West_Cold

Snort에 들어가기 앞서...

IDS/IPS의 기본 지식이 필요하기 때문에 기본 지식이 없다면 아래 글을 보고 오길 추천한다.

https://eatitstory.tistory.com/54

IDS와 IPS의 요약

IDS와 IPS는 네트워크 보안을 지키는 눈(IDS)과 손(IPS)

Snort와 IDS/IPS의 관계

• Snort는 기본적으로 IDS로 설계되었다. 즉, 네트워크 트래픽을 모니터링하고 문제가 감지되면 관리자에게 경고를 보내는 역할을 한다.
• 하지만 Snort는 추가 설정을 통해 IPS 기능도 제공할 수 있다. 이 경우, 네트워크 방화벽이나 정책 설정과 연동하여 자동으로 공격을 차단하도록 동작할 수 있다.

Snort의 개요

1998년 마틴 로슈(Martin Roesch)에 의해 개발된 Snort는 네트워크 침입 탐지 시스템(IDS, Intrusion Detection System)의 한 형태로, 주로 시그니처 기반 탐지를 수행한다.

1. 탄생 배경

• 90년대 후반, 웹 사용이 급증하면서 인터넷 환경에서의 보안 위협이 증가.
• 해커들이 악성 트래픽(DoS 공격, 악성 코드, 취약점 공격 등)을 이용해 시스템을 침해하는 사례가 급격히 늘어남.
• 네트워크 트래픽 속에서 공격 패턴이나 악성 활동을 탐지하기 위해 IDS가 필요해짐.
• Snort는 이러한 요구를 해결하기 위해 오픈 소스 기반으로 만들어진 IDS 도구로, 낮은 비용으로 강력한 네트워크 보안 기능을 제공

2. 활용 이유

• 공격 탐지를 위한 패턴 매칭 및 프로토콜 분석이 가능.
• 네트워크 트래픽을 실시간으로 모니터링하고, 의심스러운 활동을 관리자에게 알림.
• 확장성과 사용자 정의 규칙을 통해 다양한 환경에 적용 가능.

Snort의 주요 기능

• Sniffer 모드: 실시간 트래픽 모니터링을 통해 네트워크 상태 점검.
• Packet Logger 모드: 트래픽을 저장해 보안 감사 또는 침입 탐지의 사후 분석 자료로 활용.
• IDS/IPS 모드: 네트워크에서 발생하는 악의적인 활동(해킹 시도, 악성코드 다운로드 등)을 탐지 및 방지.

Snort의 동작 방식

Snort는 트래픽을 캡처하고, 단계별로 분석을 수행하여 의심스러운 활동을 탐지하거나 차단한다.

동작 단계

1. 스니퍼(Sniffer)
   • 네트워크 인터페이스에서 실시간 트래픽을 캡처.
   • 네트워크 어댑터를 프로미스큐어스 모드로 설정해 모든 트래픽을 수집.
2. 패킷 디코딩(Packet Decoding)
   • 캡처된 패킷을 **OSI 모델 계층(2~4계층)**에 따라 분해.
   • 출발지/목적지 IP, 포트, 프로토콜 정보를 추출.
3. 전처리(Preprocessing)
   • 데이터를 정리하고 탐지 우회를 방지하기 위한 처리 수행.
   • 패킷 재조립: 조각난 패킷 복원.
   • 프로토콜 노멀라이제이션: 비정상 데이터를 표준화.
4. 탐지 엔진(Detection Engine)
   • Snort 규칙(시그니처)과 트래픽을 비교하여 위협 여부 탐지.
   • 탐지된 패킷은 경고를 생성하거나 로그에 기록.
5. 경고 및 로그(Alert/Log)
   • 탐지 결과를 경고 메시지로 출력하거나 로그 파일로 저장.
   • IPS 모드에서는 트래픽을 차단하거나 연결을 종료.

Snort 시그니처(Snort Rules)

Snort 시그니처는 헤더(Header)와 옵션(Options)으로 구성되어 있다.

• 헤더(Header): 기본적인 탐지 조건(프로토콜, IP, 포트, 트래픽 방향 등)을 정의.
• 옵션(Options): 상세한 탐지 조건(내용 매칭, 패턴 분석, 경고 메시지 등)을 설정.

---

Snort 시그니처 형식

<동작> <프로토콜> <출발지 IP> <출발지 포트> -> <목적지 IP> <목적지 포트> (<옵션>)
<Rule Action> <Protocol> <Source IP> <Source Port> <Direction> <Destination IP> <Destination Port> (<옵션>)

 

 

헤더 구성 요소

헤더 구성 요소	설명	예시
Rule Action	시그니처가 탐지 시 수행할 동작	alert
Protocol	탐지할 네트워크 프로토콜	tcp, udp, icmp
Source IP	트래픽의 소스 IP	any, 192.168.1.1
Source Port	트래픽의 소스 포트	any, 80
Direction	탐지 트래픽의 방향	-> (from source to destination)
Destination IP	트래픽의 목적지 IP	$HOME_NET, any
Destination Port	트래픽의 목적지 포트	80, 443

 

 

헤더 필드 설명

동작(Action)

• Snort가 규칙 조건을 만족하는 트래픽을 탐지했을 때 수행할 작업. 

명령어	기능	설명
alert	조건에 맞는 트래픽에 대해 경고 메시지 출력	탐지한 패킷에 대해 경고를 생성하여 설정된 출력 방식으로 전송. (syslog, 콘솔, 파일 등).
log	트래픽 정보를 로그 파일에 기록	탐지된 트래픽을 상세히 기록하여 분석 자료로 활용. (pcap 형식으로 저장 가능).
pass	트래픽을 무시하고 탐지를 수행하지 않음	특정 트래픽을 허용하거나 우선순위에서 제외할 때 사용.
drop	트래픽을 탐지하고 차단 (IPS 모드에서 사용)	탐지된 트래픽을 패킷 차단 후 기록하지 않음.
sdrop	트래픽을 차단하고 상대방에게 응답하지 않음	drop과 유사하지만, 탐지 기록도 생성하지 않아 은밀하게 차단 가능.
reject	트래픽을 차단하고 발신자에게 거부 메시지 전송	drop과 달리 차단 후, 상대방에게 거부 응답 메시지(ICMP/특정 프로토콜)를 전송.

 

 

Protocol (프로토콜)

• 탐지할 네트워크 트래픽의 프로토콜을 지정.

명령어	기능	설명
tcp	TCP 프로토콜 탐지	HTTP, FTP, SSH 등 연결 기반 트래픽 탐지.
udp	UDP 프로토콜 탐지	DNS, SNMP, VoIP와 같은 연결 없는 트래픽 탐지.
icmp	ICMP 프로토콜 탐지	Ping 요청/응답 및 네트워크 상태 확인 메시지 탐지.
ip	모든 IP 기반 프로토콜 탐지	TCP, UDP, ICMP 등 모든 IP 프로토콜에 대한 트래픽을 탐지.
any	모든 프로토콜 탐지	위의 모든 프로토콜을 포함하여 트래픽을 탐지.

 

방향성(Direction)

• 트래픽의 방향을 지정.

명령어	기능	설명
->	출발지 → 목적지 트래픽 탐지	소스에서 목적지로 가는 트래픽만 탐지.
< >	출발지 ↔ 목적지 간의 모든 트래픽 탐지	양방향(출발지와 목적지 모두) 트래픽 탐지.

 

 

 

Source/Destination IP 및 Port

• 탐지할 트래픽의 출발지/목적지 IP 주소를 설정.

