[악성코드 분석 시작하기] 3장_동적 분석

해당 도서의 3장_적 분석(105p-135p) 정리

---

동적 분석(행위 분석): 격리된 환경에서 샘플을 실행하고 그 활동, 상호작용, 효과를 모니터링 하는 분석을 포함

 

1. 랩 환경 개요

동적 분석은 악성코드 샘플 실행하므로 운영 환경 감염되지 않도록 안전/보안 고려한 랩 환경이 필요

 

책에서는, 리눅스와 윈도우 VM 모두 호스트 전용 네트워크 설정 모드 사용하도록 설정

윈도우 VM: 분석 과정에서 악성코드 샘플 실행하는 데 사용

리눅스 VM: 네트워크 트래픽 모니터링하고, 인터넷 서비스(DNS, HTTP 등)를 시뮬레이션하도록 설정해 악성코드가 이들 서비스에 요청했을 때 적절한 응답 제공하는 데 사용

 

2. 시스템과 네트워크 모니터링

악성코드 실행되면 시스템과 다양한 방식으로 상호작용하고 다른 활동들을 수행. 

ex) 악성코드 실행 → 악성코드가 자식 프로세스 생성하고 파일 시스템에 추가 파일 드롭 후 지속 공격을 위해 레지스트리 키와 값을 생성 → 다른 컴포넌트 다운로드하거나 명령 및 제어 서버에서 명령 가져올 수 있음

 

동적 분석의 목표는 악성코드 행위와 시스템에 끼친 영향 관련 실시간 데이터 수집하는 것. 

• 프로세스 모니터링: 프로세스 활동 모니터링하고 악성코드가 실행되는 동안 생성한 결과의 속성을 검사
• 파일 시스템 모니터링: 악성코드 실행되는 동안 파일 시스템을 실시간 모니터링
• 레지스트리 모니터링: 접근/수정된 레지스트리 키와 악성코드 바이너리가 읽거나 작성한 레지스트리 데이터를 모니터링
• 네트워크 모니터링: 악성코드 실행되는 동안 시스템으로 유입되거나 외부로 나간 라이브 트래픽을 모니터링

 

3. 동적 분석(모니터링) 도구

이후 설명할 모든 도구를 실행하기 위해서는 마우스 우클릭>'관리자 권한으로 실행' 하여 관리자 권한을 획득해야 함.

 

3-1. 프로세스 해커를 이용한 프로세스 조사

프로세스 해커(Process Hacker):

오픈 소스, 다목적 도구

시스템 리소스를 모니터링하는 데 도움을 줌

실행 중인 프로세스 조사하고 프로세스 속성 살펴볼 수 있는 도구

서비스, 네트워크 접속, 디스크 활동 등 살펴보는 데에도 사용 가능

 

악성코드 샘플 실행 후 프로세스 해커로 새롭게 생성한 악성코드 프로세스(프로세스명&프로세스ID) 식별 가능

프로세스명 우클릭>속성 선택 시 다양한 프로세스 속성을 조사 가능

 

3-2. 프로세스 모니터를 이용한 시스템 상호작용 조사

프로세스 모니터(Process monitor):

고급 모니터링 도구

프로세스가 파일 시스템, 레지스트리, 프로세스/스레드 활동의 실시간 상호작용을 보여줌

 

도구 실행하면 위와 같이 모든 시스템 이벤트를 캡처함.

Ctrl+E: 이벤트 캡처 중지

Ctrl+X: 모든 이벤트 캡처 삭제

 

필터링 기능 이용해 원하지 않는 항목 숨기고 특정 속성을 필터링할 수 있음

'필터' 클릭 또는 Ctrl+L 통해 필터링 가능

→ 불필요한 정보 필터링하려면 수작업이 필요하다는 단점

 

3-3. 노리벤을 이용한 시스템 활동 로깅

노리벤(Noriben):

프로세스 모니터와 함께 동작하며, 악성코드의 런타임 지표를 수집/분석/리포트하는 데 도움을 주는 파이썬 스크립트

혼란스러운을 줄이고, 악성코드와 관련된 이벤트에 집중할 수 있도록 돕는 사전 정의된 필터가 제공됨

 

윈도우 VM에 노리벤 다운로드 후 폴더에 압축 풀기 → 프로세스 모니터(Procom.exe)를 동일한 폴더에 복사 → Noriben.py 파이썬 스크립트 실행

 

노리벤 실행하면 프로세스 모니터가 실행됨. 

