VirusTotal

01무엇이고, 어떤 일을 하나

• 기존 분석 자료와 파일 해시를 대조한다.
• 여러 엔진의 탐지 명칭·시간·행위 자료를 비교한다.
• 정적·동적 분석의 추가 단서를 얻는다.

02어떤 순서로 동작하나

1. 자료 공개 범위 판단

   소유한 자료의 민감도와 조직 정책을 확인한다. 비밀 문서·내부 바이너리를 외부 서비스에 자동 업로드하지 않는다.

2. 기존 식별자 조회

   정확한 파일 해시로 이미 존재하는 자료를 찾는다. 결과 없음은 새로운 파일이거나 자료가 없다는 뜻이지 안전 확인이 아니다.

3. 결과 비교

   분석 시각·엔진 버전·탐지 이름·행위·서명을 대조한다. 일부 엔진의 이름을 곧바로 악성코드 계열의 확정 명칭으로 쓰지 않는다.

4. 자체 증거 연결

   파일 구조와 실제 격리 관찰·배포 문맥을 결합해 결론을 작성한다. 제출 파일의 공유·접근 조건은 이용하는 서비스 방식의 정책을 확인한다.

03먼저 알아둘 용어와 구성요소

Hash lookup

파일 바이트를 올리지 않고 해시로 기존 정보를 찾는 조회.

Upload

실제 파일·URL 등의 자료를 서비스에 제출하는 행위.

Detection name

각 엔진이 자기 기준으로 붙인 탐지 명칭.

Reanalysis

새 엔진·규칙 기준으로 자료를 다시 분석하는 요청.

04예제로 따라가기

• 같은 파일의 과거 보고서와 새 보고서는 규칙 갱신 때문에 탐지 결과가 달라질 수 있다.
• 정상 관리 도구가 위험 도구로 분류되어도 실제 사건에서 악용됐는지는 사용 문맥을 봐야 한다.
• 가상 사본의 해시가 다르면 이름이 같더라도 같은 파일의 기존 보고서라고 단정할 수 없다.

05혼동하기 쉬운 점과 확인 기준

• 0개 탐지는 모든 악성 동작의 부재를 증명하지 않으며 여러 탐지가 곧 실행·감염 사실의 증거도 아니다.
• 해시 조회와 파일 제출을 같은 개인정보·비밀 유출 영향으로 취급하지 않는다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.