명령어	기능	예시	설명
any	모든 IP 또는 Port를 의미	any	특정 IP나 포트를 지정하지 않을 때 사용.
[ ]	여러 IP 주소를 목록으로 지정	[192.168.1.1,10.0.0.1]	리스트 형태로 IP 주소를 묶어서 정의.
!	부정 연산자로 특정 IP 또는 Port 제외	![192.168.1.1], !80	제외할 IP 또는 포트를 지정.
포트번호	특정 포트 번호를 지정	80, 443	해당 포트 번호만 탐지.
포트번호1:포트번호2	범위 내의 모든 포트 지정	1000:2000	1000번부터 2000번 포트까지 탐지.
:포트번호	지정된 포트 이하 모든 포트 탐지	:1024	1024번 이하 모든 포트 탐지.
포트번호:	지정된 포트 이상 모든 포트 탐지	1024:	1024번 이상 모든 포트 탐지.
$HOME_NET	내부 네트워크 IP 주소 대체 변수	$HOME_NET	Snort 설정에서 정의된 내부 네트워크 범위. (예: 내부망 IP를 지정할 때 사용)
$EXTERNAL_NET	외부 네트워크 IP 주소 대체 변수	$EXTERNAL_NET	Snort 설정에서 정의된 외부 네트워크 범위. (예: 외부망 IP를 지정할 때 사용)
$HTTP_SERVERS	웹 서버의 주소 변수	$HTTP_SERVERS	Snort 설정 파일에서 정의된 HTTP 서버 네트워크 주소를 사용.
$SSH_SERVERS	SSH 프로토콜을 사용하는 장비의  IP 주소 변	$SSH_SERVERS	Snort 설정 파일에서 정의된 SSH 서버 네트워크 주소를 사용.

---

옵션 

• Snort 규칙에서 Rule Option은 탐지 정확도를 높이는 데 중요한 역할을 하는 옵션이다.
• Rule Option은 일반 옵션, Payload 옵션, HTTP 옵션, 흐름 옵션으로 크게 구분된다.
• 각 옵션은 특정 조건을 지정하여 보다 정교하게 패킷을 탐지하거나, 탐지된 패킷에 대한 동작을 구체화하는 데 사용된다.
• 모든 옵션은 세미콜론(;)을 사용해 서로를 구분하고, 규칙 옵션 키워드는 콜론(:)을 사용해 인수(예: content:"GET"; 에서 "GET" 문자)와 구분한다. 

일반 옵션 (General Options)

• 규칙에 대한 추가 정보를 제공하며, 패킷 매칭에는 영향을 미치지 않는 옵션이다.

Payload 옵션 (Payload Options)

• 패킷의 데이터를 분석하여 악성 패킷을 탐지하는 옵션이다.

HTTP 옵션 (HTTP Options)

• HTTP 프로토콜의 특정 부분에서만 패턴을 매칭할 때 사용하는 옵션이다.

흐름 옵션 (Flow Options)

• 패킷이 흐르는 방향을 지정하여 트래픽의 흐름을 제어하는 옵션다.

예시 시그니처

alert tcp $EXTERNAL_NET any -> $HOME_NET 80 (msg:"HTTP 공격 탐지"; content:"GET"; nocase; http_uri; offset:3; distance:5; content:"test"; within:5; sid:1000001; flow:to_server,established; rev:1;)

각 구성 요소의 설명:

1. alert
   • 동작 (Action): 조건을 만족하는 트래픽을 탐지하면 경고 메시지를 출력하는 규칙이다.
2. tcp
   • 프로토콜 (Protocol): TCP 프로토콜을 사용하는 트래픽을 탐지하는 규칙이다.
3. $EXTERNAL_NET any -> $HOME_NET 80
   • 출발지 IP: $EXTERNAL_NET은 외부 네트워크를 의미하며, any는 모든 출발지 IP를 의미한다.
   • 출발지 포트: any는 모든 포트를 의미한다.
   • 목적지 IP: $HOME_NET은 내부 네트워크를 의미한다.
   • 목적지 포트: 80번 포트는 HTTP 기본 포트를 의미한다.
4. (msg:"HTTP 공격 탐지";
   • msg: 트래픽이 매칭되면 "HTTP 공격 탐지"라는 메시지를 출력하는 규칙이다.
5. content:"GET";
   • content: 패킷 데이터에서 "GET"이라는 문자열을 찾는 규칙이다.
6. nocase;
   • nocase: "GET" 문자열을 대소문자 구분 없이 탐지하는 규칙이다.
7. http_uri;
   • http_uri: 패킷의 HTTP URI 부분에서 "GET" 문자열을 찾는 규칙이다.
8. offset:3;
   • offset: 패킷 데이터의 첫 3바이트를 건너뛰고, 4바이트부터 "GET" 문자열을 탐지하는 규칙이다.
9. distance:5;
   • distance: "GET" 문자열이 매칭된 후, 5바이트를 건너뛰고 "test" 문자열을 탐지하는 규칙이다.
10. content:"test";
    • content: "GET" 문자열 뒤에 "test"라는 문자열을 찾는 규칙이다.
11. within:5;
    • within: "GET" 문자열과 "test" 문자열 사이의 거리가 5바이트 이내여야 매칭되는 규칙이다.
12. sid:1000001;
    • sid (Signature ID): 이 규칙의 고유 식별자 1000001을 의미하며, 규칙을 구별하는 데 사용되는 규칙이다.
13. flow:to_server,established;
    • flow: 패킷의 흐름을 지정하는 규칙이다.
    • to_server: 클라이언트에서 서버로 가는 트래픽을 탐지하는 규칙이다.
    • established: 이미 세션이 성립된 상태에서 발생하는 트래픽을 탐지하는 규칙이다.
14. rev:1;)
    • rev: 이 규칙의 버전 1을 의미하며, 최초 버전임을 나타내는 규칙이다.

참고자료

https://maker5587.tistory.com/24

https://medium.com/@acaremrullahkku/what-is-snort-547916bece5f

https://www.youtube.com/watch?v=QzYerZ7hDrM

https://net123.tistory.com/579

ppt

샘플파일

이번에 분석해 볼 파일은 dgrep.exe

기초 분석

Virustotal

-Virustotal에서 스캔을 해보았다.
-72개의 엔징 중 68개의 엔진이 해당 파일을 악성 파일로 추정된다.
-각 엔진들을 봐보면 Backdoor, Trojan, Win32. worm, Malicious 등 진단명이 보인다.
-Threat categories를 보면 trojan이 보인다.
-해당 파일은 win32에서 구동될 것으로 보인다.

-디테일탭을 들어오면 더 자세히 알 수 있다.
-먼저 해시값을 확인할 수 있다
-packer에 대한 정보도 알 수 있는데 SVK-Protector v1.11과 UPX라는 패킹 툴을 이용하여 패킹이 되었음을 추정 가능하다.
-그리고 파일이 언제 만들어졌는지 또한 확인 가능하다.

-relations탭에서는 분석하려는 파일과 관련된 ip와 url 정보를 확인할 수 있다.
-해당 파일은 107.163.241.198 라는 IP 및 api.wisemansupport.com 이라는 URL과 연관이 있을 것으로 의심이 된다
 

정적 분석

패킹되어 있는 파일을 언패킹 하여 내부를 들여다 볼거다.

-우선 분석이 들어가기 앞서 윈도우의 실시간 보호를 꺼줘야 한다.
-설정이 되어 있다면 악성코드를 압축 해제 시 자동적으로 삭제가 되거나 실행이 안된다.
 
Exeinfo PE
 

-dgrep.exe를 검사해 본 결과 EP section은 .mmmym으로 일반적이지 않은 이름으로 난독화 또는 수동으로 조작이 되었다.
-UPX라는 패킹 툴로 압축되었을 확률이 높다.
 
