<그림 1. gmer를 이용한 백신 프로세스 강제 종료 예제>

2. 백신 프로세스에 대한 DLL Injection 공격

(1) 전역 훅 설정

① 레지스트리 키 설정을 이용한 전역 훅 설정
“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs" 레지스트리에서 위와 같은 경로에 DLL Injection 할 DLL파일의 경로를 설정하면 이후부터 실행되는 프로세스 공간에 윈도우OS가 자동으로 해당 DLL을 로딩시켜 준다.

<그림 2. 레지스트리를 이용한 DLL Injection 방법>

② SetWindowsHookEx() 함수를 이용한 전역 훅 설정
윈도우 OS는 전역 훅을 설정할 수 있도록 SetWindowsHookEx() 윈도우 API 함수를 제공한다. 해당 함수의 첫번째 인자에 설정하고자 하는 메시지 유형(WH_KEYBOARD, WH_GETMESSAGE, WH_CALLWNDPROC, etc)을 설정하고 함수를 호출하면 호출한 이후부터 해당 메시지에 대한 정보를 전달받을 수 있다.

(2) CreateRemoteThread() 함수를 이용한 DLL Injection

DLL Injection을 하기 위해서 사전에 세팅 작업을 수행한 다음 CreateRemoteThread() 함수를 호출하면 해당 프로세스에 Injection 하고자 하는 DLL이 로딩됨으로써 백신 프로세스가 감염될 수 있다. 위와 같은 다양한 DLL Injection 기법들을 이용하여 백신 프로세스를 감염시킨 다음 악성 행위들을 함으로써 백신 프로세스를 무력화 시킬 수 있다.


3. 백신 프로그램이 사용하는 레지스트리 키 생성/변조/삭제

백신 프로그램 역시 윈도우에서 동작하는 프로그램이므로 레지스트리를 참조할 수 밖에 없다. 악성 코드들은 이 점을 이용하여 백신 프로그램이 사용하거나 또는 관련된 레지스트리 데이터를 생성/변조/삭제함으로써 백신 프로그램들을 무력화시킬 수 있다. 아래 그림은 그 예이다.

<그림 3. “제어판-관리도구-서비스” 프로그램을 이용한 백신 프로그램 무력화 예제>

왼쪽 그림이 정상인 상태이고 오른쪽 그림이 비정상인 상태이다. 오른쪽 상태로 사용자 PC를 재부팅하였을 경우에 해당 백신 프로세스는 시작되지 않는다. “시작 유형”란은 레지스트리 데이터를 변경하며 윈도우OS는 부팅시점에 해당 레지스트리 데이터를 읽고 해당 동작을 수행한다. 그렇기 때문에 해당 레지스트리 데이터가 오른쪽과 같이 되어 있다면 해당 프로세스를 로딩시키지 않고 통과해버리기 때문에 백신 프로그램은 손쉽게 무력화된다.

위와 같이 백신 프로세스를 공격할 수 있는 방법에는 여러가지 유형이 있을 수 있다. 자, 그럼 이제 이러한 공격들을 막는 방법에 대해서 알아보자.


(1) “백신 프로세스 강제 종료” 유형을 막을 수 있는 방법에도 여러 가지가 있을 수 있다.

유저 모드에서는 모든 프로세스에 DLL Injection을 하여 Kernel32.dll 모듈의 TerminateProcess() 함수를 조작한 다음 TerminateProcess() 함수가 호출되었을 경우 악성 프로세스가 백신 프로세스를 강제 종료시키려는 경우에 대하여 해당 루틴을 호출하지 않음으로써 강제 종료를 차단할 수 있다. 커널 모드에서는 TerminateProcess()가 호출될 경우에 호출되는 커널 모드 쪽의 함수를 조작한 다음 악성 프로세스가 백신 프로세스를 강제 종료시키려는 경우에 대하여 해당 루틴을 호출하지 않음으로써 강제 종료를 차단할 수 있다.(백신 프로세스의 스레드들에 대한 강제 종료 시도에 대해서도 동일한 방법이 적용 가능하다.)

<그림 4. 커널 모드 함수 조작 예제>

(2) “백신 프로세스에 대한 DLL Injection” 유형을 막는 방법은 다음과 같다.

