윈도우 및 리눅스 위협: 샌드박스에서의 악성코드 분석

악성코드 샌드박스는 의심스러운 파일과 URL을 안전하게 분석할 수 있는 제어된 환경을 제공함으로써 사이버보안에서 중요한 역할을 합니다. 윈도우와 리눅스 시스템 모두에서 샌드박스의 구체적인 활용 사례를 살펴보면, 악성코드와 피싱 위협을 탐지하고 이해하는 데 얼마나 다재다능하게 사용될 수 있는지 알 수 있습니다.

윈도우와 리눅스 악성코드 증가

고전적인 트로이 목마와 랜섬웨어부터 거대한 봇넷 네트워크, 은닉 루트킷, 자원을 소모하는 크립토재킹까지, 윈도우와 리눅스 악성코드의 세계는 다양하고 복잡합니다. 이 추세는 느려질 기미를 보이지 않으며, IBM은 2020년 단일 연도에도 리눅스 악성코드가 무려 40% 증가했다고 보고했습니다.

끊임없이 변화하는 이러한 환경을 탐색하려면 보안 전문가가 위협에 대해 빠르고 효율적으로 귀중한 통찰력을 얻을 수 있도록 도와주는 강력한 도구 세트가 필요합니다. 이 글에서는 맬웨어 샌드박스가 이러한 도구 중 하나가 될 수 있으며, 일반적인 Windows 및 Linux 맬웨어 사례를 조사하고 업무를 단순화하는 데 어떻게 도움이 되는지 살펴봅니다.

인터랙티브 악성코드 분석 샌드박스란 무엇인가요?

인터랙티브 악성코드 샌드박스는 의심스러운 코드를 통제된 가상 머신 안에서 분석, 조작 및 관찰할 수 있는 분석가 중심 환경입니다.

자동 샌드박스와 달리, 분석가는 설정을 조정하고 네트워크 조건을 시뮬레이션하며 다양한 구성으로 작업을 실행하면서 발견하기 어려운 악성코드의 행동을 파악할 수 있는 깊은 제어 권한을 가집니다.

이 실습 중심 접근 방식은 자동 분석으로는 놓칠 수 있는 중요한 침해 지표(IOC)를 추출할 수 있게 해줍니다.

ANY.RUN은 2016년부터 사용 가능한 상호작용식 악성코드 분석 샌드박스의 예 중 하나입니다.

신형 ZLoader 윈도우 악성코드의 구성 보기

ANY.RUN에서 Zloader 실행됨

악명 높은 뱅킹 트로잔인 ZLoader가 2022년 주요 단속 이후 최근 두 가지 새로운 버전(2.1.6.0 및 2.1.7.0)으로 다시 등장했습니다. 이 버전들은 정크 코드와 문자열 난독화와 같은 새로운 회피 기법뿐만 아니라 암호화된 구성과 업데이트된 도메인 생성 알고리즘을 갖추고 있어, 분석가들이 샘플에서 유용한 정보를 추출하려 할 때 더 많은 복잡성을 제공합니다.

ZLoader 설정

그러나 악성코드 샌드박스 덕분에 Zloader의 설정을 복호화하는 과정은 단 몇 초로 줄어들 수 있습니다. 샌드박스에서 ZLoader 샘플을 실행하기만 하면 분석가들은 악성코드 설정에서 C2 서버와 같은 핵심 정보를 직접 추출할 수 있습니다.

Suricata 규칙으로 리눅스 대상 미라이 봇넷 탐지

ANY.RUN에서 실행된 Mirai 봇넷

Mirai는 다양한 프로토콜의 보안 취약점을 이용하는 유명한 봇넷입니다. 이는 흔히 사용되는 기본 계정 정보를 목록으로 활용하여 취약한 장치를 스캔하고 감염시킵니다.

이 예제에서 샌드박스는 Mirai의 봇넷 활동을 노출합니다.

Mirai 탐지를 위해 사용되는 Suricata 규칙

이 활동은 네트워크 기반이므로, 어떤 Suricata 규칙이 발동되었는지 조사하고 규칙 탭에서 확인할 수 있습니다.