PE explorer

-패킹을 언패킹 하기 위해 PE explorer를 사용해 줬다.
-(보통은 언패킹을 수동으로 하는 경우와 패킹 툴을 사용하는 경우로 나눠지는데 수동은 아직 내 수준으로는 힘들기에 툴을 사용했다.)
-(Exeinfo pe에서는 RL!Depacker v 1.15 를 사용하라고 권장하지만 구글링을 해도 나오지 않고 gunpacker나 De4dot를 사용한 글들을 보기도 했지만 이 또한 구글링을 해도 나오지 않는 사고가...쩔 수 없이 PE explorer는 30일 무료 버전이 있길래 사용해 줬다.)

-언패킹을 한 파일을 dgrep123.exe로 만들어 다시 검사를 돌려줬다.
-C++로 만든 프로그램이라는 걸 알 수 있다
-not packed가 나온 걸 보면 언패킹이 되었단 걸 알 수 있다.
 

+추가로 언패킹하고 난 후 언패킹한 파일이 패킹한 파일보다 데이터 크기가 컸다.
 
 
Bintext

-문자열이 보이는 걸 보니 언패킹이 되었단 걸 다시 한번 확인 가능했다.
-문자열 중에 cmd.exe를 이용하여 ping 127.0.01-n2명령어를 사용하는 것 같은 문자열이 보인다.
-그리고 wiseman.exe를 설치하여 실행하기 위한 문자열로 보이는 문자열도 보인다.
-C:\Windows\System32\rundll32.exe 해당 경로의 파일을 실행하기 위한 문자열로 의심되는 문자열을 확인했다.
-RedTom21@HotMail.com 이라는 메일주소를 확인하였는데 악성 파일과 관련되어 보인다.
 
 

-저번 주에서도 말했지만 악성코드에 자주 사용된다는 dll파일도 문자열에서 보이는 걸 확인했다.
-라이브러리 중 WS_32.dll의 경우 네트워크 행위를 할 때 사용되는 라이브러리이기에 해당 파일은 네트워크 행위를 할 가능성이 높다.
 
PEview

-4D 5A (MZ) 시그니처를 확인했기에 이 파일은 exe파일임을 알 수 있다.
 

-IMAGE_FILE_HEADER 탭의 Time Date Stamp 를 활용해 파일 생성 날짜가 2015.10.09 라는 것도 알 수 있다.

-세션 헤더 탭을 들어가 해당 파일의 패킹 여부를 확인할 수 있었다.
-해당 세션 이름은 .text로 일반적인 세션 이름으로 패킹이 되었단 걸 알 수 있다.
-해당 파일은 언패킹을 진행한 파일이지만 Virtual Size 와 Size of Raw Data 의 값의 차이를 보인다.
-그러나 데이터 차이가 수백이상이 아닌 27정도만 차이가 나고 bintext에서도 확인했듯이 문자열 확인이 가능하기에 완전하지는 못해도 분석하는 데에 무리 없이 언패킹이 되었다는 걸 알 수 있다. 

-bintext에서 봤던 dll 라이브러리들이 보인다.

동적분석

이제부터는 실제 패킹되어 있는 파일을 실행을 해본다.
 
Process Explorer

-drep.exe를 실행한 후 모습을 캡처를 해보았다.
-drep.exe 실행 후 cmd.exe, conhost.exe, PING.EXE가 프로세스 목록에 생성되는 걸 볼 수 있었다.
 

-또한 cmd.exe에서 gzoyo.exe(실행할 때 마다 이름이 다른 파일)을 생성하고 rundll32.exe을 실행한다.

-이후 rundll32.exe와 taskkill.exe가 실행이 되었다가 gzoyo.exe파일과  taskkill.exe 는 사라지고 rundll32.exe만 계속해서 실행 상태인 것을 알 수 있다.
 
 
Process Monitor

tree로 본 악성코드 프로세스 순서

1. dgrep.exe
악성코드 실행

2.cmd.exe
추가적인 명령어 실행

3.conhost.exe. ping.exe, rddbo.exe 병렬실행

-conhost.exe: 악성 프로세스 숨기는데 사용
-ping.exe네트워크 연결 테스트 및 원격 서버와 통신 시도
-rddbo.exe: 실행 때마다 이름이 바뀌며 악성 프로세스 실행하거나 제어

4.rddbo.exe -> rundll32.exe실행
rundll32.exe를 호출하여 악성 DLL 파일을 실행하거나 시스템에 백도어를 설정하려 시도

5.rundll32.exe -> taskkill.exe 실행
프로세스를 종료하려고 시도

6.taskkill.exe -> conhost.exe 실행
악성코드가 계속해서 제어를 유지하려는 시도로, 자신을 재활성화하려는 목적

taskkill.exe로 모든 파일들이 종료되었지만 rundll32.exe만 계속 실행중인 이유는 자기보호 메커니즘을 가지고 있어서
taskkill.exe -> conhost.exe 실행은 악성코드가 계속해서 지속적인 제어를 유지하려는 의도로 추정된다.

-dgrep.exe 프로세스 이름만 필터를 거쳐 분석을 진행해보았다.
-explorer에서 확인했듯이 이름 모를 파일이 생성되는 걸 볼 수 있었다.(실행마다 이름이 바뀐다. ex :rddbo.exe )
 

-cmd.exe프로세스가 ping명령어 사용을 위해 ping.exe파일을 실행하는 모습을 확인이 가능하다.
-악성 경유지와 통신하기 위해 사전에 네트워크 체크하는 과정으로 추정이 된다.
 

*근데 정적분석에서 발견한 wiseman.exe는 왜 실행이 안되는걸까?
-악성코드는 시간에 따라서 특성이 변한다.
-네트워크 행위를 하다가 하지 않을 수도 있다.
-그렇기에 현재 네트워크 행위를 하지않아 해당 파일을 다운받아오지 못한 걸로 보면 될 거 같다.

Autorns

-dgrep.exe 파일 실행 전과 후 레지스트리 변화를 확인할 수 있다.
-EvtMgr파일이 부팅 후 자동으로 실행되는 프로그램에 등록된 것을 확인할 수 있다.
-파일에 등록된 레지스트리 주소는 윈도우를 재시작했을 때 자동으로 시작되게끔 하는 영역이다.
-대부분의 악성 코드들이 등록하는 영역(재부팅 시 악성코드가 다시 실행되도록 하기 위함이다.)
 
Currports

-네트워크 상태를 확인하기 위해 새로운 툴을 사용해 보았다.
-기초분석에 확인했던 IP주소와 연관되어 있는 IP주소 확인을 했다.(rundell32.exe파일의 remote address에 바이러스 토탈에서 확인했던 107.163.241.198가 있다. )

-상태 창을 보면 전송됨 이라는 상태 즉 SYN_SENT 상태가 보이지만 해당 상태에서 변함이 없는 것을 보았을 때 최종 세션 성립에는 실패하는 것으로 보여진다.

WireShark

-앞에서 기초분석과 currports에서 수집했던 연관 있는 ip를 검색해 보았다. (107.163.241.197, 107.163.241.198)
 

-특정 IP(107.163.241.197, 107.163.241.198)에 syn플래그를 전송하는 게 보인다
 

-해당 IP에서 RST 패킷으로 답신이 보인다.(RST: 연결 확립된 회선에 강제 리셋 요청)
->연결에 실패한 것으로 추정된다.

결론

 
기초 분석

• VirusTotal 검사에서 68개의 엔진이 dgrep.exe 파일을 악성으로 추정된다.
• 파일은 Win32 환경에서 실행되며 SVK-Protector v1.11과 UPX 패킹 툴이 사용된 것으로 추정된다.
• 특정 IP 107.163.241.198과 URL api.wisemansupport.com과의 연관이 의심된다.

