세 번째 발걸음의심스러운 파일은 안전하게 관찰한다

의심 파일을 발견했을 때 가장 먼저 할 일은 더블클릭이 아닙니다. 누가 어디서 발견했는지, 어떤 경로로 전달되었는지, 이미 실행되었는지부터 기록합니다. 분석 대상은 복사해 통제된 환경에서 다루고 원래의 자료와 취급 이력을 보존합니다. 분석 컴퓨터를 업무망에 그대로 연결하면 조사하려던 파일이 실제 업무의 사고가 될 수 있습니다. 이 절의 파일과 기록은 원리를 설명하기 위한 가상 자료이며 실제 악성 파일을 실행하는 실습은 하지 않습니다.

파일을 실행하지 않고 구조와 내용을 조사하는 방법을 정적 분석이라고 합니다. 파일 크기와 형식, 해시, 서명, 사람이 읽을 수 있는 문자열, 포함된 라이브러리 정보를 살펴볼 수 있습니다. 확장자가 문서라고 해서 내부 형식까지 문서인 것은 아니므로 실제 파일 구조를 확인합니다. 해시는 동일한 바이트의 파일을 식별하고 분석 결과를 연결할 때 유용합니다. 그러나 해시를 계산했다는 사실 자체가 안전성을 판단해 주지는 않습니다.

읽을 수 있는 문자열을 찾는 도구는 주소, 파일 경로, 오류 문구 같은 단서를 보여 줍니다. 여기서 나온 주소가 실행 중 반드시 사용되는 주소인지는 별도 문제입니다. 사용되지 않는 코드에 남은 문자열일 수 있고, 정상 라이브러리가 포함한 값일 수도 있습니다. 반대로 난독화되거나 실행 중 생성되는 값은 정적 문자열 검색에서 보이지 않을 수 있습니다. 분석 결과에는 ‘문자열이 포함되어 있다’와 ‘실제로 접속했다’를 구분해서 적습니다.

YARA는 문자열과 파일 특성 등의 조건을 조합해 파일이나 메모리에서 관심 대상을 찾도록 돕는 도구입니다. 이름이 같은 문자열 하나를 찾는 것보다 여러 특징을 조합하면 특정 계열을 좁히는 데 도움이 됩니다. 다만 규칙이 탐지하려는 특징과 실제 악성 행위는 같지 않습니다. 정상 파일에도 조건이 들어 있으면 오탐이 생기고, 변형된 파일이 조건을 피하면 놓칠 수 있습니다. 규칙은 확인한 표본과 정상 표본으로 검토하며 버전과 적용 범위를 기록합니다.

통제된 환경에서 실행하며 무엇을 하는지 관찰하는 방법을 동적 분석이라고 합니다. 샌드박스는 외부 영향과 관찰 범위를 제한하도록 구성한 실행 환경입니다. 프로세스 생성, 파일 변경, 레지스트리 변경, 통신 시도 등을 볼 수 있습니다. Windows의 Process Monitor 같은 관찰 도구는 어떤 프로세스가 어떤 파일이나 레지스트리에 접근했는지를 보여 줍니다. 이 도구가 스스로 모든 악성 여부를 판정하는 것은 아니며, 관찰 결과를 업무 맥락과 함께 해석해야 합니다.

샌드박스에서 아무 일도 하지 않았다고 안전하다고 결론내릴 수는 없습니다. 실행 조건이 충족되지 않았거나 필요한 서버와 통신하지 못했을 수 있고, 분석 환경을 알아차려 행동을 바꿀 수도 있습니다. 제한된 시간 동안 본 행동은 가능한 행동 전체가 아닙니다. 정적 분석과 동적 분석이 서로의 빈틈을 채우는 이유입니다. ‘미탐지’와 ‘무해함이 확인됨’을 구분하는 습관은 분석의 다른 분야에서도 그대로 필요합니다.

외부 분석 서비스에 파일을 올리는 행위도 하나의 정보 제공입니다. 파일에 고객정보, 계약내용, 비밀키, 내부 주소가 포함되어 있으면 분석을 위해 새 유출을 만들 수 있습니다. 서비스가 표본을 누구와 공유하는지, 보존하거나 연구에 사용하는지, 조직이 업로드를 승인했는지 확인해야 합니다. 악성 여부를 빨리 알고 싶다는 이유로 자료의 소유자와 처리 목적을 생략해서는 안 됩니다.

참고　[263] · [265] · [266]