리팩토링 10주차. VirusTotal

VirusTotal

VirusTotal은 인터넷 보안회사인 Chronicle (구 Google)에서 운영하는 무료 온라인 서비스로, 파일이나 URL을 여러 Anti-Virus 엔진과 웹사이트 스캔 도구를 사용해 분석하는 것을 돕는 웹사이트이다.

 

기본적으로 사용자가 업로드한 파일이나 URL을 70개 이상의 Anti-Virus 엔진과 URL 블랙리스트 서비스를 통해 스캔하고, 그 결과를 공유함으로써 악성코드 (malware) 탐지 및 분석에 큰 도움을 준다.

 

---

주요 기능

1. 파일 스캔

사용자가 업로드한 파일을 여러 Anti-Virus 엔진이 동시에 검사하여 악성코드를 탐지한다.

2. URL 스캔

의심 URL을 입력하면 여러 보안 서비스가 해당 URL이 악성인지 확인한다.

 

3. 도메인/IPv4 조회

특정 도메인이나 IP 주소의 관련 정보를 제공하여 네트워크 위협에 대한 통찰(insight)를 제공한다.

 

---

4. VirusTotal Graph

파일, 도메인, IP 등의 관계를 시각적으로 보여주는 도구로, 복잡한 위협 인텔리전스 분석을 쉽게 수행할 수 있다.

 

5. VirusTotal Community

사용자들이 서로 정보를 공유하고 평판을 제공하여, 추가적인 인텔리전스를 얻을 수 있는 커뮤니티 기능이다.

 

6. API 기능

자동화된 악성코드 분석을 위해 VirusTotal API를 활용할 수 있다. 이를 통해 VirusTotal의 기능을 자신만의 애플리케이션에 통합할 수 있다. 

 

---

활용 방안

1. Virus Total 웹 인터페이스 사용법

위에 나열된 주요 기능 중 1~5번이 해당한다.

 

2. API를 통한 고급 활용

VirusTotal은 개발자를 위한 RESTful API를 제공한다.

 

이를 통해 자동화된 스크립트 작성 및 다른 보안 툴과 VirusTotal을 통합하여 더 정교한 분석 시스템 구축이 가능하다.

예를 들어, 이메일 보안 솔루션이 이메일에 첨부된 파일을 자동으로 VirusTotal에 업로드해 분석 결과를 바탕으로 차단 여부를 결정할 수 있다.

 

3. VirusTotal Graph와 VT Intelligence

• VirusTotal Graph 는 다양한 파일, URL, IP 주소, 도메인 간의 관계를 시각화해주는 강력한 도구이다. 이를 통해 악성코드가 어떤 방식으로 퍼지는지, 어떤 인프라를 사용하고 있는지, 서로 어떻게 연결되어 있는지를 쉽게 파악할 수 있다.
• VT Intelligence 는 고급 사용자를 위한 기능으로, VirusTotal 데이터베이스에서 특정 악성코드를 찾아내거나, 특정 조건을 만족하는 샘플을 필터링하는 등의 심화 검색을 수행할 수 있다.

 

---

 악성 코드 분석 방법

악성 코드 분석은 사이버 보안 전문가들이 악성 소프트웨어(예: 바이러스, 웜, 트로이 목마 등)를 식별하고 이해하기 위해 수행하는 중요한 과정이다. 이를 통해 악성 코드의 동작 원리, 목적, 영향, 그리고 이를 방어하기 위한 전략을 세울 수 있다. 악성 코드 분석은 주로 기초 분석, 정적 분석, 그리고 동적 분석의 세 가지 방법으로 이루어진다.

 

1. 📝 기초 분석 (Basic Analysis)

기초 분석은 악성 코드 파일의 기본적인 정보를 수집하는 단계로, 비교적 간단하고 빠르게 수행할 수 있는 분석 방법이다. 악성 코드의 초기 진단을 위해 사용되며, 다음과 같은 작업이 포함된다

• 파일 해시값 확인: MD5, SHA-1, SHA-256 등의 해시값을 생성하여 해당 파일이 이미 알려진 악성 코드인지 확인할 수 있다. 이 값들은 VirusTotal과 같은 온라인 데이터베이스에 조회하여 신뢰성을 평가 가능하다.
• 파일 메타데이터 분석: 악성 코드 파일의 메타데이터(예: 파일 크기, 생성 날짜, 디지털 서명 등)를 통해 파일의 출처나 특이점을 확인할 수 있다.
• 문자열 추출: strings 명령어와 같은 도구를 사용하여 바이너리 파일 내의 ASCII 또는 유니코드 문자열을 추출한다. 이 과정에서 파일 경로, URL, 이메일 주소, 명령어와 같은 중요한 정보를 얻을 수 있다.

