보안/멀웨어식별 2024. 8. 30. 18:08

1. 개요

침해사고가 발생한 시스템은 정상 시스템 대비 여러가지 이상 징후를 가지고 있다. 이러한 이상 징후 식별 방법은 아래와 같다.

1. 프로세스의 이상 징후 식별

- 경로 및 이름 분석

- 리니지 분석

- 명령라인 파라미터 분석

- 이미지 버전 정보 분석

2. 제어 지속 지점의 이상징후 식별

- 시작 프로그램

- 테스크 스케줄

- 레지스트리 자동실행 포인트

- LoL 바이너리 실행 여부 분석

3. 메모리 분석을 통한 Process Injection 징후 식별

- 커널 메모리 영역의 VAD 자료구조 분석

- Process Injection 기법 확인

4. 파워시스템 분석을 통한 이상 징후 식별

- 타임라인 기반 분석

- 시간 조작 여부 확인

- NTFS ADS 사용 여부 확인

- 악성코드 은닉 여부 확인

이러한 이상 징후 식별 방법 중 프로세스 이상 징후 식별 방법에 대해 설명한다.

2. 프로세스 이상 징후 식별

2.1 프로세스 정보 추출

침해사고 발생한 시스템은 악성 코드, 쓰레드가 삽입된 프로세스가 존재할 가능성이 있다. 이러한 가능성을 확인하기 위해 정상적인 프로세스와 대조가 필요하다. 그렇기에 침해사고 PC에서 의심스러운 징후를 수집 해야 하며 필수적으로 수집해야 항목은 아래와 같다.

항목 :

- 이름

- PID

- PPID

- 경로

- 명령라인

- 메모리 사용

- 생성/종료 시간 등

이러한 항목들은 침해사고가 발생한 라이브 시스템 혹은 해당 단말에서 덤프한 메모리에서 수집 가능하다.

2.2 의심스러운 프로세스 이상 징후 분석

2.2.1 경로 및 이름 분석

일반적이지 않은 경로와 이름을 사용하여 실행되는 프로세스를 확인한다.

2.2.2 프로세스 혈통 분석

실행중인 서비스가 동작 중인 경로와 해당 프로세스의 부모 프로세스가 일반적이지 않다면 비정상 프로세스로 의심 가능하다.

표 1 리니지 분석 참고 표
서비스	서비스 설명	부모 프로세스	경로
explorer.exe	Windows 탐색기, 사용자가 파일, 폴더 및 기타 리소스를 탐색하고 관리하는 데 사용되는 GUI 쉘.	userinit.exe	C:\Windows\explorer.exe
lsass.exe	로컬 보안 권한 서브시스템, 시스템 보안 정책을 적용하고 사용자 로그인 및 권한을 관리.	wininit.exe	C:\Windows\System32\lsass.exe
svchost.exe	여러 Windows 서비스를 호스팅하는 데 사용되는 프로세스. 여러 인스턴스가 동시에 실행될 수 있음.	services.exe	C:\Windows\System32\svchost.exe
winlogon.exe	사용자의 로그온/로그오프를 관리하며, 시스템 시작 시 중요한 작업을 수행.	smss.exe	C:\Windows\System32\winlogon.exe
csrss.exe	클라이언트/서버 런타임 프로세스, 콘솔 창을 관리하고 스레드 생성 작업을 수행.	smss.exe	C:\Windows\System32\csrss.exe
services.exe	시스템 서비스의 시작, 중지 및 관리 작업을 수행하는 서비스 제어 관리자.	wininit.exe	C:\Windows\System32\services.exe
smss.exe	세션 관리자 서브시스템, 시스템 시작 시 가장 먼저 실행되는 프로세스로 다른 핵심 프로세스들을 시작.	System	C:\Windows\System32\smss.exe
cmd.exe	명령 줄 인터페이스로 명령어를 입력하여 다양한 작업을 수행하는 명령 프롬프트.	보통 explorer.exe 또는 cmd.exe	C:\Windows\System32\cmd.exe
conhost.exe	콘솔 윈도우 호스트, cmd.exe와 같은 콘솔 기반 응용 프로그램의 GUI 연결을 지원.	cmd.exe	C:\Windows\System32\conhost.exe
taskhost.exe	태스크 호스트, DLL 기반의 Windows 서비스가 실행되는 호스트 프로세스.	svchost.exe 또는 explorer.exe	C:\Windows\System32\taskhost.exe
dllhost.exe	COM+ 애플리케이션을 실행하는 호스트 프로세스, COM 객체의 실행을 관리.	svchost.exe 또는 explorer.exe	C:\Windows\System32\dllhost.exe
rundll32.exe	DLL 파일을 실행하는 데 사용되는 프로세스, 특정 기능을 수행하는 데 필요할 때 사용됨.	보통 explorer.exe 또는 svchost.exe	C:\Windows\System32\rundll32.exe
wininit.exe	시스템 초기화를 담당하는 프로세스로, 시스템 부팅 시 초기화 작업을 수행하고 핵심 프로세스를 시작.	smss.exe	C:\Windows\System32\wininit.exe
notepad.exe	Windows 메모장, 텍스트 편집기. 간단한 텍스트 파일을 열고 편집하는 데 사용됨.	보통 explorer.exe	C:\Windows\System32\notepad.exe
mstsc.exe	원격 데스크톱 연결, 원격 컴퓨터에 연결하여 제어할 수 있게 해주는 클라이언트 프로그램.	보통 explorer.exe	C:\Windows\System32\mstsc.exe