🌐 악성코드 동작 원리와 탐지

악성코드를 공부하는 이유

악성코드를 공부한다는 것은 악성 프로그램을 만들거나 실행해 보는 것이 아닙니다. 중요한 것은 공격자가 어떤 행동을 하려고 하는지, 그 행동이 시스템과 네트워크에 어떤 흔적을 남기는지, 그리고 방어자는 어떤 기준으로 이상 징후를 판단하는지 이해하는 것입니다.

악성 행위는 대개 사용자가 원하지 않는 동작을 몰래 수행합니다. 파일을 내려받거나, 자동 실행을 등록하거나, 외부 서버와 통신하거나, 자원을 과도하게 사용하거나, 입력값과 클립보드를 감시할 수 있습니다. 이런 동작을 하나씩 분해해서 보면 막연한 두려움이 구체적인 보안 개념으로 바뀝니다.

이 장은 안전한 방어형 학습을 위한 내용입니다. 실제 악성코드 실행 대신 가짜 로그, 샘플 문자열, 예시 프로세스, 내부 테스트 도메인으로 원리를 이해합니다.

그림으로 보는 탐지 흐름

IOC와 악성 행위 탐지 흐름 — 의심 증상에서 IOC를 수집하고 시스템/네트워크 흔적을 비교해 이상 여부를 판단한다.

탐지는 “이상해 보인다”에서 끝나지 않고, 어떤 흔적이 왜 이상한지 설명하는 과정입니다.CPU 사용률, 프로세스, 파일, 자동실행, 네트워크 연결을 함께 봐야 합니다.

쉽게 말하면악성 행위 분석은 범인을 만드는 일이 아니라 흔적을 읽는 일입니다. 방이 어지럽혀져 있으면 발자국, 열린 창문, 사라진 물건을 보고 무슨 일이 있었는지 추리하는 것과 비슷합니다.

악성 행위의 큰 분류

크립토 마이너 동작 원리 — 크립토 마이너 유형은 높은 CPU/GPU 사용량과 반복적인 외부 연결 흔적을 남길 수 있다.

크립토 마이너 유형은 PC의 CPU나 GPU 자원을 몰래 사용하려는 행위입니다. 사용자는 컴퓨터가 갑자기 느려지고 팬이 세게 돌거나 전력 사용량이 늘어나는 형태로 이상을 느낄 수 있습니다. 방어 관점에서는 높은 CPU 사용률, 낯선 프로세스, 외부 풀 서버와의 연결 시도를 함께 확인합니다.

클립보드 하이재커 이해 — 클립보드 하이재커는 사용자가 복사한 값을 감시하거나 다른 값으로 바꾸려는 유형이다.

클립보드 하이재커 유형은 사용자가 복사한 문자열을 감시하다가 지갑 주소처럼 보이는 값을 다른 값으로 바꾸는 행위입니다. 실제 클립보드를 변경하는 실습은 하지 않고, 샘플 문자열을 검사해서 “이런 패턴을 노릴 수 있다”는 원리만 이해하면 충분합니다.

다운로더 유형은 작은 프로그램이 먼저 실행된 뒤 외부에서 추가 파일을 받아오는 방식입니다. 이 경우 파일 생성 흔적, 다운로드 URL, 외부 연결, 실행 경로가 중요한 단서가 됩니다. 자동실행 등록까지 이어지면 재부팅 후에도 계속 동작할 수 있습니다.

IOC란 무엇인가

IOC 구성 지도 — IOC는 파일명, 프로세스, 도메인, IP, 포트, 자동실행 위치 같은 의심 단서를 묶어 보는 개념이다.

IOC는 Indicator of Compromise의 약자로, 침해 또는 이상 행위를 의심할 수 있는 흔적을 뜻합니다. 예를 들어 낯선 파일명, 이상한 프로세스명, 의심 도메인, 특정 IP, 비정상 포트, 자동실행 레지스트리, 반복되는 오류 로그가 IOC가 될 수 있습니다.