기초 분석은 파일의 위험성을 빠르게 평가하고, 추가적인 정적 및 동적 분석이 필요한지 판단하는 데 유용하다.

 

---

2. 🔍 정적 분석 (Static Analysis)

정적 분석은 악성 코드가 실제로 실행되지 않은 상태에서 소스 코드나 바이너리 파일을 분석하는 방법이다. 이를 통해 코드가 수행할 수 있는 작업을 예측하고 악성 코드를 더 깊이 이해할 수 있다.

• 역공학 도구 사용: IDA Pro, Ghidra, Binary Ninja와 같은 역공학 도구를 사용하여 악성 코드의 바이너리를 역어셈블(Disassemble)한다. 이를 통해 악성 코드의 내부 로직과 함수 호출, 제어 흐름을 파악할 수 있다.
• 디컴파일링(Decompiling): 디컴파일러를 사용하여 악성 코드의 바이너리를 더 높은 수준의 프로그래밍 언어(C, C++, Python 등)로 변환한다. 이를 통해 더 쉽게 코드의 논리를 이해할 수 있다.
• API 호출 분석: 코드가 사용하는 시스템 호출(API 호출) 목록을 분석하여 악성 코드가 파일을 읽거나 네트워크에 연결하는 등의 악의적인 행동을 예측할 수 있다.

정적 분석은 악성 코드의 코드 구조와 동작 원리를 이해하는 데 매우 유용하지만, 코드가 난독화되어 있거나 암호화된 경우 해석이 어려울 수 있다.

 

---

3. ⚙️ 동적 분석 (Dynamic Analysis)

동적 분석은 악성 코드를 실제로 실행하여 그 행동을 관찰하는 방법이다. 이를 통해 악성 코드가 실행 중에 어떤 시스템 자원에 접근하고, 네트워크 통신을 하는지 등을 파악할 수 있다. 동적 분석은 주로 안전한 격리 환경에서 이루어진다.

• 샌드박스 환경에서의 실행: 악성 코드를 격리된 가상 환경(Sandbox)에서 실행하여 실제 시스템에 영향을 미치지 않도록 한다. 이를 통해 악성 코드가 시스템에서 어떤 동작을 하는지 모니터링하고 분석할 수 있다. 인기 있는 샌드박스 도구로는 Cuckoo Sandbox, Any.Run, FireEye 등이 존재한다.
• 프로세스 모니터링: Process Monitor(ProcMon) 같은 도구를 사용하여 악성 코드가 실행될 때 생성하는 프로세스, 파일 접근, 레지스트리 변경 등을 모니터링한다. 이를 통해 악성 코드의 행동 패턴을 명확하게 파악할 수 있다.
• 네트워크 트래픽 분석: 악성 코드가 실행되는 동안 생성되는 네트워크 트래픽을 캡처하고 분석한다. 이를 통해 악성 코드가 외부 서버와 통신하는지, 어떤 데이터를 전송하는지 확인할 수 있다. Wireshark와 같은 도구를 사용하여 트래픽을 분석할 수 있다.

동적 분석은 악성 코드가 실제로 어떻게 동작하는지 파악하는 데 매우 효과적이지만, 분석 중에도 격리 환경을 벗어나려는 악성 코드의 공격으로부터 보호할 수 있도록 주의해야 한다.

 

---

🧩 결론

악성 코드 분석은 다양한 기법을 결합하여 수행되며, 각 기법은 서로 다른 장점과 단점을 가지고 있다. 기초 분석은 빠르게 위험을 평가하는 데 유용하며, 정적 분석은 악성 코드의 내부 로직을 깊이 이해할 수 있게 해주고, 동적 분석은 코드가 실행되는 동안의 실제 행동을 관찰할 수 있다. 이 세 가지 방법을 종합적으로 활용하면 악성 코드에 대한 더 깊은 이해와 효과적인 대응 전략을 수립할 수 있다.

---

정리하면

VirusTotal은 강력한 Multi-Scan 엔진을 기반으로 다양한 악성코드와 URL을 분석하는 데 매우 유용한 보안 위협 기초 분석 도구이다. 이를 통해 단일 엔진으로 탐지하지 못하는 위협을 포착하고, 보안 위협을 빠르게 탐지할 수 있으며, 추가적인 정적/동적 분석의 필요성을 판단할 수 있다.