AI 기술은 챗봇, 안면 인식, 자율주행, 의료 지원 등 다양한 분야에 적용되며 빠르게 발전하고 있습니다. 하지만 의사 결정 과정이 불투명하기 때문에 흔히 ‘블랙박스’ 문제라고 불리는 AI의 결정을 완전히 신뢰하기 어려운 경우가 많습니다. 바로 이 부분에서 설명 가능한 AI(XAI)가 등장하여 AI의 결정을 설명하는 데 도움을 줍니다.
[태그:] 문서형악성코드
최근 코로나19 팬데믹은 우리 일상의 많은 부분을 바꿔 놓았습니다. 가장 큰 변화 중 하나는 재택근무, 화상 회의와 같은 업무의 비대면을 꼽을 수 있는데, 이를 위해 이메일 및 메신저의 활용이 폭발적으로 증가했고 악성 공격자들은 사회공학적 기법을 통해 문서형 악성코드를 유포하는 공격이 증가했습니다. PDF나 MS-Office, 한글 파일 등에 악성코드를 숨기고 사용자들의 운영체제를 침해할 수 있고, 이러한 파일을 문서형 악성코드라 부릅니다. 본 포스팅에서는 이러한 문서형 악성코드 탐지를 위해 ML을 활용하였고, ML을 위해 PDF 파일을 활용하여 특징점을 추출하고, 특징점을 활용한 모델을 만들어 평가를 진행하였습니다.
사이버 위협 동향에 따르면 공격자들은 다양한 경로와 공격 방법을 통해 악성코드를 유포하고 있으며, 이메일과 전자문서로 위장한 악성코드를 활용하여 사이버 공격 활동을 진행하고 있습니다. 전자문서 중에서도 악성코드로 많이 활용되는 MS-Word 문서는 공격자가 악용할 수 있는 다양한 기능을 제공하며, 포맷 내 유연성을 통해 쉘코드, 악성 파일 실행 등을 은닉할 수 있는 공간이 존재합니다. 따라서 본 포스팅에서는 공격자가 제작한 MS-Word 문서형 악성코드의 구조를 파악해보고 위협인자를 추출할 수 있는 방법에 대해 알아보도록 하겠습니다.
PDF, HWP, MS-Word등 다양한 전자 문서는 중요한 정보를 효율적이고 효과적으로 전달하는 매체입니다. 그러나 이렇게 편리한 전자 문서들 내 악성코드를 숨겨 문서와 문서의 취약점을 이용해 운영체제를 침해 할 수 있는데, 이러한 문서 파일들을 문서형 악성코드라 부릅니다. 이번 포스팅에서는 문서형 악성코드를 효과적으로 탐지하기 위한 방법론에 대해 알아보도록 하겠습니다.
최근 종영된 ‘이상한 변호사 우영우’라는 드라마 내에서 개인정보를 유출한 쇼핑몰과 이들의 과실을 문제 삼아 천문학적인 과징금을 부과한 방통위와의 재판 시나리오가 등장했습니다. 공격자는 쇼핑몰 보안담당자의 PC에 키로거를 설치해 정보를 빼내어 ‘스피어 피싱’ 공격을 진행하였고 이 과정에서 메일에 첨부된 PE 구조의 .exe 악성코드 파일이 아닌 MS 워드를 실행함으로써 개인정보가 유출되었습니다. 이번 포스팅에서는 공격자는 MS 워드 내의 어떤 기능을 사용하여 문서형 악성코드를 제작했고, MS 워드 문서형 악성코드의 동작 방식에 대해 알아보도록 하겠습니다.
최근 사이버 위협 동향에 따르면 업무용으로 널리 사용되는 문서형 전자 파일에 악성코드를 교묘히 삽입하여 이메일 또는 메신저 등의 경로를 통해 무작위로 유포되는 문서형 악성코드가 지속해서 증가하고 있습니다. 코로나 19 팬데믹 및 사회적 중요 이슈 등을 이용한 사회공학적 기법을 이용하여 국내외 정부 기관과 주요 기업을 비롯한 기반 시설 내에도 MS Office 문서형 매크로 악성코드가 유입되고 있습니다. 이처럼 사회공학 기법을 통한 문서형 매크로 악성코드가 증가하는 추세이며, 최근 KAIST 사이버보안연구센터 연구원들을 대상으로 스피어피싱 공격이 발생한 바 있습니다. 이 공격에 대하여 악성 메일을 수신한 경위 및 의심 정황과 특징을 소개하고 수집된 MS Office Excel 문서형 매크로 악성코드에 대해 분석을 진행해보고자 합니다.
전세계적으로 가장 많이 발생되는 문서형 악성코드는 바로 PDF 문서형 악성코드 입니다. 다른 문서형 악성코드의 특징과 동일하게 공격 대상이 불특정 다수가 아닌 정부 및 공공기관, 학교, 금융 등 주요시설을 노려 공격합니다. PDF 문서는 구조가 복잡하고 기능이 많아 악성코드 또는 악성 행위를 삽입할 수 있는 방법이 많이 존재합니다. 그러므로 PDF 문서형 악성코드를 식별하기 위해서는 전자 문서를 분해하여 압축을 해제하고 악성 인자를 찾아 추출하고 식별 할 수 있는 기능이 필요합니다. 이번 포스팅의 내용은 PDF 문서의 구조와 PDF 문서의 취약점과 공격 방법으로 구성됩니다.
정상적인 한글 문서로 위장한 악성코드는 주로 국내에서 발견되는 특징이 있으며, 공격 대상이 불특정 다수가 아닌 정부 및 공공기관, 학교, 금융 등 주요시설 입니다. 따라서 문서형 악성코드에 대응하기 위해 일반적인 실행 파일 악성코드 탐지 및 분석 방법과는 달리 각 전자 문서를 분해하고 악성 인자 식별 및 추출이 필요합니다. 이번 포스팅의 내용은 한글 문서의 포맷 , 악성 스토리지, 스토리지를 악용한 공격 방법으로 구성됩니다.
문서형 악성코드의 국내 해킹 사례를 통해 문서형 악성코드의 특징과 동작 방법을 통해 문서형 악성코드와 일반 악성코드의 차이점에 대해 설명합니다.