먼저, 악성 프로그램 탐지를 위한 시그니쳐를 생성하려면 악성 프로그램의 데이터를 확보한 후 해당 프로그램을 분석한 결과가 필요합니다. 이후 분석 결과를 가지고 악성 프로그램이 가지고 있는 특징적인 코드들이나 데이터들을 해쉬 함수를 이용해 해쉬 값으로 만들고 해당 해쉬 값을 시그니쳐로 사용합니다. 이렇게 만든 시그니쳐들은 데이터 베이스에 보관해 파일들에서 시그니쳐들이 탐지될 경우 악성 프로그램으로 분류를 하는 것입니다.

물론, 악성 프로그램 데이터 전체를 해쉬 함수에 넣어 시그니쳐로 사용하는 경우도 있지만 이 경우 데이터를 조금만 바꿔도 해쉬 값이 변해 탐지율이 낮아질 수 있어요. 그래서 전체 데이터를 시그니쳐로 사용하는 경우는 적다고 합니다! 😉

이런 시그니쳐 기반 탐지 기법은 확실한 분석 데이터를 기반으로 하기 때문에 정상 프로그램을 악성 프로그램으로 탐지하는 확률은 매우 낮고 탐지가 빠릅니다! 하지만 위에서 언급하였듯이 같은 악성 프로그램이어도 변종이 생긴다면 시그니쳐 생성에 이용된 데이터가 변형되었을 수 있어 탐지율은 낮습니다. 또한, 의미있는 시그니쳐 탐색을 위해서는 여러 악성 프로그램들의 시그니쳐 데이터들이 저장된 데이터 베이스가 필수이기 때문에 일부 안티 바이러스 제품들에서만 사용하고 있어요. 🥲

당연히 모든 악성 프로그램들에 대한 시그니쳐들을 만들어내고 저장해 비교하기에는 무리가 있겠죠. 그래서 휴리스틱(Heuristic) 기반 탐지 기법을 함께 사용합니다.

휴리스틱이란 최적의 해답보다는 현실적으로 만족이 가능한 수준의 답을 빠르게 도출해내는 방법을 말하는데요. 기존 시그니쳐 탐지 기법은 악성 프로그램의 특정 데이터를 시그니쳐로 만들어 탐지했다면 휴리스틱 기반 탐지 기법은 특정 디렉토리로의 접근, 악성 행위에 사용된 API와 사용빈도 등 악성 프로그램의 동작들을 시그니쳐로 만든 휴리스틱 시그니쳐(Heuristic Signature)를 의심되는 파일의 동작과 유사도를 측정합니다. 유사도가 일정 수준 이상으로 높으면 악성 프로그램으로 판단하는 것이죠. 😵‍💫

물론 비교를 위한 휴리스틱 시그니쳐들은 악성 프로그램들에 대한 많은 분석들의 결과로 도출되어야 하겠지만요!

그런데 잠깐! 우리 컴퓨터에 있는 프로그램의 동작은 어떻게 파악하는 걸까요? 🤔

동적 휴리스틱 분석과 정적 휴리스틱 분석 방법, 2가지가 존재하는데요.

동적 휴리스틱 분석 방식은 의심되는 파일을 실행시켜 다양한 파일 관련 정보를 수집하는 방식을 말해요. 물론, 악성 프로그램일 경우 동적 휴리스틱 분석 방식을 사용한다고 해서 우리의 컴퓨터가 영향을 받으면 곤란하겠죠? 그래서 분석을 위해 의심되는 파일을 실행할 때는 샌드박스나 에뮬레이터와 같이 운영체제에 영향을 줄 수 없는 분리된 공간을 이용합니다! 한마디로 실험실과 같은 곳이라고 할 수 있겠네요. 😎

정적 휴리스틱 분석은 동적 휴리스틱 분석과는 반대로 의심되는 파일을 실행시키지 않고 파일을 실행시키지 않고 분석이 가능한 프로그램에 넣어 분석하는 방식을 말합니다.

휴리스틱 기반 탐지 기법은 프로그램 동작을 기반으로 하고 있기 때문에 시그니쳐 기반 탐지 기법과 다르게 데이터가 변조되거나 새로운 변종 악성 프로그램이 나오더라도 탐지가 가능한것이 가장 큰 장점입니다. 그렇기 때문에 탐지율은 높은 편이지만 정상적인 프로그램을 악성 프로그램으로 탐지하는 확률도 높은 것이 단점이죠. 😖

오늘의 해킹 알려줄게에서는 백신 프로그램과 그 탐지 원리에 대해서 알아 보았는데요. 재밌으셨나요? 그럼 오늘의 해킹 알려줄게는 여기까지! 모두 안녕~ 👋