환경에서 실행 중이라는 징후를 확인할 수 있습니다. 일반적인 확인 사항은 다음과 같습니다:

분석가의 대응: VM을 실제 사용자 기계처럼 보이도록 강화하십시오. 이는 '안티-안티-VM' 또는 '안티-안티-샌드박스'로 알려진 과정으로, VM 프로세스 이름 변경, 명백한 레지스트리 키 정리, 스크립트를 사용한 사용자 활동 시뮬레이션 등이 포함됩니다.

안티 디버깅

악성코드가 자신의 프로세스에 디버거가 연결된 것을 감지하면 즉시 종료하거나 분석가를 오도하기 위해 행위를 변경할 수 있습니다. `IsDebuggerPresent()`와 같은 윈도우 API 호출이나 더 진보된 트릭을 사용하여 디버거의 존재를 탐지할 수 있습니다.

분석가의 대응: 악성코드로부터 자신의 존재를 숨기도록 설계된 디버거 플러그인이나 수정된 디버거를 사용하십시오.

시간 기반 회피

많은 자동화된 샌드박스는 실행 시간이 제한되어 있습니다(예: 5-10분). 악성코드는 악성 코드를 실행하기 전에 15분 동안 잠자기에 들어감으로써 이를 악용할 수 있습니다. 악성코드가 깨어날 때쯤이면 자동화된 분석은 끝난 상태입니다.

분석가의 대응: 수동 분석 중에는 그냥 기다리면 됩니다. 슬립 호출이 의심되는 경우 디버거를 사용하여 슬립 함수를 찾아 즉시 반환하도록 패치하거나, VM의 시스템 시계를 조작하여 시간을 빨리 감는 도구를 사용할 수 있습니다.

규모의 확장: 수동 vs. 자동 동적 분석

위에서 설명한 수동 프로세스는 놀라운 깊이를 제공하지만, 하루에 수백 개의 의심스러운 파일을 처리할 때는 확장성이 떨어집니다. 바로 여기서 자동화된 샌드박스가 등장합니다.

자동화된 샌드박스: 규모의 힘

자동화된 샌드박스는 계측된 환경에서 파일을 자동으로 실행하고, 우리가 논의한 모든 모니터링 단계를 수행하며, 포괄적인 보고서를 생성하는 시스템입니다. 인기 있는 예는 다음과 같습니다:

장점: 대량의 샘플을 분류하는 데 매우 빠르고 효율적이며, 신속한 판정과 풍부한 IOC 보고서를 제공합니다.

단점: 위에서 언급한 회피 기법의 주요 표적입니다. 정교한 악성코드는 자동화된 환경을 탐지하고 양성 행위를 보여 오탐(false negative)을 유발할 수 있습니다.

수동 분석: 분석가의 손길

이것이 우리가 집중한 상세하고 직접적인 과정입니다. 이는 분석가의 전문 지식과 직관에 의해 주도됩니다.

장점: 가장 깊이 있는 분석을 제공합니다. 숙련된 분석가는 자동화된 시스템을 속일 수 있는 회피 기법을 인식하고 우회할 수 있습니다.

단점: 시간이 매우 많이 걸리고 확장성이 없습니다. 우선순위가 높은 샘플이나 자동화된 분석이 실패했거나 불충분한 세부 정보를 제공한 경우에 가장 적합합니다.

현대 보안 운영 센터(SOC)에서 최선의 접근 방식은 계층적 접근 방식입니다. 모든 샘플의 초기 분류에는 자동화를 사용하고, 가장 흥미롭거나 회피적이거나 중요한 샘플은 수동 심층 분석을 위해 에스컬레이션합니다.

모든 것을 종합하여: 현대 사이버 보안에서 동적 분석의 역할

동적 분석은 단순한 학문적 활동이 아니라 현대 방어 및 공격 사이버 보안의 기본 기둥입니다. 악성코드를 안전하게 폭파시키고 그 행위를 관찰함으로써 우리는 미스터리한 위협을 알려진 존재로 바꿉니다. 우리가 추출한 IOC는 방화벽, 침입 탐지 시스템, 엔드포인트 보호 플랫폼에 직접 공급되어 향후 공격을 차단합니다. 우리가 생성하는 행위 보고서는 사고 대응팀에 정보를 제공하여 네트워크에서 위협을 효과적으로 찾아내고 근절할 수 있도록 합니다.

환경은 끊임없이 변화하고 있습니다. 악성코드가 더욱 회피적으로 변함에 따라 우리의 분석 기술도 그에 맞춰 진화해야 합니다. 당신이 SOC 분석가 지망생이든, 노련한 사고 대응가든, 헌신적인 위협 연구원이든, 동적 분석의 원리를 마스터하는 것은 필수적인 기술입니다. 이는 경고에 단순히 반응하는 것을 넘어, 한 번에 하나씩 적을 선제적으로 이해하기 시작할 수 있도록 힘을 실어줍니다.