정적 분석

• Exeinfo PE로 파일의 EP 섹션이 .mmmym으로 설정된 비정상적 섹션 이름을 확인하였고, UPX 패킹 가능성을 파악하였다.
• PE Explorer를 통해 언패킹 후 C++로 작성된 프로그램임을 확인하였다.
• Bintext에서 cmd.exe의 ping 명령어, wiseman.exe 실행 문자열, WS_32.dll 네트워크 라이브러리를 확인하였다.

동적 분석

• Process Explorer에서 dgrep.exe 실행 시 cmd.exe, PING.EXE 등 프로세스가 생성되는 것을 관찰하였다.
• Process Monitor에서 ping 명령어 수행과 익명 파일 생성이 확인되었다.
• Cports와 Wireshark로 악성 IP 107.163.241.198와의 통신 시도 및 연결 실패를 확인하였다.

결론

• dgrep.exe는 백도어 및 트로이 목마 유형의 악성코드로, 특정 IP와의 통신 시도를 지속하는 악성 파일로 보인다.
• 패킹이 되어 있었으나 언패킹을 통해 분석이 가능했으며, 네트워크 기반 악성 행위가 확인되었다.
• 통신 시도에 응답이 없어 현재는 작동하지 않지만, IP나 URL이 복구되면 재작동할 가능성이 있다.

참고 자료

https://itcase.tistory.com/entry/15-%EC%95%85%EC%84%B1%EC%BD%94%EB%93%9C-%EC%83%98%ED%94%8C-%EB%B6%84%EC%84%9D-2-%EC%83%81

https://vkdnj2040.tistory.com/14

https://maker5587.tistory.com/23#RL!dePacker%20%C2%A0-%3E%20%EC%96%B8%ED%8C%A8%ED%82%B9%20%ED%88%B4-1

ppt

보고서

https://eatitstory.tistory.com/77

준비

"bton02setu.exe" 샘플 파일을 다운 받아 분석해 볼 것이다.
 
*주의 절대 로컬 환경이 아닌 vmware에서만 실행하자!
 
 

기초분석

 
Virustotal
 

-검사 결과 73개의 백신 중 52개의 백신이 해당 파일을 악성파일로 진단하였다.
 
-검사결과 Treat categories를 보면 trojan, adware, downloader가 대표적인 진단 카테고리로 보여준다.
 
 

-디테일 탭에서 해당 파일의 자세한 정보를 확인해 볼 수 있는데
-파일의 고유한 해시값을 참고하고자 할 때는 MD5, SHA-256 두 가지를 살펴본다.
-win32 EXE을 보면 해당 파일이 win32 환경에서 구동되며
-C++로 제작되었다는 정보를 확인 가능
 
 

정적분석

 
Exeinfo PE

-정적분석 진행할 때, 가장 먼저 확인해야 하는 부분이 해당 파일의 패킹 여부
-Exeinfo PE를 통해 정보를 보면, c++로 제작 되었다는 정보를 알 수 있고
-Not packed를 보아 이 파일은 패킹이 되어있지 않아 언패킹 도구의 도움 없이 내부 문자열을 평문으로 확인 가능하다.
 
Bintext

-중점적으로 봐야하는 항목 중 함수 또는 명령어에 해당하는 문자열을 확인
-문자열에 URL주소가 보이는데 URL주소는 해당 파일이 네트워크와 관련된 작업을 수행하거나 원격 서버와 통신하고 다우로드를 시도할 수 있음을 의미한다.
-나중에 동적분석 과정에서 네트워크 쪽 행위를 확인하면서 위에 URL주소 및 실행 파일 참고할 수 있다.
-Reapea와 del 문자열은 삭제 및 반복의 행위도 할 수 있다고 추정 가능
 

-악성코드에 자주 사용되는 dll 파일도 보인다.
-WSOCK32, NETAPI32 같은 네트워크 관련 작업이 가능한 dll 파일들이 확인 가능하다.
 
PEview

-pFile 의 4D 5A와  value의 MZ를 보면 exe파일이라는 걸 알 수 있다.
 

-Virtual Size와 Size of Raw Data 간의 크기 차이가 크지 않아 해당 파일은 패킹이 되지 않은 것으로 보인다.

-Bintext에서 확인했던 dll 파일들을 확인 가능하다.
 

동적분석

 
동적분석 부터는 악성코드 파일을 실행하고 그 결과를 확인해야 한다.
 
Process Explorer

-파일 실행 후 Process Explorer를 확인해본 결과, 프로세스가 생성되었다가 실행한 파일이 사라지고 프로세스도 사라졌다.
-트로이목마 성격을 확인 가능했다.
 
* 트로이목마 악성코드 중에는 실행 파일이 스스로 삭제되거나 특정 조건에서 일시적으로 존재했다가 사라지는 경우가 있다. 이러한 기능은 주로 악성코드 탐지를 피하기 위해 설계된 것으로, 악성 행위를 수행한 후 자신의 흔적을 지우거나 숨기려는 목적을 가지고 있다. 이를 파일리스(Fileless) 악성코드나 자체 삭제(Self-Deleting) 트로이목마라고도 한다.
 
 
 Process Moniter

-악성코드 실행 후 화면이다.
 
 

-해당 bton02Setup.exe 파일이 cmd.exe 파일을 실행하는 모습을 확인할 수 있다.
-cmd.exe 파일을 실행한 것을 확인하고 cmd.exe 가 무슨 일을 하는 것인지 확인을 위해 cmd.exe 프로세스를 필터링 해서 확인해본다.
 

-operation에서 regquery.vlaue의 결과값이 name not found라고 떴기 악성코드가 요청한 레지스트리 키나 값이 존재하지 않음을 의미한다.
-악성코드의 행위가 단순히 실패한 것이므로, 추가적인 탐색과 분석이 필요하다.
 
Autoruns

-파일 실행 전과 후의 레지스트리 쪽의 변화를 확인해보기 위해, 스냅샷을 저장하고 비교해 보았지만 차이는 없었다.
 
WireShark

-실행 후 50초 쯤이 되니까 갑자기 네트워크 움직임이 보이기 시작했다.
 

 
-통신 중 TCP 연결을 위한 3-Way Handshake 및 FIN 플래그를 통한 연결 종료가 이루어지고 있음을 알 수 있다. 
-악성코드가 HTTP를 통한 POST 요청을 사용하고 있다.
-이를 통해 네트워크를 사용하는 악성코드임을 알 수 있다.
 

결론

-"bton02setup.exe"는 트로이목마 성격의 악성코드로, 네트워크를 통해 원격 서버와 통신하고 정보를 전송하려고 시도하는 것으로 보인다.
-일부 행위가 실패했지만, 악성코드의 전반적인 동작 방식을 이해하기 위한 추가 분석이 필요하다.
-이 악성코드는 탐지를 피하기 위해 스스로 삭제하는 기능이 있으며, 향후 추가적인 행동을 감시하는 것이 중요하다.
-시스템의 보안을 강화하고, 의심스러운 파일 및 네트워크 활동에 대해 지속적으로 모니터링하는 것이 필요하다.

참고

14. 악성코드 샘플 분석(1)
악성코드샘플분석 1차

ppt

악성코드 샘플 수집

"MalwareBazaar" 사이트에서 악성코드 샘플을 하나 수집해왔다.

database 창으로 들어와 가져오고 싶은 악성코드를 다운 받아오면 된다.

위 사진은 악성코드에 어떤 위험이 있는지에 관한 정보 창

다운을 받으면 압축해제가 암호가 걸려 있어 해제가 되지 않는 경우가 있을거다.

이를 위해 7-7zip를 다운 받아 압축해제를 해준다.

그러면 세팅완료!

정적분석 Tool

Exeinfo(패킹여부 확인)

아직 자세히는 몰라 윗줄과 아랫줄이 무엇인지 gpt에 물어본 결과

윗줄

-현재 파일은 AutoIt으로 작성된 프로그램이거나 AutoIt으로 생성된 실행 파일이며, 추가적인 데이터(Overlay)가 포함되어 있지만, 악성코드는 감지되지 않았습니다.