IOC는 단독으로 확정 증거가 되기보다 여러 단서가 함께 모일 때 의미가 커집니다. 예를 들어 낯선 프로세스 하나만으로 악성이라고 단정하기는 어렵지만, 그 프로세스가 높은 CPU를 사용하고, 낯선 도메인으로 주기적으로 연결하고, 자동실행에도 등록되어 있다면 의심도가 크게 올라갑니다.

IOC를 공부하는 목적은 암기보다 분류입니다. 파일 흔적인지, 프로세스 흔적인지, 네트워크 흔적인지, 사용자 행위 흔적인지 구분하면 탐지 과정이 체계적으로 보입니다.

시스템 흔적과 네트워크 흔적

시스템 흔적은 PC 내부에서 확인할 수 있는 단서입니다. 작업 관리자, 리소스 모니터, 이벤트 뷰어, 자동실행 항목, 설치된 프로그램, 임시 폴더, 다운로드 폴더 등을 볼 수 있습니다.

네트워크 흔적은 외부와 통신하려는 단서입니다. 어떤 도메인을 조회했는지, 어떤 IP와 연결했는지, 어떤 포트를 사용했는지, 주기적으로 통신하는지 확인합니다. Wireshark나 방화벽 로그, DNS 로그가 이런 학습에 도움이 됩니다.

방어 관점 점검 예시
- 작업 관리자에서 CPU/GPU 사용률 확인
- 리소스 모니터에서 네트워크 연결 확인
- 이벤트 뷰어에서 경고/오류 확인
- DNS 로그에서 낯선 도메인 확인
- Wireshark에서 반복 연결 확인

안전한 학습 원칙

초기 대응 체크리스트 — 의심 상황에서는 기록, 분리, 보존, 점검 순서로 안전하게 대응한다.

악성코드 학습은 반드시 안전하게 진행해야 합니다. 실제 악성코드를 내려받거나 실행하지 않고, 가짜 로그와 설명용 예시로 개념을 익힙니다. 외부 공격 서버나 실제 피해자 시스템을 대상으로 한 실험도 하지 않습니다.

학습용 예시는 위험 기능을 제거해야 합니다. 실제 클립보드 변경, 파일 암호화, 계정 정보 수집, 외부 서버 전송 기능은 만들지 않습니다. 대신 “이런 행위가 있다면 어떤 흔적이 남는가”를 안전하게 설명하는 방식이 좋습니다.

이 장의 목적은 악성코드 제작이 아니라 방어 관점의 이해입니다. 실제 악성 파일 실행, 유포, 외부 통신 실험은 하지 않습니다.

개념 비교표

개념	의미	학습 포인트
크립토 마이너	자원을 몰래 사용	CPU/GPU 사용률과 외부 연결
클립보드 하이재커	복사한 값을 감시하거나 바꿈	문자열 패턴과 사용자 주의
다운로더	추가 파일을 내려받음	다운로드 URL과 파일 생성 흔적
IOC	침해 의심 단서	파일, 프로세스, 네트워크 흔적 분류

핵심 개념 복습

악성 행위를 이해하는 핵심은 행동과 흔적을 연결하는 것입니다. 자원을 많이 쓰면 CPU 사용률이 오르고, 외부와 통신하면 네트워크 연결이 생기고, 재부팅 후에도 실행되려면 자동실행 흔적이 남을 수 있습니다.

탐지는 한 가지 단서만 보고 결론을 내리는 일이 아닙니다. 시스템 흔적, 네트워크 흔적, 사용자 증상, 로그를 함께 보면서 가능성을 좁혀 갑니다. 이 과정을 이해하면 실제 보안 도구가 왜 파일 해시, 도메인, IP, 행위 패턴을 함께 보는지도 자연스럽게 알 수 있습니다.

다음 장에서는 Python을 이용해 보안 개념을 안전하게 자동화하고, 로그나 문자열을 분석하는 기초를 공부합니다.