악성코드 샌드박스 회피 기법 분석
개요
샌드박스 회피(MITRE ATT&CK T1497)는 악성코드가 분석 환경을 감지하고 행동을 변경하여 탐지를 피할 수 있게 합니다. 이 스킬은 Cuckoo Sandbox와 AnyRun의 행동 분석 보고서를 분석하여 타이밍 기반 검사(GetTickCount, QueryPerformanceCounter, sleep inflation), VM 아티팩트 탐지(레지스트리 키, MAC 주소 접두사, vmtoolsd.exe 같은 프로세스 이름), 사용자 상호작용 검사(마우스 움직임, 키보드 입력), 환경 지문 수집(디스크 크기, CPU 코어 수, RAM) 등의 회피 지표를 탐지합니다. 탐지 규칙은 이러한 행동을 보이는 샘플에 플래그를 지정하여 심층 수동 분석을 유도합니다.
사용 시점
- 보안 인시던트 조사 시 악성코드 샌드박스 회피 기법을 분석해야 할 때
- 이 도메인에 대한 탐지 규칙이나 위협 헌팅 쿼리를 구축할 때
- SOC 분석가가 이 분석 유형에 대한 구조화된 절차를 필요로 할 때
- 관련 공격 기법에 대한 보안 모니터링 범위를 검증할 때
사전 요구 사항
- Cuckoo Sandbox 2.0+ 또는 AnyRun 계정(행동 분석 보고서용)
- Python 3.8+ 및 JSON 라이브러리(보고서 파싱용)
- JSON 형식의 행동 분석 보고서 내보내기 파일
단계
- Cuckoo/AnyRun 행동 분석 보고서 JSON 파일을 파싱합니다.
- 타이밍 관련 함수의 API 호출 시퀀스를 추출합니다.
- 레지스트리 쿼리 및 WMI 호출을 통해 VM 아티팩트 탐지를 식별합니다.
- 요청된 sleep 시간과 실제 sleep 시간을 비교하여 sleep inflation을 탐지합니다.
- 사용자 상호작용 검사(GetCursorPos, GetAsyncKeyState 패턴)에 플래그를 지정합니다.
- 탐지된 기법의 개수와 다양성에 기반하여 회피 정교함 점수를 산출합니다.
- 탐지된 기법을 MITRE ATT&CK T1497 하위 기법에 매핑합니다.
예상 출력
탐지된 회피 기법 목록, MITRE ATT&CK 매핑, API 호출 증거, 회피 정교함 점수, 회피 범주 분류(타이밍, VM 탐지, 사용자 상호작용, 환경 지문 수집)를 포함하는 JSON 보고서.