루트킷, 스파이웨어, 키로거

많은 Malware 유형은 눈에 보이는 피해를 통해 자신의 존재를 알리지만, 악성 Software 중에는 공격자의 목표를 조용히 달성하면서 User, Admin, 보안 도구에 숨겨진 상태로 남도록 특별히 설계된 유형도 있습니다. 루트킷, Spyware, 키로거는 Malware 스펙트럼에서 은밀한 쪽에 해당합니다. 이들의 효과는 Detection 없이 지속되는 능력에 달려 있습니다. 수개월 또는 수년 동안 활성 상태로 남아 자격 증명과 데이터를 조용히 유출할 수도 있습니다. 이들의 은폐 기법을 이해하는 일은 포렌식 조사와 Standard 검사에서 놓치는 대상을 찾을 Detection 도구를 선택하는 데 필수적입니다.

루트킷은 운영 체제나 저수준 Software를 수정하여 공격자의 존재를 숨깁니다. 이 용어는 Unix의 'root'(최고 권한)와 'kit'(도구 모음)에서 유래했습니다. 루트킷은 OS 함수를 가로채 Standard 시스템 검사 도구에서 파일, Registry 키, Processes, Network 연결을 숨깁니다. 루트킷이 실행 중인 Process는 Task Manager에 나타나지 않을 수 있고, Network 연결은 netstat에 표시되지 않으며, 파일은 디렉터리 목록에 나타나지 않을 수 있습니다. 이러한 모든 도구가 루트킷이 손상시킨 것과 동일한 API를 통해 OS에 질의하기 때문입니다. 감염된 OS 내부에서 루트킷을 Detection하는 일은 매우 어렵습니다.

루트킷은 시스템의 어느 위치에서 작동하는지에 따라 분류됩니다. User-mode(애플리케이션 수준) 루트킷은 User 공간에서 실행되며 API 호출을 후킹합니다. Detection과 Removal이 가장 쉽습니다. Kernel-mode 루트킷은 OS 수준 권한으로 작동하면서 커널 데이터 구조를 수정하므로 매우 은밀하며, 설치하려면 드라이버나 커널 Exploit이 필요합니다. Bootkit(MBR 루트킷)은 Master Boot Record 또는 Volume Boot Record를 감염시켜 OS보다 먼저 로드되므로 OS가 실행되는 동안에는 보이지 않습니다. Hypervisor 루트킷(VM 기반)은 OS 아래에서 작동하며 원래 OS를 가상 머신으로 실행합니다. 이론적으로 게스트 내부에서는 Detection할 수 없습니다.

루트킷은 OS 자체의 보고 메커니즘을 손상시키므로 감염된 OS의 외부에서 살펴봐야 Detection할 수 있습니다. 방법에는 다음이 있습니다. Cross-view 분석은 메모리의 커널 데이터 구조를 API가 보고하는 내용과 직접 비교하여 불일치로 숨겨진 항목을 찾아냅니다. 무결성 검증은 중요한 시스템 파일의 해시를 신뢰할 수 있는 출처의 정상 기준값과 비교합니다. 오프라인 검사는 깨끗한 USB로 부팅한 뒤 드라이브를 검사합니다. TPM 증명이 적용된 Secure Boot은 부팅 체인이 수정되지 않았는지 암호학적으로 검증합니다. 도구로는 GMER, Malwarebytes Anti-Rootkit, Linux용 chkrootkit/rkhunter가 있습니다.

Spyware는 User가 알거나 동의하지 않은 상태에서 User 활동을 몰래 모니터링하고 공격자에게 정보를 전송합니다. 브라우징 기록, 검색어, 스크린샷, 애플리케이션 사용 내역, 위치 데이터를 수집할 수 있습니다. 일부 Spyware는 자녀 보호나 직원 모니터링을 위한 '모니터링 Software'로 상업적으로 판매됩니다(단, 합법성은 관할 지역에 따라 다릅니다). 악성 Spyware는 범죄자와 국가 기관이 민감한 기업 데이터, 개인 정보, 지적 재산을 조용히 유출하는 데 사용합니다. Spyware는 무료 Software에 번들로 포함되는 경우가 많아(PUP — 잠재적으로 원치 않는 프로그램) 출처를 파악하기 어렵습니다.

스토커웨어는 연인을 몰래 감시하도록 설계된 Spyware로, 가해자에게 연인 감시 도구로 판매됩니다. 위치, 통화, 문자 메시지, 소셜 미디어를 수집합니다. 상업용 Spyware(NSO Group의 Pegasus, Candiru, FinFisher 등)는 정부와 법 집행 기관에 판매되며, 기자·활동가·반체제 인사를 표적으로 삼는 경우가 많습니다. Pegasus는 User의 상호 작용 없이 설치되는 제로 클릭 iPhone 취약점을 악용했습니다. Coalition Against Stalkerware와 보안 연구자들은 주류 AV 제품에 스토커웨어 Detection 기능을 추가하기 위해 노력해 왔습니다. Detection에는 Amnesty International의 Mobile Verification Toolkit(MVT)과 같은 도구를 사용한 기기 포렌식 분석이 필요한 경우가 많습니다.