아랫줄

-이 메시지는 해당 실행 파일이 AutoIt 스크립트로 작성된 파일이며, 코드의 크기가 크고 분석이 필요하다는 것을 알리고 있습니다. 디컴파일러를 사용하여 실행 파일을 AutoIt 스크립트로 변환하면, 내부 코드를 자세히 분석할 수 있으므로, 이 과정을 추천하는 것입니다.

디컴파일을 통해 코드의 구조와 동작을 파악하고, 필요한 경우 이를 수정하거나 분석하여 악성 코드 여부를 확인하는 것이 좋습니다.

Bin Text (문자열 확인)

문자열들을 해석하여 악성코드 파일인지 확인 가능하다

오른쪽 밑에 Save 버튼을 누르면 현재 bintext에 나와있는 형식을 텍스트 파일로 저장 가능하다

저장한 텍스트 파일 내부

동적분석 Tool

process Explorer(프로세스)

녹색 : 프로세스 실행

빨간색 : 프로세스 종료

분홍색 : 서비스 프로세스

파란색 : 사용자 프로세스

보라색 : 패킹 이미지 파일

무색 : 시스템 영역 프로세스

Set Priority : 프로세스에 대한 기본 스케줄링, 우선순위 확인 및 설정

Kill Process : 프로세스 강제 종료

Kill Process Tree : 프로세스의 자식 프로세스까지 종료

Restart : 프로세스 재시작

Suspend : 프로세스 일시정지

Create Dump : 현재 메모리를 선택해서 덤프파일을 만든다

Check Virus Total : 바이러스 토탈에 따로 접속하지 않고 몇 개의 엔진에서 검출이 되는지 실시간으로 파악 가능

악성코드를 실행시켜 Process Explorer로 관찰

악성코드 실행시 프로세스가 실행되고 바로 사라진다.

Autoruns(파일 및 레지스토리)

Autoruns 는 윈도우가 부팅 후 자동으로 시작되는 서비스 또는 프로그램을 모니터링 할 수 있는 툴이다.

1.악성코드 실행 전 Autoruns 상태를 저장
2.악성코드 실행 후 새로고침(F5)
3.File 탭 -> compare로 비교

어떤 프로그램이 실행되었는지와, 어떤 레지스트리가 등록되는지 확인 할 수 있다.

Wireshark(네트워크)

오고가는 패킷을 실시간으로 잡아내는 것을 확인 가능하다

 No. : 패킷을 수집한 순서

Time : 패킷이 수집된 시간

Source : 패킷을 보낸 주소

Destination : 패킷 도착 주소

Protocol : 프로토콜 정보

Length : 패킷의 길이

Info : 패킷 정보

위에 상단바에 보면 "Apply a display filter" 라고 쓰여있는 공간이 있다. (위 그림에서 ip라고 적힌 부분)

이 곳에다가 원하는 필터링 식을 적용하거나, 상단 메뉴에 Analyze > Display Filters... 에 들어가서 적용할 수 있다

ip만 쳐도 사용할 수 있는 필터의 예시를 보여준다.

• eth.addr//출발지나 목적지 MAC 주소로 검색
• ip.addr// 출발지나 목적지 IP주소로 검색
• tcp.port// TCP 출발지나 목적지 포트 번호로 검색
• ip.src !=// 출발지 IP주소가 해당 IP주소가 아닌것 검색
• eth.dst// 목적지 MAC주소 검색

참고 블로그

정적, 동적 Tool 실습

12. 정적, 동적 Tool 실습

ppt

VMware 설치

VMware workstation pro 17 설치를 한다.

(pro는 유료판인데 30일 무료체험이 가능하고 기간이 지나도 snapshot 같은 유용한 기능은 사용 가능하다)

쭉 next나 install 눌러준다

아래 버튼으로 무료판 써주고

하게 되면 VMware을 설치했을 때의 화면이 나온다.

가상 운영체제 환경을 생성을 해주기 위해 create a new virtual machie을 클릭

가상환경 설치

개인적으로 너무 힘들었던 구간이다

뻘짓했던 기록

1) 맨 처음 윈도우 7 버전으로 설치하고 VMware tools 설치를 하기 위해 microsoft update catalog에 접속해서 보안 업데이트를 해야 하는데 인터넷이 접속은 되는데  microsoft update catalog에 접속이 안되고 크롬도 설치가 안 되는 상황이 발생했다...

2)윈도우8로 시도해봤는데 이번에는 인터넷이 접속이 안된다..

3)윈도우10을 공식 사이트에서 다운받아 설치를 했는데

계속된 블루스크린 현상...

->워크스테이션을 17 프로 말고 15로 설정시키고 실행하니 다행히 윈도우10이 설치가 되었다.

*2024/11/27 계속된 오류 끝에 진짜 이유를 찾아냈다.

기본으로 선택되어 있던 NVme를 해제하고 SCSI나 SATA로 선택해서 하길 추천한다.

(같이 사는 형이 다행히 보안 회사에 다니셔서 형님의 도움으로 결국 해결)

->시도는 안해봐서 그러는데 다른 버전들이 인터넷이 안되거나 한 이유는 네트워크 브릿지로 안 해서 그럴까라는 의심도 든다

*참고한 블로그

VMware에 윈도우 10 설치하기(feat. 가상머신 만들기) (tistory.com)

윈도우 10 ISO파일 만들기 (tistory.com)

https://hummingbird.tistory.com/6938

이것만 주의해 주고 나머지는 다 넥스트 누르면 된다.

중간에 네트워크 설정은 브릿지

그리고 내 드라이브에 용량이 부족해서 20gb로 설정

*2024/11/27 계속된 오류 끝에 진짜 이유를 찾아냈다.

기본으로 선택되어 있던 NVme를 해제하고 SCSI나 SATA로 선택해서 하길 추천한다.

마지막 finish 눌러주면 이런 화면이 뜨는데 다음 누르면서 설치해 주기

home 누르고 다운 받아주면 된다.

그러면 이렇게 가상환경 윈도우 10이 설치가 된다.

네트워크 확인

다른 사람들은 nat으로 하는 거 같던데 나는 하도 안돼서 bridge로 가니까 바로 인터넷 접속이 가능해졌다.

VMware Tools 설치

설치하는 이유는 

-훨씬 빠른 그래픽 성능

-개선된 마우스 성능

-Drag&Drop 기능 - host pc 에서 가상 pc로 파일을 바로 드래그하여 전달이 가능하다.

VM -> Manage -> Install VMware Tools를 선택해 주면 가상머신 D드라이브에 VMware Tools CD가 마운팅 된다.

윈도우 로고키 + R을 눌러 실행메뉴를 켜서 D:\setup.exe를 입력해 준다.

이런 화면이 뜬다. 계속 다음 눌러준다.

그러면 설치 완료!

재부팅하고 나면 속도도 빨라지고 호스트 pc에서 드래그로 파일을 가져올 수 있다.

필요한 악성 코드 분석 도구들을 호스트 pc에서 드래그로 가져와줬다.

Snapshot 기능

스냅샷 기능: 특정 시점의 데이터를 저장하고, 사용자가 원할 때 다시 저자왼 시점의 데이터로 복원할 수 있는 기능

스냅샷 기능의 사용 이유

악성코드 분석에서 악성코드 실행 후가상환경이 동작불능 상태가 되었을 때, 스냅샷 기능을 활용해 악성코드 실행 전 시점으로 복구하기 위해 주로 사용된다.(게임으로 치면 리폿? 이런 느낌인 듯)

첫 번째 버튼: Snapshot 추가

두 번째 버튼: 바로 전 Snapshot 했던 곳으로 이동

세 번째 버튼: Snapshot을 전체적으로 관리(삭제, 생성 등)

첫 번째 버튼을 클릭했을 때 나오는 이미지이다.

