악성코드 분석: 정적·동적·리버싱

01개념과 구성 요소

• 정적 분석실행하지 않고 해시·형식·문자열·PE 구조·명령어를 분석한다.
• 동적 분석격리된 조건에서 실제 실행 행위와 파일·프로세스·네트워크 변화를 관찰한다.
• 판단 기준도구의 표식 하나가 아니라 여러 관찰과 성립 조건을 연결해 기능·영향·확신도를 설명한다.

02분석 사본을 사건의 근거로 바꾸는 순서

1. 사본 식별획득 출처·시각·해시를 기록하고 분석할 사본과 원본을 구분한다.
2. 초기 분류파일 형식·크기·섹션·import·문자열·엔트로피 등을 읽어 분석 우선순위를 정한다.
3. 코드 구조 추적호출 규약·자료 흐름·분기를 실제 명령어와 대조한다. 디컴파일된 의사코드를 원본 소스로 간주하지 않는다.
4. 조건부 실행 관찰격리된 분석 환경에서 입력·실행 조건을 명시하고 프로세스·파일·연결 등 행위를 수집한다.
5. 증거 교차검증정적 기능과 동적 행위, IOC와 사건 자료를 비교하여 확인된 사실·가설·미관찰 조건을 나눈다.

03분석은 관찰한 사실과 악성 의도를 분리한다

• 사실과 의도악성코드 분석은 파일의 구조·코드와 실행 시 행동을 연결해 기능과 영향을 설명하는 작업이다. 해시 하나가 알려진 표본과 일치하면 바이트 동일성의 근거가 되지만, 파일명이 같거나 보안 제품 몇 개가 탐지했다는 이유만으로 동일한 기능을 가진다고 확정하지 않는다.
• 정적·동적정적 분석은 실행 전 구조를 읽고 동적 분석은 특정 조건에서 발생한 행동을 관찰한다.
• Triage분석 사본에 해시와 수집 시각을 붙인 뒤 triage로 우선순위를 정한다. 분석 대상이 실행 파일인지 스크립트·문서·압축 파일인지에 따라 파서와 조사 지점이 달라진다.
• 형식·실행 문맥파일 확장자보다 헤더와 실제 형식 판별을 앞에 두는 이유다.

04PE 헤더·섹션·Import가 알려주는 범위

• PE 헤더Windows PE에서 DOS 헤더의 e_lfanew는 PE 헤더 위치를 가리킨다. PE 서명과 COFF의 Machine, Optional Header의 entry point·image base·data directory, section table을 읽어 파일의 배치와 로딩 구조를 이해한다.
• 구조 위치.text·.rdata·.data·.rsrc 이름은 관례이며 이름만으로 실제 권한과 내용을 확정할 수 없다.
• 섹션과 Import섹션의 파일 크기와 메모리 크기, 읽기·쓰기·실행 권한, import와 문자열의 교차 참조를 함께 보면 어떤 기능을 준비하는지 추정할 수 있다. 네트워크 API import는 통신 가능성의 단서이고 실제 연결 실행의 증거는 아니다.
• 단서의 한계동적으로 API를 해결하거나 packing한 파일은 정적 import 목록에 기능을 드러내지 않을 수도 있다.

08Packing·Entropy·서명은 단서이다

• Entropy·Packing높은 엔트로피는 압축·암호화·무작위 데이터 등 여러 원인으로 생긴다. 패커 이름이나 적은 import 수 역시 정상 보호 프로그램과 겹칠 수 있다.
• 문자열반대로 읽기 쉬운 문자열이 많다고 무해한 파일이라고 할 수도 없다. 여러 독립 단서를 연결해 분석의 다음 경로를 정한다.
• 전자서명전자서명은 서명된 바이트와 서명 주체에 관한 정보를 제공하며 안전한 행동을 보증하지 않는다. 컴파일 타임스탬프·버전 리소스는 위조 가능한 메타데이터다.
• 외부 평판외부 평판에서 first seen·분석 시각·표본 관계를 읽을 때도 수집 시점의 관찰 범위와 파일 자체의 사실을 구분한다.