키로거는 User가 입력하는 모든 키 입력을 기록하여 Password, 메시지, 신용 카드 번호와 그 밖의 모든 입력 데이터를 수집합니다. Software 키로거는 여러 수준에서 작동합니다. User-mode 후크(SetWindowsHookEx API), Kernel-mode 드라이버(더 은밀함), 암호화되기 전에 브라우저 양식 제출을 가로채는 양식 수집 후크 등이 있습니다. Hardware 키로거는 키보드와 Computer 사이에 연결하는 물리적 장치이므로 Software 기반 Detection으로는 완전히 보이지 않습니다. 이 장치는 나중에 회수할 수 있도록 키 입력을 내부 메모리에 저장합니다. 높은 보안이 필요한 구역을 보호하는 조직은 승인되지 않은 장치가 없는지 Hardware 포트를 정기적으로 검사해야 합니다.

양식 수집기는 브라우저 양식으로 제출된 데이터가 암호화되어 Network로 전송되기 전에 가로채 사용자 이름, Password, 신용 카드 번호를 입력 시점에 수집합니다. 악명 높은 금융 Trojan인 Zeus(Zbot)는 브라우저 Processes에 삽입된 양식 수집 후크를 사용했습니다. HTTPS로 차단되는 Network 수준 스니퍼와 달리 양식 수집기는 애플리케이션 수준에서 작동하므로 암호화가 무의미합니다. 일반적으로 InternetReadFile과 같은 브라우저 함수를 후킹하거나 브라우저 Process 메모리에 삽입됩니다. 최신 EDR 도구는 양식 수집기 활동을 나타내는 Process 삽입 및 브라우저 API 후킹 패턴을 Detection합니다.

Adware는 원치 않는 광고를 표시하고 브라우저 트래픽을 리디렉션하여 운영자에게 수익을 안겨 줄 수 있습니다. 다른 Malware보다 파괴력은 작지만, Adware는 시스템 성능을 저하시키고 개인 정보를 침해하며 악성 사이트로 리디렉션하거나 더 위험한 Software와 함께 설치되어 보안 위험을 만듭니다. PUP(잠재적으로 원치 않는 프로그램)은 User가 의도적으로 설치하지 않았을 수 있는 Software로, 기만적인 설치 대화 상자를 통해 무료 Software에 번들로 포함되는 경우가 많습니다. PUP는 회색 영역에 해당합니다. 엄밀히 악성은 아닐 수 있지만 리소스를 사용하고 개인 정보를 침해하며 더 위험한 감염으로 이어지는 경로를 만들 수 있습니다.

악성 코드가 충분한 권한으로 설치되면 credential dumping을 통해 memory 또는 디스크에 저장된 자격 증명을 추출하여 측면 이동에 사용합니다. Windows LSASS Process는 싱글 사인온을 위해 자격 증명을 memory에 저장합니다. Mimikatz 같은 도구는 LSASS memory에서 평문 암호 또는 NTLM 해시를 덤프합니다. 방어자는 Credential Guard(Windows 10 이상에서 Virtualization-Based Security를 사용하여 보안 컨테이너 안에 LSASS를 격리함), Protected Users 그룹 구성원 자격(자격 증명 캐싱 방지), 그리고 비시스템 Process에서 LSASS memory에 액세스할 때 Alert를 생성하는 EDR Rule을 사용하여 이에 대응합니다.

실행 중인 System에서 루트킷을 제거하려는 시도는 위험합니다. 루트킷이 적극적으로 자신을 숨기며 제거 시도를 감지할 수 있기 때문입니다. 루트킷을 해결하는 Best Practice는 포렌식 증거를 보존한 후 신뢰할 수 있는 기준 상태에서 System을 다시 이미지화하는 것입니다. 전체 재이미징을 즉시 수행할 수 없다면 신뢰할 수 있는 외부 매체(오프라인 Scanner가 있는 USB)로 부팅하고, OS가 Load되기 전에 루트킷 Detection 도구를 실행하며, 모든 아티팩트를 기록하고, 가능한 한 이른 시점에 재이미징하도록 계획해야 합니다. 부트킷의 경우 UEFI와 함께 Secure Boot을 사용하여 서명되지 않은 부트로더를 차단하고, OS를 재설치하기 전에 MBR에 0을 기록하는 방법을 고려해야 합니다.

이 Lesson에서 다룬 CompTIA Security+ (SY0-701) 개념을 얼마나 이해했는지 확인해 보십시오.

이 Lesson에서는 다음을 배웠습니다. 루트킷은 OS API를 변조하여 Process, 파일, Network 연결을 숨기므로 감염된 OS 내부에서의 Detection을 신뢰하기 어렵게 만들며, 이에 따라 오프라인 Scanning 또는 교차 관점 분석이 필요합니다. 스파이웨어와 키로거는 자격 증명과 데이터를 은밀하게 외부로 유출하며, Network Monitoring과 EDR Process 검사를 통해 행동 지표를 Detection할 수 있습니다. 또한 LSASS를 대상으로 하는 Mimikatz 같은 자격 증명 덤핑 도구는 Windows Credential Guard와 Protected Users 그룹 Policy를 통해 완화할 수 있습니다. 다음에서는 파일리스 악성 코드와 LotL 공격을 살펴봅니다.