현재 스냅샷을 저장하고 싶으면 Take Snapshot 클릭을 하면 된다.

VM-Snapshot을 보면 Snapshot 1 상태로 특정 시점의 스냅샷이 저장된 걸 볼 수 있다.

종료

종료는 두 가지 방법이 있다.

1. 평소대로 윈도우 버튼으로 시스템 종료

2. 파일 exit 버튼

악성 샘플을 수집할 수 있는 사이트

• • Malware Bazaar
    • 악성 코드 샘플을 공유하는 플랫폼으로, 웹을 통해 업로드 및 다운로드할 수 있으며 API도 제공한다. 다양한 샘플들이 지속적으로 업데이트되어 연구 및 분석에 유용하다.
  • Malshare
    • 악성코드 샘플을 저장한 공용 디렉터리다. 누구나 접근할 수 있으며, 연구 목적으로 악성코드 샘플을 다운로드할 수 있다. 다양한 형태의 악성코드를 분석할 수 있는 자료들이 제공된다.
  • VirusShare
    • 방대한 악성코드 샘플을 제공하는 커뮤니티 기반의 웹사이트로, 연구자 및 분석가들이 샘플을 공유하고 분석하는 데 도움을 준다. 다만 등록된 사용자만 접근할 수 있는 구조다.
  • Malware Traffic Analysis
    • 악성코드 트래픽 및 샘플 분석을 위한 자료를 제공하는 사이트다. 다양한 트래픽 데이터와 함께 악성코드 샘플을 분석할 수 있어, 네트워크 보안 관점에서 유용하다.

참고 블로그

11. 샘플 분석 환경 구성 (velog.io)

VMware에 윈도우 10 설치하기(feat.가상머신 만들기) (tistory.com)

ppt

악성코드 분석에는 크게 3가지로 나눌 수 있다 기초분석, 정적분석, 동적분석
기초분석도 악성코드를 실행시켜서 하는 형태가 아니기 때문에 정적분석 범위 안에 들어갈 수 있다.

정적 분석

• 정적 분석은 악성코드를 실행하지 않고 악성코드의 코드와 리소스를 분석하는 방법이다. 코드 실행 없이 파일의 구조와 내용을 분석하여 악성코드가 어떻게 동작할지 예측한다.

정적 분석의 특징:

• 파일의 해시 값, 문자열 패턴, 메타데이터 확인 가능: 파일의 고유한 해시 값을 통해 파일의 동일성 및 악성 여부를 확인할 수 있으며, 문자열 패턴을 분석해 악성 활동을 추정할 수 있다.
• 비교적 안전: 악성코드를 실행하지 않기 때문에 비교적 안전하지만, 코드 자체가 위험 요소를 포함할 수 있어 혹시나 파일이 실행하는 경우가 발생할 수 있으므로 가상 환경에서 분석하는 것이 권장된다.
• 난독화 대응 어려움: 악성코드가 난독화된 경우, 분석이 어려울 수 있다.

정적분석 방법

• 해당 파일의 해시값 확인 후 원본 파일의 해시값과 비교하고 다르다면 변조된 것, 해시값을 Virustotal에 검색
• 파일 패킹 여부 확인 및 PE 구조 확인을 한다.
• 악성 코드가 사용하는 문자열 확인한다.
• 리소스를 확인하여 악성 코드 실행 파일에 저장된 리소스 분석

동적 분석

• 동적 분석은 악성코드를 실제로 실행하여 실행 전후의 상태를 분석하고, 악성코드의 실제 동작을 관찰하는 방법이다. 시스템 콜, 파일 수정, 네트워크 트래픽 등 실제로 실행되는 프로그램의 행동을 확인할 수 있다.

동적 분석의 특징:

• 직관적인 분석: 실행 중인 악성코드가 시스템에서 어떤 동작을 하는지 명확하게 파악할 수 있다.
• 가상 환경에서 분석: 악성코드를 직접 실행하기 때문에 반드시 가상 환경에서 진행해야 한다.
• 반복 분석 필요: 악성코드는 환경에 따라 다르게 동작할 수 있어 2회 이상 분석을 통해 더 명확한 결과를 얻을 수 있다.

동적분석 방법

1. Vmware 또는 VirtualBox 등 을 이용해 가상 샌드박스 환경을 구축한다.
2. 의심스러운 파일을 관리자 권한으로 실행 후 생성되는 프로세스 확인
3. 레지스트리 및 파일 변화 확인
4. 패킷 캡쳐 툴로 네트워크 동작 확인

(미리 보는) 동적분석 Tool

1. 프로세스 관련 Tool  - process explore
2. 파일 및 레지스트리 관련 Tool - autoruns
3. 네트워크 관련 Tool - wireshark

정적 분석과 동적 분석의 차이점

구분정적 분석동적 분석

정적 분석과 동적 분석은 각각의 장단점이 있어, 보다 정확한 분석을 위해서는 두 방법을 병행하는 것이 좋다.

동적/정적 분석을 위한 Tool 조사 및 사용법

정적분석

1. VirusTotal :
   • 백신에 따른 악성코드 확인과 해시값 조회를 통한 과거 검사 이력 확인을 할 수 있다.
   • 사용법: VirusTotal에 파일을 업로드하면, 여러 보안 엔진이 파일의 해시값을 통해 악성 여부를 분석한다.

     

2. Exeinfo PE :
   • 해커들은 악성코드의 크기를 줄여 빠르게 유포하고 분석하기 어렵게 악성코드를 압호화 및 압축하는 패킹기법을 사용한다
   • PE 파일(옮겨 다니면서 실행시키는 파일) 분석 도구로, 파일의 패킹 여부와 파일의 구조를 분석한다.
   • 사용법: exe 파일을 프로그램에 드래그하면 패킹 유무 및 추가 정보를(어느 언어로 작성, 그립팅, 프로테틱 등) 확인할 수 있다.
   • PEiD도 비슷한 방식으로 사용되며 패킹 여부와 어떤 툴로 패킹을 하였는지 확인한다.
     

     

     
     
3. BinText :
   • 실행 파일 내에서 문자열을 나열하여, 중요한 정보를 찾는 도구이다.
   • 도메인 주소, ip주소, 실행파일, 명령어, 함수 등을 분석하여 악성코드와 관련된 정보가 있는지 확인한다.
   • 패킹이 되어있을 경우에는 제대로 된 정보가 나오지 않기 때문에 언패킹을 진행한 후에 사용해야 한다.
   • 사용법: 분석할 파일을 선택하고, 추출된 문자열을 통해 의심스러운 정보를 확인한다
     

     

동적분석

1. Process Explorer :
   • 시스템에서 실행 중인 모든 프로세스를 실시간으로 모니터링하는 도구이다.
   • 실행 중인 프로세스 파악 및 우선권 변경, 정지, 강제 종료등 조치 기능을 포함하고 있다.
   • 사용법: 실행한 후, 각 프로세스를 클릭하여 CPU, 메모리 사용량과 같은 상세 정보를 확인할 수 있다.

     

     

2. Autoruns :
   • 시스템 시작 시 자동으로 실행되는 모든 항목을 모니터링할 수 있는 도구이다. 악성코드의 지속성 유지 기법을 분석할 때 유용하다. 
   • 주의사항: 악성 코드 분석 시 어떤 부분이 변경되었는지 확인하기 위해 해당 악성 파일을 실행하기 전 스냅샷을 촬영하고 실행 후 스냅샷과 비교추천

     

3. WireShark :
   • 네트워크 트래픽을 분석하는 도구로, 악성코드가 통신하는 서버나 전송되는 데이터를 모니터링할 수 있다.
   • 사용법: 네트워크 인터페이스를 선택하고 실시간 패킷을 캡처한 후 분석한다.

