Windows에서 숨겨진 프로세스와 루트킷을 감지하는 방법

윈도우에서 숨겨진 프로세스와 루트킷을 탐지하는 것은 쉬운 일이 아닙니다. 이러한 악성 프로그램은 시스템 깊숙이 숨어들어 안티바이러스 소프트웨어를 회피하고, 프로세스, 파일, 레지스트리 키를 숨겨 공격자에게 시스템에 대한 완전한 제어 권한을 부여하기 때문입니다. 하지만 체계적인 접근 방식, 적절한 도구, 그리고 모범 사례를 활용하면 감염 징후를 찾아내고, 감염 여부를 확인하고, 치료할 수 있습니다.

이 실용적인 가이드에서는 비정상적인 동작을 식별하고, Windows(및 Linux/macOS)에서 루트킷을 검사하고, 결과를 해석하고, 필요한 경우 부팅 프로세스나 펌웨어에 영향을 미치는 복잡한 감염을 포함하여 모든 종류의 감염을 제거하는 데 필요한 검증된 방법, 전문 도구 및 구체적인 단계를 확인할 수 있습니다.

루트킷: 루트킷이란 무엇이고, 어떻게 설치되며, 왜 그렇게 잘 숨겨지는가

루트킷은 관리자(루트) 권한을 은밀하게 획득하도록 설계된 악성 소프트웨어 입니다. 사용자 모드 또는 커널 모드에서 작동할 수 있으며, 메모리, 부트로더, 심지어 펌웨어/BIOS/UEFI에 상주할 수도 있습니다. 루트킷의 목표는 지속적으로 존재하고 탐지되지 않으면서 데이터 탈취, 추가 악성코드 설치, 보안 조치 무력화, 또는 DDoS 공격이나 스팸 발송을 위한 봇넷에 기기를 추가하는 등의 행위를 가능하게 하는 것입니다.

숨겨진 프로세스를 감지하는 가장 일반적인 루트킷 유형

해충은 활동 수준과 생존 기간에 따라 여러 과로 나뉩니다. 이러한 분류는 가장 효과적인 탐지 기법 과 방제 전략을 선택하는 데 도움이 됩니다.

하드웨어/펌웨어

이 악성 프로그램들은 BIOS/UEFI, 라우터, 디스크 및 기타 구성 요소를 감염시킵니다 . 운영 체제에 직접적인 영향을 미치지는 않지만 펌웨어에 숨어들어 탐지가 매우 어렵고, 윈도우를 재설치한 후에도 살아남을 수 있습니다.

부트로더(부트킷)

이들은 부트 섹터(MBR/UEFI)를 수정 하거나 정식 시스템 부트로더를 대체합니다. 운영 체제 부팅이 완료되기 전에 활성화되므로 숨겨진 상태로 유지될 수 있다는 장점이 있습니다.

메모리(RAM 상주)

이 랜섬웨어는 RAM 에 상주하며 디스크에 영구적인 코드를 삽입하지 않습니다. 일반적으로 재부팅하면 사라지지만, 신속하게 조치하지 않으면 실시간 분석을 방해할 수 있습니다.

애플리케이션(사용자 모드)

이들은 일반적인 응용 프로그램 파일 (오피스, 메모장, 그림판 등)을 교체하거나 패치하여 실행될 때마다 공격자에게 "침투 경로"를 열어주는 방식으로 동작을 변경합니다.

커널 모드

이들은 운영체제 커널 에 침투하여 네이티브 API를 가로채고 커널 구조를 조작할 수 있습니다(예: 활성 프로세스 목록에서 프로세스를 숨기는 것). 특히 위험 합니다.

가상

이러한 프로그램들은 운영체제 아래에 설치되어 가상 머신 에서 운영체제를 실행함으로써 커널을 건드리지 않고 하드웨어와의 상호 작용을 가로챕니다. 탐지하기가 어렵습니다.

알려진 예

그 영향을 이해하려면 실제 사례를 살펴보세요. Stuxnet (산업 파괴 행위 및 은밀한 조작), Flame (오디오, 화면 및 키 캡처를 통한 사이버 스파이 행위), Necurs (봇넷과 연결된 고급 루트킷), ZeroAccess (커널 모드, 컴퓨터를 봇넷에 연결하기 위해 다운로드되는 악성코드) 또는 TDSS/TDL-4 (부팅 시 조기에 로드되어 제거하기 매우 어려움) 등이 있습니다.

경고 신호: 조사를 요청하는 증상

루트킷은 눈에 띄지 않도록 설계되었지만 , 종종 흔적을 남깁니다. 다음과 같은 징후가 여러 개 발견되면 더 자세히 살펴봐야 합니다.