모니터링 마치고 싶다면 Ctrl+C 클릭(노리벤과 프로세스 모니터 모두 종료)

종료 후, 노리벤은 같은 디렉터리에 텍스트 파일(.txt)과 CSV 파일(.csv)을 결과로 저장

 

텍스트 파일은 위 사진과 같이

별도의 섹션에 카테고리(프로세스, 파일, 레지스트리, 네트워크 활동)를 기준으로 분리한 이벤트를 포함

원치 않는 이벤트 대부분을 제거하는 사전 정의된 필터 적용됐기 때문에 이벤트의 수는 다소 적다.

☆ 카테고리 기반한 이벤트의 요약에 관심이 있다면 텍스트 파일을 확인!

 

CSV 파일은 위 사진과 같이

타임라인순(이벤트 발생 순)으로 저장한 모든 이벤트(프로세스, 파일, 레지스트리, 네트워크 활동)를 포함

☆ 이벤트 발생 순서에 관심이 있다면 CSV 파일을 확인!

 

3-4. 와이어샤크를 이용한 네트워크 트래픽 캡처

악성코드의 실행 결과로 생성되는 네트워크 트래픽 캡처하면, 악성코드가 사용하는 통신 채널 이해 가능하며 네트워크 기반의 지표(indicator) 파악에 도움을 줌

 

와이어샤크(Wireshark):

네트워크 트래픽을 캡처할 수 있는 패킷 스니퍼. 

리눅스에서 와이어샤크 실행하려면 아래 명령어 입력

$ sudo wireshark

 

네트워크에서 트래픽 캡처하려면 캡처>옵션 또는 Ctrl+K 입력해 네트워크 인터페이스 선택 후 시작을 클릭

 

3-5. INetSim을 이용한 서비스 시뮬레이션

악성코드는 대부분 실행 시 인터넷(명령 및 제어 서버)에 접속하므로

악성코드가 C2(Command and Control, 명령 및 제어) 서버에 접속하도록 하는 건 좋지 않음.

분석 과정에서는 악성코드가 실제 C2 서버에 접속하지 않으면서도 악성코드 작동에 필요한 모든 서비스 제공해야 함

 

INetSim:

표준 인터넷 서비스(DNS, HTTP/HTTPS, 기타)를 시뮬레이션하는 무료 리눅스 기반 소프트웨어 스위트.

리눅스에서 실행하려면 아래 명령어 입력

$ sudo inetsim

실행 시 다양한 서비스를 시뮬레이션하고, 비표준 포트로 연결하는 접속 처리하는 더미 서비스도 실행

 

서비스 시뮬레이션 외에도 통신 로깅, HTTP/HTTPS 요청에 응답하고 확장자 기반으로 어떤 파일이라도 반환하도록 설정 가능

 

4. 동적 분석 단계

• 클린 샷으로 복원하기: 가상머신을 클린 상태로 복원하는 작업
• 모니터링/동적 분석 도구 실행하기: 악성코드 샘플을 실행하기 전에 모니터링 도구를 실행(관리자 권한으로 실행)
• 악성코드 샘플 실행하기: 관리자 권한으로 악성코드 샘플을 실행
• 모니터링 도구 종료하기: 악성코드 바이너리를 일정 시간 동안 실행한 후 종료
• 결과 분석하기: 모니터링 도구에서 데이터/리포트를 수집하고 분석해 악성코드의 행위와 기능을 확인

 

5. 종합 분석: 악성코드 실행 파일 분석

5-1. 샘플의 정적 분석

파일 유형과 암호 해시를 확인하는 작업을 위해서는 아래와 같은 명령어 입력. 

$ file (파일 이름)

$ md5sum (파일 이름)

 

strings 유틸리티 이용하면 바이너리에서 ASCII 문자열을 추출 가능

도서의 예시에서는 악성코드가 배치 파일(.bat) 생성 후 실행한다는 사실을 나타내고 있음. 