윈도우 기반 악성코드 Remcos 실행 체인 분석

Remcos는 감염된 컴퓨터에 무단으로 접근하고 제어하기 위해 사용되는 또 다른 원격 접근 트로잔입니다. 최근에는 공격자들이 스테가노그래피 캠페인의 일환으로 이미지를 이용해 악성 코드를 배포하는 데 사용하고 있습니다.

ANY.RUN에서 분석된 Remcos

샌드박스에서 이러한 샘플 중 하나를 분석할 때, Remcos 감염 체인이 단순한 .xls 문서에서 시작되는 과정을 확인할 수 있습니다. 이 문서를 열면 Dbatloader가 배포되고, 결국 시스템에 Remcos가 설치됩니다.

Remcos 레지스트리 변경

샌드박스는 실행 중에 시작된 각 프로세스와 관련된 레지스트리 변경 사항을 포함하여 자세한 내용을 제공합니다.

Remcos 지표

샌드박스는 분석가가 수집하여 사용할 수 있는 침해 지표(IOC)가 표시된 창도 보여줍니다.

리눅스 채굴기 폭로

마이너는 감염된 시스템의 자원을 암호화폐 채굴 및 잠재적으로 다른 유해한 활동에 이용하는 것을 목표로 하는 악성 프로그램입니다.

ANY.RUN의 CPU 및 RAM 부하 지표

마이너 샘플을 샌드박스에 업로드하면 그 악성 특징이 드러납니다.

프로그램 실행 직후 CPU 사용량이 거의 즉시 급등하여 intensive 처리 활동을 나타내며, 동시에 프로그램이 상당한 RAM을 요구하여 자원 집약적 작업임을 추가로 시사합니다.

리눅스 채굴자의 연결

채굴자는 4분도 되지 않는 시간 동안 다양한 도메인 이름에 거의 30만 건에 가까운 DNS 요청을 발생시켰으며, 이는 광범위한 네트워크 통신을 의미합니다.

악성코드 샌드박스의 통제된 환경에서 수집된 이러한 관찰은 채굴 프로그램의 악의적인 의도를 명확히 보여줍니다.

Gh0st RAT 윈도우 악성코드에 대한 Suricata 규칙 보기

Gh0st RAT 탐지를 위한 Suricata 규칙

광범위하게 사용되는 원격 접근 트로잔인 Gh0st RAT는 전 세계 조직들을 대상으로 한 여러 공격에서 공격자들에 의해 사용되었습니다. 이 악성코드의 주요 배포 경로가 피싱 이메일이라는 점을 고려할 때, 첨부 파일을 실수로 열었을 때를 대비한 적절한 대응 조치를 취하는 것이 매우 중요합니다.

샌드박스에서 의심스러운 파일을 분석함으로써 분석가들은 Gh0st RAT과 같은 악성코드를 즉시 식별하고 이에 대한 중요한 정보를 얻을 수 있습니다. 예를 들어, 샌드박스는 Gh0st RAT 샘플 실행 중에 트리거된 Suricata 규칙을 표시할 수 있으며, 사용자는 이를 복사하여 자신의 보안 인프라에 적용함으로써 방화벽/IDS 시스템을 업데이트하는 등 향상된 보호를 구현할 수 있습니다.

Gh0st의 패킷

게다가, 샌드박스는 캡처된 패킷을 분석하여 악성코드 활동을 조사할 수 있는 기회를 제공합니다.

ANY.RUN을 무료로 사용해 보세요

ANY.RUN은 악성코드와 피싱 위협을 분석하기 위한 광범위한 기능을 제공하는 인터랙티브 악성코드 분석 샌드박스입니다. 무료 요금제를 사용하는 사용자도 무제한 업로드를 하고, 모든 악성 활동을 세밀하게 분석하며, 중요한 위협 정보를 수집할 수 있습니다.

ANY.RUN을 한 번 사용해 보세요. 비즈니스 이메일을 사용하여 서비스에 가입하세요.