① “레지스트리 키 설정을 이용한 전역 훅 설정” 유형은 백신 프로그램이 해당 레지스트리 키 데이터에 대한 접근을 실시간으로 감시하여 타 프로세스가 설정하고자 하는 DLL를 체크한 다음 악성 코드에 대해서는 레지스트리 데이터 생성/변조/삭제 시도 차단 및 모듈 제거를 하면 된다.

② “SetWindowsHookEx() 함수를 이용한 전역 훅 설정” 유형은 제거 및 차단이 다소 까다롭다. 전역 훅을 설정하는 입장에서는 손쉽게 후킹이 가능하지만 이것을 탐지한 다음 제거하고 차단하는 입장에서는 다소 까다로울 수 있다. 일단 자체 보호 기능이 비활성화된 상태에서 해당 함수를 사용하여 전역 훅이 설정되어 있다면 보호하고자 하는 프로세스의 스레드를 참조하여 전역 훅 설정을 제거할 수 있다. 윈도우에서 관리하는 스레드 구조체를 따라가다 보면 특정 구조체를 만나게 된다. 해당 구조체에는 어떤 프로세스가 (전역)메시지 후킹을 설정해 놓았는지에 대한 다양한 정보들(후킹 type, 전역 후킹 여부, Hook 설치 thread의 정보, next pointer 등)이 담겨있다. 이러한 정보들을 이용하고 종합한 다음 악성 코드인지 여부를 결정하고 해당 훅 설정을 제거하면 된다.

전역 훅 설정을 사전에 차단하는 방법은 다음과 같다.
유저 모드에서 SetWindowsHookEx() 함수를 호출할 경우 호출되는 커널 모드쪽의 함수를 조작한 다음 악성 프로세스가 백신 프로세스에게 DLL Injection 하려는 경우에 대하여 해당 루틴을 호출하지 않음으로써 DLL Injection을 차단할 수 있다.

③ “CreateRemoteThread() 함수를 이용한 DLL Injection” 유형에 대한 대처 방법 역시 여러 가지가 있을 수 있다. 유저 모드에서는 모든 프로세스에 DLL Injection을 하여 Kernel32.dll 모듈의 CreateRemoteThread() 함수를 조작한 다음 악성 프로세스가 백신 프로세스에게 DLL Injection 하려는 경우에 대하여 해당 루틴을 호출하지 않음으로써 DLL Injection을 차단할 수 있다.

커널 모드에서는 해당 유형의 DLL Injection을 시도할 경우 호출되는 커널 모드 함수를 조작한 다음 악성 프로세스가 백신 프로세스에게 DLL Injection 하려는 경우에 대하여 해당 루틴을 호출하지 않고 차단하면 된다.


(3) “백신 프로그램이 사용하는 레지스트리 키 생성/변조/삭제” 유형에 대한 차단 방법은 다음과 같다.

레지스트리 키 생성/변조/삭제와 관련된 커널 모드 함수들을 조작하여 놓고 악성 프로세스가 백신 프로그램이 사용하거나 또는 관련된 레지스트리 데이터를 생성/변조/삭제하려는 경우에 대해서 차단하면 된다.

지금까지 백신 프로그램을 공격할 수 있는 여러 가지 방법들과 백신 프로그램이 이러한 공격 시도에 대해서 자체적으로 보호할 수 있는 방안에 대해서 알아보았다.
현재 많은 백신 프로그램들이 위에서 언급한 자체 보호 기법들을 일부 적용하여 백신 프로그램의 자체 보호 기능을 수행하고 있지만 백신을 공격하는 악성코드들의 기법은 백신 드라이버 언로드시키기, 백신 드라이버를 IOCTL로 통제하기, 업데이트 우회하기, SSDT 취약점을 이용하여 자체 보호 무력화시키기 등 얼마든지 더 존재할 수 있다.
백신 프로그램이 강력한 자체 보호 기능을 유지하기 위해서는 지속적으로 새로운 공격 기법에 대한 연구를 하고 그에 대한 대처 방안을 적용해 나가야 할 것이다.

  
(주)하우리 기술연구소 Anti-Spy엔진팀 연구원 강준용