맬웨어 식별 훈련 :: 정보추출 이후 프로세스 이상징후 분석 실습
이전 실습 요약:
이전 실습에서는 침해사고 발생한 아티팩트, 메모리 덤프파일(memory.raw)을 수집했음.
여기서 프로세스 관련 정보들(ex 생성시간, 종료시간, PID, DLL 등)을 추출했음
→ 이번 실습에서는 추출내용을 분석하겠음
1. dlllist.txt 분석하기
: 메모리의 로드된 실행파일 자체와 dll 파일의 경로정보
파일 내용 중 command line 을 추출하면 실행파일 경로, 파라미터 정보를 추출할 수 있음
-i: 대소문자 구분 X
-v: 문자열 제외
대부분의 일반적 프로세스 경로는
C:\Windows
C:\Programs Files
C:\Programs Files (x86)
에서 실행되므로 이외의 경로를 찾으면 된다
E:~W) grep -i "command line" dlllist.txt | grep -v -i "c:\*windows" | grep -v -i "c:\*program files" | grep -v -i "systemroot"
=> 일반적이지 않은 경로 정보에 대해서만 출력
grep -i “command line” dlllist.txt → dlllist.txt 파일에서 해당 문자열 찾기
grep -v -i ‘’c:\\windows”~ → 일반적인 경로 3개를 제외한 이상 정보만 찾아내기
2. svchost.exe 파라미터 유무 분석하기
svchost.exe는 -k 옵션과 함께 파라미터가 꼭 있어야 하기 때문에
-k 옵션이 없다면 악성코드일 확률이 있는 이상징후이다
grep -i "command line" dlllist.txt
이 중에서 svchost.exe만 나오도록 더 추려보자
grep -i "command line" dlllist.txt | findstr svchost.exe
여기서는 svchost.exe 에서 이상징후가 발견되지 않는다
3. pstree.txt 분석하기
cat pstree.txt
여기서 . 개수는 부모자식 관계를 알 수 있는데 ...은 ..의 하위프로세스이다
.services.exe가 부모 프로세스 / .. svchost.exe는 자식 프로세스
좀 더 편하게 보기위해 pslist를 대신 사용하고 svchost.exe만 필터링해보자
cat pslist.txt | findstr svchost.exe
svchost.exe들의 PPID가 모두 504이다
이제 부모 프로세스인 services.exe의 PID를 확인해 보자
cat pslist.txt | findstr service.exe
services.exe의 PID 역시 504 이므로 여기도 이상징후 없음!
LOL Binary(Living off the Land Binaries)란?
악성코드 공격 실행을 위해서 os에 미리 설치된 파일, 도구들을 활용하는 ms 실행파일
cat pslist.txt | findstr dllhost.exe
→ dllhost.exe 역시 PPID가 504로 확인됨
→프로세스 부모자식 관계 측면에서는 이상징후 X
4. sigcheck.csv 분석하기
MS 실행파일 내부에는 헤더, 섹션들이 있는데 그 중 .rsrc 섹션에는
아이콘, 인증서, 리소스(version info)처럼 실행파일 우클릭해서
속성보기/자세히 탭을 보면 나오는 내용들임
→ 악성코드 제작자들이 제너레이터(생성기)를 사용할 때 누락하기 쉬운 내용
이전 실습에서 추출한 sigcheck.csv 파일을 분석해 보겠음
n/a가 있는 항목들은 의심해 볼 만하므로 n/a가 있는 PID넘버를 넣어서 추출해 보자
executable.PID숫자.exe 이런 형식임( executable.512.exe → PID가 512 )
4-1. awk 명령어 사용해서 추출
awk: 선택된 레코드에 포함된 값을 조작 및 데이터화
awk "if($3==1280|| $3==2668||$3==3292||$3==512||$3==520) print $2, $3" pslist.txt
- $2: name 프로세스 이름
- $3: 프로세스 PID
실행하면 결과가 이렇게 나온다
lsass.exe 512
lsm.exe 520
spoolsv.exe 1280
svcnet.exe 2668
SearchIndexer.2948
DumpIt.exe 3292
각 프로세스에 대해 알아보면
| lsass.exe | Local Security Authority Service의 줄임말로, 사용자나 그룹에 대한 로그인(인증), 패스워드 변경, 보안 로그를 작성합니다. |
| lsm.exe | Local Session Manager Service의 줄임말로, 시스템의 로그인 세션 연결을 관리합니다. |
| spoolsv.exe | 프린터 스풀러 서비스 |
| SearchIndexer | 파일 검색 및 인덱싱 서비스 |
| DumpIt | 메모리 덤프 용도 |
모두 윈도우 빌트인 프로세스 들인데 서명값이 n/a인 이유는
메모리에 올라가면서 자료구조가 바뀌어서 그렇다
반면에 svcnet.exe의 경우 윈도우의 빌트인 프로세스가 아닌데
부모 프로세스가 explorer.exe이고 파일 버전 등의 정보도 없다
→ 악성프로세스일 가능성 있다!