파이어아이(지사장 전수홍, www.fireeye.com/kr/ko)와 맨디언트(Mandiant)의 연구원들은 최근 시스템 운영체제가 부팅되기 전 실행되는 부트킷 멀웨어를 이용해 결제카드 데이터를 노리는 신종 사이버 범죄 수법을 발견했음을 전했다.
정상 부팅 과정
맨디언트가 발견한 부트킷 멀웨어 '부트래시(Bootrash)'는 운영체제의 하위 계층을 감염시켜 탐지 및 제거가 어렵다는 점에서 각별한 주의가 요구된다. 맨디언트에 따르면, 해당 사이버 범죄는 경제적 이윤을 노리고 주로 금융 기관을 대상으로 수익과 직결되는 데이터를 노려온 러시아 기반 추정 사이버 범죄 조직, 'FIN1'의 소행으로 밝혔다.
FIN1은 부트래시를 이용해 시스템 부팅 프로세스를 장악하고, 윈도우 운영 체제의 코드 보다 네미시스의 구성 요소들을 먼저 로딩한다. 일반적인 부팅 과정에서 MBR(Master Boot Record)은 운영체제 코드를 불러오는 VBR을 로딩한다. 그러나 이번 악성 코드에 감염될 경우 부트래시 부트스트랩(bootstrap) 코드가 덮어 쓰인 VBR을 로딩하며, 이 코드는 가상 파일 시스템에 저장된 네메시스 부트킷 요소를 불러와 본래의 부트 섹터를 제어한다. 이처럼 부트킷이 부트 섹터를 제어한 이후 운영 체제가 로딩되고 실행되기 때문에 탐지 및 제거가 어렵다.
부트래시 감염 시스템의 부팅 과정
부트래시와 같은 부트킷은 윈도우 운영 체제 하위에 설치돼 윈도우 보다 먼저 실행되기 때문에 운영 체제에서 진행되는 무결성 검사를 피해갈 수 있다. 또한, 멀웨어 페이로드를 불러오기 위해 사용되는 요소들은 윈도우 파일 시스템 외부에 있는 가상 파일 시스템에 저장돼 백신 소프트웨어로도 발견이 되지 않는다. 게다가, 멀웨어 요소들 자체 역시 가상 파일 시스템이나 윈도우 레지스트리에 저장돼 백신 프로그램의 영향을 받지 않는다. 따라서 부트래시를 탐지할 수 있는 곳은 원시 메모리뿐이다.
파이어아이 전수홍 지사장은 "운영 체제 외부에 존재하는 멀웨어가 사용되는 경우에는 기존의 탐지 및 제거 방식과는 다른 방식으로 이에 접근할 필요가 있다"며 "부트래시와 같은 부트킷 멀웨어에는 맨디언트 인텔리전트 리스폰스와 같이 원시 디스크 포렌식 이미지에 접근하고 검색할 수 있는 툴이 효과적"이라고 설명했다.
부트래시에 대한 보다 자세한 정보는 파이어아이 공식 블로그에서 확인할 수 있다. |