이러한 도구들을 활용하면 악성코드의 정적/동적 분석을 효과적으로 수행할 수 있다.

참고

악성코드 정적,동적분석 (velog.io)

악성 코드 정적 분석 ( 특징, 방법, 정적 분석 툴, 패킹, PE 구조) — Maker's security (tistory.com)

Wireshark란? / 설치법 :: hongPossible (tistory.com)

자세한 사용법 : 

정적 분석 Tool ( Exeinfo PE, PEiD ) 기능 및 사용 — Maker's security (tistory.com)

파일에 포함된 문자열 확인 툴 ( BinText, Strings ) 기능 및 사용법 — Maker's security (tistory.com)

프로세스 분석 툴 기능 및 사용법 ( Process Explorer, Process Monitor, System Explorer ) — Maker's security (tistory.com)

ppt

VirusTotal - Home

1. VirusTotal의 기능

VirusTotal은 파일, URL, 도메인, IP 주소 등을 다양한 백신 엔진, 웹사이트 스캐너 및 도구들을 통해 분석하여 악성 여부를 판단해 주는 온라인 보안 서비스이다. 이 서비스는 다음과 같은 기능을 제공한다:

• 파일 분석: 사용자가 업로드한 파일을 다수의 백신 엔진을 통해 분석하여 악성 여부를 판별.
• URL 분석: 특정 웹사이트나 링크가 악성인지 검사하고 피싱, 멀웨어, 스팸 사이트 여부를 확인.
• 도메인 및 IP 주소 분석: 도메인 이름이나 IP 주소에 대한 평판 정보 제공.
• 악성코드 탐지 기록: 분석된 파일이나 URL의 과거 이력 및 탐지 기록을 확인 가능.
• API 지원: VirusTotal API를 통해 자동화된 파일 분석 및 악성코드 탐지 기능을 구현할 수 있음.
• 커뮤니티 기반 피드백: VirusTotal 커뮤니티의 사용자들이 제공하는 피드백과 평판 정보.

2. VirusTotal의 세부적인 사용 방법 (세부 내용 분석 및 활용 방안)

Virustotal은 사용법이 직관적으로 잘 표현이 되어 있어 쉽게 사용이 가능하다

• 파일 업로드 분석:
  • 파일을 VirusTotal 웹사이트에 업로드하거나, API를 이용해 자동으로 분석할 수 있다.
  • 다수의 백신 엔진과 도구들이 해당 파일을 분석하고, 악성 여부를 결과로 제공한다.
  • 결과는 악성코드 탐지 여부(탐지된 엔진 수), 파일 해시값, 파일의 메타데이터 및 네트워크 연결 정보 등을 포함한다.

• 파일탭에서 파일을 직접 업로드하여 악성 여부를 검사할 수 있다.

1. 내 폴더에 있는 아무 파일을 집어 넣어서 검사해 본 결과 정상으로 결과가 나왔다.
2. 좌측 상단에 0/64 동그라미는 64개의 백신 엔진들이(ex.안랩v3..) 검사하여 0개의 엔진이 해당 파일을 악성 코드로 탐지하였다는 결과이다.
3. 아래에 여러 엔진들 이름과 'undetected'라고 적혀 있는 것은 해당 엔진이 정상 파일로 인식했다고 보면 된다.

• 이번에는 악성 코드 파일을 분석한 예시를 가져왔다.

1. 이번에는 74개의 엔진에서 66개의 엔진이 악성코드를 감지했다.
2. 안랩v3엔진은 트로이 목마를 감지한 것으로 본다.
3. detail앱을 들어가면 더 자세히 내용을 알 수 있다.

• 디테일 탭을 들어왔을 때 화면이다.

1. 다양한 해시 함수들로 해당 파일의 해시값을 확인 가능하다.( MD5, SHA-1, SHA-256 등과 같은 해시함수로 해당 파일의 해시값을 확인 할 수 있다.)
2. history 메뉴에는 파일이 생성된 날짜, 처음 업로드 된 날짜, 마지막 업로드 된 날짜 등 확인이 가능하다
3. Names 메뉴에서 해당 파일의 이름이 어떤 식으로 변경되어 왔는지도 확인이 된다.

• URL 분석:
  • 웹사이트 링크를 입력하여 악성인지 확인한다.
  • 웹사이트가 멀웨어를 배포하거나, 피싱 목적으로 사용되는지 여부를 다수의 엔진을 통해 분석한다.
  • 악성 웹사이트로 확인될 경우, 해당 도메인 및 관련 IP 주소에 대한 정보가 함께 제공된다.

1. 이번에는 파일이 아닌 웹사이트 링크를 시도 해봤는데 내 블로그로 검사해봤다.
2. 문제 없이 0/96으로 나오는 걸 볼 수 있다.

• 도메인 및 IP 주소 분석:
  • 도메인 또는 IP 주소를 입력하면 해당 주소의 신뢰도를 평가하고, 연결된 악성 활동 기록을 확인할 수 있다.
  • Whois 정보, 관련 도메인, 그리고 해당 IP 주소와의 관계를 파악하여 악성 활동 여부를 분석한다.

• 위에 URL과 똑같은 방법으로 하면 된다.
• Virus토탈은 방대한 데이터베이스를 가지고 있어서 이전에 검사한 파일의 경우 해시값을 입력해서 이전의 검사 기록을 확인 할 수 있다.

• 주의사항
  • 바이러스 토탈에 업로드된 파일은 커뮤니티에 공개가 되기 때문에 기밀 또는 민감한 정보는 올리면 안된다.
  • 검사 결과를 맹신하지 말자! 
  • 파일을 압축하여 업로드할 경우 다양한 보안 제품에서 지원되지 않을 수 있음. => 압축하여 업로드 검사를 하고자 한다면 범용성이 있는 ZIP 파일 형식이 권장된다.
  • 검사 결과의 순서가 꼬일 수 있으므로 압축파일이 아닌 하나의 파일만 검사하는 것이 좋다

3. VirusTotal을 통한 분석 방법

악성코드 분석은 총 3가지 기초 분석, 정적 분석, 동적 분석으로 분류된다.

• 기초 정보 확인 후, 정적 분석, 동적 분석을 통해 해당 파일의 악성 여부를 판단해야 한다.
• 바이러스 토탈의 결과를 맹신하지 않아야 하며 악성코드 분석 시 참고자료 정도로 생각하며 상세 분석을 한다.

참고

Virustotal 기능 및 사용법 / 악성코드 기초 분석 — IT-log (tistory.com)

Virustotal 기능 / Virustotal 사용법 / 악성 코드 기초 분석 / 바이러스 토탈 — Maker's security (tistory.com)

ppt

보안관제란?

• 보안관제는 기업이나 조직의 정보, 기술, IT 자산을 해킹이나 바이러스 등 사이버 공격으로부터 보호하기 위해 수행되는 지속적이고 체계적인 활동이다.
• 보안관제의 주요 목표는 보안 위협을 실시간으로 탐지하고, 신속하게 대응하며, 장기적으로는 보안 사고를 예방하는 것이다.
• 보안관제는 보안관제센터(SOC: Security Operations Center)에서 24시간 교대 근무 체제로 운영된다.

수행 원칙 3가지:

• 무중단: 보안관제는 24시간 무중단으로 운영되어야 하며, 어떤 상황에서도 시스템의 가용성과 보안을 유지해야 한다.
• 전문성: 보안관제는 고도로 전문화된 지식과 기술이 필요하다. 이를 위해 지속적인 교육과 훈련이 필수적이다.
• 정보 공유: 보안 사고 발생 시, 관련된 모든 부서와 정보를 신속히 공유하여 공동 대응이 가능하도록 해야 한다.