 

임포트 검사하면 위와 같이 API 호출에 대한 참조 볼 수 있음 → 악성코드가 파일 시스템과 레지스트리 조작 능력 가졌음을 알 수 있음.

 

바이러스토털 데이터베이스에 해시 값 물어본 결과로는 위와 같이 58개 백신이 탐지했음을 보여줌.

시그니처의 이름을 통해 PoisonIvy라고 불리는 악성코드 샘플 다루고 있음을 알 수 있음

※ 바이러스토털에서 해시 검색하려면 인터넷 접속 필요 + 바이러스토털의 공개 API 사용하려면 바이러스토털 가입 후 얻을 수 있는 API 키 필요

 

5-2. 샘플의 동적 분석

책의 예시에서는 아래 과정을 따라 동적 분석을 진행함

1. 윈도우 VM과 리눅스 VM 모두 클린 스크린샷으로 복원
2. 윈도우 VM에서 프로레스 해커를 관리자 권한으로 실행해 프로세스 속성 파악, 노리벤 파이썬 스크립트 실행해 악성코드와 시스템 간 상호작용 관찰
3. 리눅스 VM에서 INetSim 실행해 네트워크 서비스 시뮬레이션, 와이어샤크(WireShark) 실행 및 설정해 네트워크 인터페이스에서 네트워크 트래픽 캡처
4. 모든 모니터링 도구 실행 후 악성코드를 관리자 권한으로 약 40초간 실행
5. 40초 후 윈도우 VM에서 노리벤 중지, 와이어샤크를 리눅스 VM에서 중지
6. 모니터링 도구의 결과들 수집하고 검사해 악성코드의 행위 파악

이후의 분석 과정은 책의 120p-123p 참고.

 

6. 동적 링크 라이브러리 분석

동적 링크 라이브러리(DLL):

다른 프로그램(실행 파일 또는 DLL)에서 사용할 수 있는 함수를 담고 있는 모듈.

실행 파일은 DLL에 구현된 함수를 DLL→실행파일로 임포트해서 사용 가능

여러 애플리케이션에서 해당 코드를 공유할 수 있다는 이점을 가짐. 

 

윈도우 운영 시스템은 API라고 불리는 다양한 함수를 익스포트하는 다수의 DLL을 포함. 

이 DLL에 포함된 함수 사용해 프로세스가 파일 시스템, 프로세스, 레지스트리, 네트워크, GUI와 상호작용

 

CFF 익스플로러 도구에서 익스포트 함수 표시하려면 함수 익스포트한 PE파일 로드하고,

익스포트 디렉터리(Export Directory)를 클릭.

 

6-1. 공격자가 DLL 사용하는 이유

공격자가 악성코드를 DLL로 구현하는 이유:

• DLL은 더블클릭으로 실행되지 않고, 호스트 프로세스가 필요 → 악성코드 제작자는 Explorer.exe나 winlogon.exe 등 정상적인 프로세스 포함해 어떤 프로세스에서든 악의적 DLL 로드 가능함. 악성코드의 행동 숨길 수 있는 가능성을 주고, 악성코드가 수행하는 모든 악의적 활동을 호스트 프로세스 통해 발생한 것으로 보이도록 함.
• 이미 실행 중인 프로세스에 DLL 삽입하면 공격자는 시스템에 대한 지속 공격 가능.
• 프로세스가 DLL을 메모리 공간에 로드하면 DLL은 전체 메모리 공간에 접근 가능, 이를 통해 프로세스의 기능 조작 가능
• DLL 분석이 실행 파일 분석보다 어려움. 

악성코드의 대부분이 DLL을 드롭 또는 다운로드한 후 다른 프로세스의 메모리 공간에 DLL을 로드함. DLL 로딩 후 드로퍼/로더 컴포넌트는 스스로를 삭제함.

 

6-2. rundll32.exe를 이용한 DLL 분석

윈도우에서 rundll32.exe를 이용해 DLL을 실행하고, DLL에서 익스포트한 함수를 호출할 수 있음.

rundll32.exe <DLL 전체 경로>, <익스포트 함수> <선택적 인수>

위 문법을 통해 DLL 실행 및 익스포트 함수 호출 가능. 

