nyx2022/anti-vm

케쉴 프로젝트

Anti-VM

🥨 악성코드의 Anti-VM 무력화 프로젝트 🥨

🖌️ 프로젝트 개요

1. 악성 코드 증가

• 매년 기존의 악성코드양 뿐만아니라 새로 생성되는 악성코드의 양도 동시에 증가.

2. 악성 코드의 동적 분석 회피 기법

• 70가지 이상의 바이러스 검사 소프트웨어 제품을 사용하여 악성코드를 검사해주는 **Virus Total** 과 **맥아피**의 2017년도 6월 보고서에 따르면 **안티 샌드박스** 회피 기법을 사용하는 악성코드 비율이 두드러짐. (링크)

3. 가상 환경에서 실행되지 않는 악성 코드

• 악성코드를 동적 분석할 때 로컬 환경보다 가상 환경을 취약하게 구성을 하고(샌드박스) 그 환경에서 악성 프로그램이 동작하게하여 분석한다. 악성코드는 윈도우 API를 이용하여 가상 환경을 탐지한다. 이런 행위를 무력화 하기 위해 프로젝트 주제로 선정하였다.

🖌️ 프로젝트 결과

1. DLL 인젝션을 이용한 API 후킹 전후 Cuckoo Sandbox 점수 변화 비율

Anti-VM 행위를 하는 악성코드 141개를 수집하여 Cuckoo Sandbox가 동적분석을 진행할 때 각 프로세스에 Dll을 인젝션하기 전과 후를 비교하였다. 점수의 변화가 있는 악성코드는 70% 정도였다.

2. 가상 환경 탐지 오픈소스인 Pafish를 이용하여 DLL 인젝션 전후 탐지 결과 비교

Pafish는 해당 환경이 가상환경인지 아닌지를 탐지해주는 오픈소스이다. Cuckoo Sandbox 에 DLL을 삽입하는 프로그램을 실행하기 전과 후 결과를 보면 다음과 같았다.

traced 는 해당 프로그램이 동작하는 환경이 가상환경임을 알려주는 표시이다. OK 는 일반적인 로컬 환경임을 알려주는 표시이다. dll을 인젝션하여 해당 환경이 가상 환경이지만 로컬 환경인 것처럼 속인 것을 확인할 수 있었다.

🖌️ 참고자료

• 리버싱 핵심원리