보안관제 업무 절차

보안관제 업무 절차는 예방, 탐지, 대응, 보고, 공유 및 개선의 다섯 단계로 이루어진다.

1. 예방 (Prevention):
   • 보안 위협을 사전에 차단하기 위한 조치를 취한다. 이는 보안 정책 수립, 취약점 점검 및 패치 적용, 사용자 교육, 방화벽 및 침입 방지 시스템 설정 등을 포함한다.
2. 탐지 (Detection):
   • 실시간으로 네트워크 및 시스템 로그를 모니터링하여 보안 이벤트를 탐지하고, 이상 징후가 발견되면 즉시 분석하여 위협 여부를 판단한다.
3. 대응 (Response):
   • 탐지된 위협에 대해 신속하게 대응한다. 공격이 확인된 경우, 시스템을 격리하거나 악성 코드를 제거하며, 네트워크 트래픽을 차단하는 등의 조치를 취한다.
4. 보고 (Reporting):
   • 보안 사고와 대응 과정에 대해 상세한 보고서를 작성하여 내부적으로 공유하고, 필요 시 외부 관계자에게 보고한다.
5. 공유 및 개선 (Sharing & Improvement):
   • 사고 이후, 관련 정보를 조직 내외부에 공유하고, 사고에서 얻은 교훈을 바탕으로 보안 정책과 절차를 개선한다. 추가적인 보안 테스트와 모의 훈련을 통해 보안 수준을 강화한다.

보안관제의 유형 및 특징

보안관제는 주로 온프레미스와 클라우드 두 가지 환경에서 이루어지며, 각각의 환경에 따라 여러 유형으로 나뉜다.

온프레미스(On-Premise)

온프레미스 보안관제는 조직의 물리적인 인프라 내부에서 이루어지며, 다음과 같은 유형으로 구분된다:

1. 원격관제 (Remote Monitoring):
   • 보안관제센터에서 원격으로 고객사의 IT 자산을 모니터링하고, 보안 이벤트를 탐지하고 대응한다. 이 방식은 고객사의 현장에 보안 전문가가 상주하지 않아도 되며, 경제적으로 효율적일 수 있다.
2. 파견관제 (Onsite Monitoring):
   • 보안 전문가가 직접 고객사에 파견되어 현장에서 보안관제를 수행한다. 파견관제는 고객사의 특수한 요구나 민감한 데이터를 다루는 경우에 유용하며, 현장 상황에 대한 즉각적인 대응이 가능하다.
3. 자체관제 (In-House Monitoring):
   • 고객사가 자체적으로 보안관제센터(SOC)를 구축하고 운영한다. 자체관제는 조직 내부에서 모든 보안 작업을 수행하며, 보안에 대한 완전한 통제를 제공한다. 그러나 높은 비용과 운영의 복잡성이 동반될 수 있다.

클라우드(Cloud)

클라우드 보안관제는 클라우드 인프라에 대한 보안을 관리하는 서비스이다. 클라우드 환경은 유연성과 확장성이 뛰어나지만, 그만큼 새로운 보안 위협이 존재할 수 있다. 클라우드 보안관제는 다음과 같은 특징을 가진다:

1. 클라우드 관제 (Cloud Monitoring):
   • 클라우드 서비스 제공자가 제공하는 보안 도구와 서비스(예: AWS CloudTrail, Azure Security Center)를 통해 클라우드 환경의 보안을 모니터링하고, 위협을 탐지 및 대응한다. 클라우드 관제는 원격에서 이루어지며, 클라우드 자원의 동적인 특성에 맞춰 보안 정책을 적용하고 관리한다.

*원격 관제와 클라우드 관제의 차이점

1. 공통점
   • 두 관제 방식 모두 원격으로 시스템을 모니터링한다는 점에서는 동일하다.
2. 온프레미스(물리적 환경) vs 클라우드(가상 환경) 차이
   • 온프레미스: 물리적 환경에 기반하여 장비를 설치하고 운영하며, 추가로 구축할 경우 장비를 별도로 구입하고 설치하는 시간이 소요된다. 또한, 하드웨어 호환성 문제나 설치 공간, 전산센터 보안을 위한 보안요원이나 CCTV 등 물리적 요소를 고려해야 한다.
   • 클라우드: 가상 환경에서 장비를 실시간으로 생성, 삭제, 변경할 수 있으며, 이를 통해 보다 유연한 오케스트레이션이 가능하다. 클라우드에서는 물리적 장비 설치와 관련된 문제가 발생하지 않으며, 물리적 보안 요건도 온프레미스보다 간소화된다.
   • (오케스트레이션이란 IT 환경에서 여러 개의 시스템, 소프트웨어, 서비스 등을 자동으로 관리하고 조정하는 것을 의미한다. )
3. 클라우드의 이점
   • 유연성: 필요할 때마다 실시간으로 리소스를 확장하거나 축소할 수 있어 관리가 더 효율적이다.
   • 비용 절감: 물리적 장비를 구입하고 유지보수하는 비용을 절감할 수 있다.
   • 보안 관리: 물리적 보안 요소가 줄어들어 관리할 부분이 간소화된다.

보안관제 업무 시 활용하는 웹 페이지에 대해 조사

보안관제 업무에서는 다양한 웹 페이지와 툴을 활용하여 위협을 탐지하고 분석한다. 몇 가지 주요 페이지 및 툴은 다음과 같다:

• KISA Whois(한국인터넷진흥원 후이즈): 한국 인터넷 진흥원에서 제공하는 Whois 서비스, 국내의 IP 검색을 할 때 유용하다( KISA 후이즈검색 whois.kisa.or.kr (xn--c79as89aj0e29b77z.xn--3e0b707e) )
• Ipconfig(아이피컨피그): KISA Whois에서 찾지 못하는 해외 IP주소를 찾을 수 있다
• Virustotal(바이러스토 토탈): 구글의 자회사로 파일의 해시값 또는 URL로 바이러스, 웜, 트라이목마 등을 검사해주는 사이트 -> 검사시 해당 파일 검사결과를 공유하게 되기 때문에 개인정보나 기밀사항 등을 검사할 경우 정보가 노출되니 주의해야 한다(https://xn--c79as89aj0e29b77z.xn--3e0b707e/)
• Zone-h: 해커들이 웹 해킹한 사이트를 과시하기 위해 올리는 사이트-> 사이버 해킹 피해를 검색하기 위해 확인하는 사이트로 사용될 수 있다( Zone-H.org - Unrestricted information )
• Mozilla Observatory(모질라): 웹페이지의 보안을 시험해주고 보안 취약점과 개선점 등을 파악하여 보고서를 만들어주는 사이트(Mozilla Observatory )
• Shodan: 인터넷에 연결된 기기를 검색할 수 있는 엔진으로, 특정 IP 대역이나 포트에서 실행 중인 서비스를 탐지하여 취약한 장비를 확인할 수 있다.( Shodan Search Engine )
• CVE (Common Vulnerabilities and Exposures): 공개된 소프트웨어의 보안 취약점을 모아 놓은 데이터베이스로, 특정 시스템이나 소프트웨어의 취약점을 확인하고 대응책을 마련하는 데 도움을 준다.( CVE Website )
• Wireshark: 네트워크 프로토콜 분석 도구로, 네트워크 트래픽을 캡처하고 분석하여 이상 징후를 발견할 수 있다.( Wireshark · Go Deep )

*PPT

출처

https://maker5587.tistory.com/11

Zero Trust 다양한 IT정보와 보안 이야기 (tistory.com)

‘보안관제’에 관한 모든 것 : 네이버 블로그 (naver.com)