 

매개변수:

• DLL 전체 경로: DLL의 전체 경로를 지정하며, 공백이나 특수문자 사용 불가
• 익스포트 함수: DLL 로드된 후 호출될 DLL의 함수
• 선택적 인수: 인수는 선택사항. 입력할 경우 익스포트 함수가 호출됐을 시 전달

 

문법을 통해 rundll32.exe 실행하면 아래와 같은 단계를 수행. 

1. rundll32.exe로 전달한 커맨드 라인 인수를 우선 검증. 문법이 틀릴 경우, rundll32.exe를 종료
2. 문법이 올바르면 전달받은 DLL을 로드함. DLL 엔트리 포인트 함수가 실행되고 DLLMain 함수가 호출됨. 악성코드 대부분은 DLLMain 함수에 악성코드를 구현함
3. DLL 로드 후 익스포트 함수의 주소 얻고 함수를 호출함. 만약 함수의 주소 파악할 수 없으면 rundll32.exe는 종료
4. 선택 인수가 존재하면 익스포트 함수가 호출될 때 이를 전달. 

악성코드 조사할 때 DLL의 다른 변형을 만날 수 있음. 

 

예제 1. 익스포트가 없는 DLL 분석

DLL 로드하면 언제나 엔트리 포인트 함수가 호출됨. 공격자는 익스포트 함수 없는 DLLMain 함수에 키로깅/정보 탈취 등 악의적인 기능 구현 가능.

 

하지만 책에서 다룬 예제에서 악의적인 DLL은 익스포트 포함하지 않음. 

→ 모든 악의적인 기능이 DLL 로드될 때 실행되는 DLLMain 함수에 구현돼있음을 의미. 

DLL을 성공적으로 로드하려면 커맨드 라인 문법 준수해야 함. 

C:\>rundll32.exe c:\samples\aa.dll,test

위 명령어는 DLL을 성공적으로 실행. (악의적인 DLL의 이름이 aa.dll이며, samples라는 폴더에 포함되어 있다는 가정.)

명령어에서 test는 더미 이름으로 커맨드 라인 문법 준수하기 위한 것으로, 동일한 이름의 익스포트 함수는 존재하지 않음.

실행 후 에러가 발생했지만, DLL은 성공적으로 실행됨. 문법이 올바르기 때문에 rundll32.exe는 DLL을 로드했음.

 

예제 2. 익스포트를 포함한 DLL 분석

이 예제에서는 DLL이 익스포트한 함수가 2개(DllRegisterServer와 DllUnRegisterServer)이다. 

C:\>rundll32.exe c:\samples\obe.dll,test

DLL 샘플은 위 명령어로 실행함.

obe.dll이 rundll32.exe 메모리에 로드되더라도 어떤 행위 시작하진 않음. → DLL의 엔트리 포인트 함수에 어떤 기능도 구현되지 않았기 때문

C:\rundll32.exe c:\samples\obe.dll,DllRegisterServer

반면 위처럼 DllRegisterServer 함수로 샘플 실행하면 C2서버와 HTTPS 통신을 시작함.

DllRegisterServer가 네트워크 기능 구현하고 있음을 추측 가능.

 

예제 3. 익스포트 인수를 갖는 DLL 분석

이 예제에서의 DLL(SearchCache.dll)은 파일 삭제하는 기능 가진 _flushfile@16이란 익스포트 함수로 구성됨. 

이 익스포트는 삭제할 파일을 인수로 가짐.

 

6-3. 프로세스 체크를 이용한 DLL 분석

대부분의 경우 rundll32.exe 이용한 DLL 실행은 잘 동작하지만, 일부 DLL은 특정 프로세스에서 실행되는지 확인하고 다른 프로세스에서 실행되는 경우 행위 변경하거나 스스로를 종료.

이 경우에는 특정 프로세스에 DLL 삽입하여 원래대로 동작하게 해야 함.

 

RemoteDLL:

시스템의 어떤 실행 프로세스에도 DLL 삽입할 수 있도록 하는 도구.

세 가지 방법으로 DLL 삽입 가능한데, 한 가지 방법이 실패할 경우 다른 방법으로 시도 가능하기 때문에 유용.