09x86-64 명령어와 함수 호출을 읽기

• 레지스터·명령RIP는 명령 흐름, RSP는 스택 위치, RFLAGS는 조건 분기의 상태를 이해하는 데 쓰인다. 일반적인 call은 복귀 주소를 저장하고 ret은 복귀 주소를 이용한다.
• 분기cmp/test 뒤의 조건 점프가 어떤 비교 결과를 사용하는지 읽으면 입력에 따른 제어 흐름을 복원할 수 있다. 최적화로 프레임 포인터나 함수가 사라질 수 있으므로 익숙한 prologue 모양만 찾으면 놓칠 수 있다.
• x64 호출 규약Windows x64의 앞 네 정수·포인터 인자는 RCX/RDX/R8/R9이며 System V AMD64에서는 RDI/RSI/RDX/RCX/R8/R9를 사용한다. 운영체제와 ABI에 따라 같은 함수 호출도 다른 레지스터에 값이 놓인다.
• Little-endianx86의 little-endian에서 0x12345678이 메모리에는 78 56 34 12로 보인다는 사실도 덤프와 정수 해석을 연결한다.

10Ghidra의 의사코드가 원본 소스는 아니다

• 의사코드디컴파일러는 기계어에서 자료형·변수·제어 구조를 추정한다. 함수 경계나 signedness가 잘못 추정되면 C처럼 보이는 코드도 원래 동작을 잘못 설명할 수 있다.
• Listing 대조Listing의 명령, 인자 전달, 분기, 실제 메모리 접근 크기로 의사코드를 대조한다. 함수 이름은 자동 추정과 분석가가 부여한 의미를 구분한다.
• 형식·타입 복원무해한 비교 함수부터 -O0와 최적화 빌드의 결과를 비교하면 분기가 조건부 이동으로 바뀌거나 상수 계산이 사라지는 과정을 이해할 수 있다.

11동적 분석은 실행 조건과 관찰 센서를 포함한다

• 동적 관찰프로세스 트리, 자식 실행 인자, 파일 생성, registry·service·scheduled task 변경, DNS 질의, 연결, 메모리, mutex 등의 사건을 시간 순서로 연결한다. 동일 파일도 권한·운영체제·설정·사용자 동작·외부 응답에 따라 다른 분기를 실행한다.
• 미관찰의 한계관찰 시간 동안 행동이 없었다는 결과는 그 조건에서 미관찰이라는 의미다.
• 격리 조건실행 전 스냅샷과 파일 목록, 실행 후 변경 목록을 비교하면 기존 환경의 잡음을 줄일 수 있다. 인터넷을 단순 차단하면 악성 동작도 일부 중단되므로 격리된 모의 서비스에서 어떤 조건을 제공했는지 기록한다.
• 실습 VM의 권한실제 운영 자격 증명과 공유 폴더가 들어간 VM은 실험 대상 밖으로 영향을 넓힐 수 있다.

12YARA는 문자열·바이트·조건을 조합한다

• 규칙 구성YARA 규칙은 meta의 관리 정보, strings의 검색 패턴, condition의 참·거짓 조건으로 구성된다. condition은 반드시 필요하다.
• 무해한 표식아래는 무해한 교육 파일 두 문자열을 함께 찾는 예이며 악성코드 판정기가 아니다. ascii는 일반 바이트 표현, wide는 문자 사이 0 바이트가 들어가는 표현을 찾는 데 쓰이며 모든 문자 인코딩을 자동 처리한다는 뜻은 아니다.
• 탐지 범위단일 흔한 문자열보다 파일 형식·크기·복수 고유 패턴처럼 독립 조건을 결합하면 범위를 줄일 수 있다. 너무 많은 변형·정규식은 성능과 오탐에 영향을 준다.
• 오탐·성능일치 문자열의 offset을 보면 규칙이 의도한 영역을 근거로 일치했는지 설명할 수 있다.

rule Training_Marker_Pair {
  meta:
    description = "Benign training marker pair"
  strings:
    $a = "LESSON_MARKER_ALPHA" ascii
    $b = "LESSON_MARKER_BETA" ascii
  condition:
    filesize < 1MB and all of them
}

원리를 설명하는 가상 학습 예시입니다.

13IOC·행동·분석 결론의 연결

• IOC파일 해시·도메인·경로는 IOC가 될 수 있으나 환경과 시각에 따라 의미가 달라진다. 파일 해시는 한 바이트만 바뀌어도 변하고, 공용 서비스 도메인은 정상 프로그램과 공유될 수 있다.
• 행동 문맥지속성 생성→자식 프로세스 실행→외부 연결처럼 맥락을 가진 행동 묶음은 단일 문자열과 다른 탐지 근거다.
• 검증 자료규칙은 알려진 양성 표본뿐 아니라 유사 정상 파일과 경계 파일에서도 평가해야 한다. 0건 탐지를 무해함의 증거로 쓰지 않고, 탐지된 문자열 하나를 자동 삭제 근거로 쓰지 않는다.
• 결론의 확신도분석 결론에는 관찰한 기능, 실행된 조건, 미확인 가설, 증거 해시와 시간 관계가 남아야 다른 사람이 재검토할 수 있다.