악성코드와 분석 방안

이 자료 역시 2006년 11월 외부 보안 세미나에서 사용하였던 강연 자료 입니다. 이 자료를 사용하였던 보안 세미나가 정확하게 어떤 자리였는지는 기억이 나지 않습니다만, 경찰청에서 주관하여 진행하였던 보안 세미나로 기억 됩니다.

지금 인터넷으로 찾아보니 경찰청 주관으로 진행한 국제사이버범죄대응 심포지엄(ISCR) 2006에서 발표하였던 자료가 맞네요...

그 때를 곰곰히 생각해보니, 30분이라는 짧은 시간에 악성코드 개론에서 분석 사례까지 진행해야 했던 어려운 상황에다, 외국에서 초청된 보안 연구원 및 보안 기업 임원들과 함께하고 제법 많은 숫자의 청중들이 함께 했던 세미나였습니다.

그래서 그랬는지 평소와 달리 긴장감이 컸었는지, 저도 모르게 강연 마지막에 말이 조금 꼬이면서 엉뚱하게 버벅거리는 어이 없는 실수를 했었던 기억이 새록 새록 나는군요..

당시에 발표한 자료는 기존 외부 보안 세미나에서 발표했던 자료들의 내용과 큰 차이는 없습니다만, 실제 침해 사고에 사용되었던 악성코드를 실제 분석하는 과정과 결과를 도출하는 케이스 스터디 형식을 포함하고 있습니다.

그래서 전체 목차는 아래와 같이 크게 4개로 나누었으며, 마지막 악성코드 분석 사례에서는 Dropper/PcClient.47873를 분석하였습니다.

1. 악성코드와 동향
2. 악성코드 분석 프로세스
3. 악성코드 분석 유틸리티
4. 악성코드 분석 사례

그 당시 Dropper/PcClient.47873를 분석 대상으로 삼았던 이유는 실제 침해 사고에 사용되었던 샘플이었습니다.

거기다 당시에는 보기 드물게 드라이버 파일을 이용한 커널(Kernel) 모드 은폐, 스레드 인젝션(Thread Injection) 기능을 이용한 글로벌 후킹(Global Hooking)으로 키로깅(Keylogging) 기능 등을 수행하는 기밀 정보와 데이터 탈취를 목적으로 한 조금은 특별한 샘플이었기 때문입니다.