디지털포렌식 및 네트워크 보안 전문업체인 인섹시큐리티(대표 김종광)는 오늘, 멀웨어 분석 솔루션 기업인 조시큐리티(JoeSecurity)가 최신 버전의 악성코드 정밀 분석 솔루션 조샌드박스(JoeSandbox)의 최신 버전 v30을 출시했다고 밝혔다.
코드 네임 레드 다이아몬드(Red Diamond)로 출시된 이번 릴리즈의 주요 특징은 마이터 어택 서브 테크닉 지원, 218개의 새로운 시그니처 추가, 회피 또는 우회 공격 악성코드 탐지 기술 추가, 대용량 파일 지원, API 매개변수 덮어쓰기, 피싱 탐지 향상 등으로 주요 내용은 다음과 같다.
마이터 어택 서브 테크닉 지원: 침해사고 위협모델을 이용한 표준 프레임워크인 마이터 어택(MITRE ATT&CK) 서브 테크닉을 지원하는 첫번째 공인 샌드박스로 지정됐다. 조샌드박스는 서브 테크닉(Sub-Techniques)을 포함하여 다양한 행동 시그니처를 맵핑을 지원함으로써 분석가들에게 정확한 테크닉 및 절차를 제공한다. 마이터 어택 서브 테크닉은 윈도(Windows), 맥OS(macOS), 리눅스(Linux), 안드로이드(Android) 분석을 지원한다.
218개의 새로운 시그니처 추가: 야라(Yara) 및 시그마(Sigma) 시그니처와 더불어 새롭게 추가된 218개의 시그니처를 통해 FinSpy, Liquorbot, WellMess, Taurus Stealer, Matiex Keylogger, Elysium Stealer, DCRat 등의 멀웨어와 Avaddon, Netwalker, IOCP 등의 랜섬웨어를 포함하여 폭넓은 위협을 보다 정확하게 탐지한다. 또한 BazarLoader, Formbook, Emotet, Phobos, Qbot, NJRat 등의 변형 멀웨어에 대한 시그니처도 업데이트했다.
회피 또는 우회 공격 악성코드 탐지 기술 추가: 조시큐리티는 GuLoader 및 TrickBot 등 새로운 샌드박스 회피 또는 우회 공격을 탐지할 수 있는 기술을 탑재했다. 행동 분류를 위해 새로운 탐지 시그니처를 작성하여 새로운 회피 또는 우회 기술에 대응할 수 있는 트리거를 추가했다.
대용량 파일 지원: 레드 다이아몬드에는 멀웨어 바이너리 업로드 사이즈 제한을 없애고, 웹 인터페이스를 위한 청크 파일 업로드 기능을 추가했다.
API 매개변수 덮어쓰기: 조샌드박스는 다양한 보안 솔루션과의 통합이 가능하다. 이번 버전에는 새로운 기능을 통합 업데이트 할 때 발생하는 번거로움을 덜기 위해 API 매개변수 덮어쓰기 옵션이 추가됐다. 이 옵션을 사용하면 API를 통해 제출한 샘플에 대한 특정 조샌드박스 설정을 덮어쓸 수 있다. 이와 함께 키(key) 공유 기능을 통해 모든 조샌드박스 사용자들과 VirusTotal, MetaDefender, Intezer, UrlScan 등의 특정 통합을 제공할 수 있다.
피싱 탐지 향상: 대다수의 피싱 페이지는 canvas.com, dropbox.com 등 자바스크립트를 많이 사용하고 컨텐츠를 동적으로 로딩하는 페이지들에서 유인이 시작되므로, 피싱 탐지를 어렵게 만든다. 또한 PDF 파일이 종종 실제 피싱 페이지로 연결되는 페이지에서 호스팅 되기도 하는데, 대부분의 샌드박스 솔루션은 동적 웹페이지의 PDF 링크를 지원하지 않는다. 레드 다이아몬드에서는 이러한 문제들을 해결해 피싱 탐지 기능을 향상시켰다.
이 밖에도 조샌드박스 v30 레드 다이아몬드에는 VM웨어 워크스테이션 16(VMware Workstation 16) 지원, ALZ 아카이브 언팩, 안드로이드 비계측 분석, 애널리스트 및 이그제큐티브 리포트 내 태그 기능, 중복 패스워드 보호, 크롬 URL 분석 속도 개선, 분석 별 서버 로그 등의 기능이 추가됐다. |
