레지스트리

Windows 레지스트리는 OS, 드라이버, 서비스 및 애플리케이션의 구성을 저장하는 계층형 데이터베이스입니다.

공격자에게 레지스트리는 지속성 위치, 저장된 자격 증명 및 시스템 설정이 모두 들어 있는 보물창고와 같습니다.

레지스트리는 루트 키(하이브)로 구성됩니다.

• HKLM - HKEY_LOCAL_MACHINE, 시스템 전체 설정입니다.
• HKCU - HKEY_CURRENT_USER, 사용자별 설정입니다.
• HKCR, HKU, HKCC - 클래스, 모든 사용자, 현재 구성에 해당합니다.

키는 폴더와 비슷하며 값(이름, 형식, 데이터)을 포함합니다. 일반적인 값 형식으로는 REG_SZ(문자열), REG_DWORD(숫자), REG_BINARY가 있습니다.

명령줄이나 PowerShell에서 reg query를 사용해 키와 값을 읽습니다.

값을 추가하거나 변경하면 시스템 동작을 바꿀 수 있으며, 악성 코드가 지속성을 확보하는 방식도 바로 이것입니다. 적절한 권한이 필요합니다.

대표적인 지속성 메커니즘입니다. Run 키에 등록된 프로그램은 로그온할 때 자동으로 실행됩니다.

• HKCU\...\CurrentVersion\Run
• HKLM\...\CurrentVersion\Run

방어자는 이를 감사하고, 공격자는 여기에 항목을 심습니다.

Run 키 외에도 공격자는 다음을 악용합니다.

• RunOnce 키
• Winlogon Shell/Userinit 값
• HKLM\SYSTEM\CurrentControlSet\Services 아래의 Services 키
• 이미지 파일 실행 옵션(디버거 하이재킹)

민감한 데이터가 레지스트리에 저장되는 경우가 있습니다.

• Winlogon 아래에 평문으로 저장된 AutoLogon 자격 증명
• HKLM\SAM 아래의 SAM 해시(보호됨)
• VNC, SNMP 및 애플리케이션 암호

이러한 항목을 열거하는 것은 일반적인 침해 후 단계입니다.

하이브는 C:\Windows\System32\config 아래의 파일(SYSTEM, SOFTWARE, SAM, SECURITY)에 저장됩니다. 사용자별 데이터는 NTUSER.DAT에 저장됩니다.

오프라인 공격에서는 실행 중인 OS의 보호를 받지 않고 비밀을 추출하기 위해 이러한 파일을 복사합니다.

Sysinternals의 Autoruns 도구는 레지스트리와 파일 시스템 전체의 모든 자동 시작 위치를 한 화면에서 열거합니다.

악성 코드나 공격자가 심어 놓은 지속성 항목을 찾는 가장 빠른 방법입니다.

방어자는 침입을 탐지하기 위해 레지스트리 변경을 모니터링합니다.

• Sysmon은 레지스트리 수정을 로그로 기록합니다.
• Run/RunOnce 및 Services 키의 기준 상태를 설정합니다.
• 새 자동 시작 항목이 생기면 경고합니다.

지속성 메커니즘을 식별해 보십시오.

Windows 레지스트리를 살펴보았습니다.

• 하이브(HKLM, HKCU...)에는 키와 값이 저장됩니다.
• reg query / reg add로 읽고 쓸 수 있습니다.
• Run 키, Winlogon 및 Services는 지속성을 가능하게 합니다.
• 자격 증명은 레지스트리에 숨을 수 있으며, Autoruns와 Sysmon으로 이를 감사할 수 있습니다.

다음 주제: Windows 인증