BSOD 또는 잦은 오류 예상치 못한 재시작.
비정상적인 성능: 이유 없이 느림, 충돌, CPU/RAM 사용량이 높아짐.
이상한 브라우저 동작: : 리디렉션, 알 수 없는 북마크.
무단 변경 Windows의 경우: 배경, 작업 표시줄, 날짜/시간, 바이러스 백신 비활성화.
네트워크 문제: 간헐적인 끊김, 트래픽 증가, 인식할 수 없는 연결.

Windows: 효과적인 도구 및 방법

Windows에는 루트킷을 마법처럼 "발견"하는 기본 명령은 없지만, 적절한 보안 관행과 함께 사용하면 매우 효과적인 특수 유틸리티 와 고위험/저위험 보기 비교 도구가 있습니다.

1) Sysinternals: 프로세스 탐색기, Autoruns 및 프로세스 모니터

프로세스 탐색기는 프로세스 및 프로세스 트리, 디지털 서명, 모듈, 활동을 검사하는 데 이상적입니다. 서명되지 않은 프로세스 나 의심스러운 경로를 가진 프로세스를 찾아 평판을 확인할 수 있습니다.

와 자동 실행 시작 시 실행되는 모든 항목(서비스, 작업, 셸 확장 프로그램, 드라이버)을 확인합니다. 체크 해제하거나 제거합니다. 알 수 없는 항목 그리고 다음과 같은 중요 경로를 검토합니다. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run.

프로세스 모니터(ProcMon)는 파일, 레지스트리 및 프로세스 작업을 실시간으로 모니터링합니다. 숨겨진 프로세스를 필터링하여 시스템 경로 또는 시작 키에 대한 비정상적인 접근을 감지합니다.

2) RootkitRevealer(Sysinternals): 저수준 및 고수준 비교

RootkitRevealer는 Windows API가 인식하는 내용 과 디스크/레지스트리에 실제로 존재하는 내용 간의 불일치를 저수준에서 감지합니다. 이를 통해 사용자 모드 및 커널 루트킷에서 흔히 사용되는 은닉 방법을 밝혀낼 수 있습니다.

기능: 상위 수준 보기(API)와 하위 수준 보기(FAT/NTFS 볼륨 및 레지스트리 하위 트리의 원시 콘텐츠)를 비교합니다. 루트킷이 API를 조작하여 파일이나 키를 숨기는 경우, 두 보기 간에 불일치가 나타납니다.

기본 사용법: 거짓 양성을 최소화하려면 다음을 실행하세요. 관리자 권한시스템을 가능한 한 비활성화하고 필요한 경우 실행하십시오. 자동 스캔 옵션 포함:
rootkitrevealer -a -c -m -r C:\ruta\salida.log

사용 가능한 옵션:
-a (검사하고 나가기), -c (CSV 출력), -m (NTFS 메타데이터 표시), -r (레지스트리를 검사하지 마세요). PsExec를 통한 원격 실행도 지원합니다.
psexec \\equipo-remoto -c rootkitrevealer.exe -a C:\Windows\System32\rootkit.log

결과 해석: 각 불일치를 조사해야 합니다. 일반적인 불일치는 다음과 같습니다.
Windows API에서 숨겨짐 (루트킷의 전형적인 예) 일관되지 않은 레지스트리 값 길이, 데이터 유형 불일치, NULL이 포함된 이름 (시스템에서는 볼 수 있지만 Regedit와 같은 도구에서는 볼 수 없는 키) 또는 API, MFT 및 디렉토리 인덱스(스캔 중에 생성/삭제된 파일) 간의 불일치.

NTFS 볼륨은 합법적으로 숨겨져 있습니다. 메타데이터 파일 (표시되도록 설정한 경우, 표시되더라도 놀라지 마세요.) 여기에는 다음이 포함됩니다.
$AttrDef, $BadClus, $BadClus:$Bad, $BitMap, $Boot, $LogFile, $Mft, $MftMirr, $Secure, $UpCase, $Volume, $Extend, $Extend\$Reparse, $Extend\$ObjId, $Extend\$UsnJrnl, $Extend\$UsnJrnl:$Max, $Extend\$Quota.

제한 사항: 범용 스캐너는 없습니다 . 가장 효과적인 스캐너는 온라인/오프라인 비교와 안티바이러스 소프트웨어를 결합한 방식입니다. 안정성을 극대화하려면 신뢰할 수 있는 부팅 가능한 저장 매체 에서 검사를 실행하십시오.

3) 전담 루트킷 스캐너

이는 여러 도구를 결합한 것으로, 각 도구는 서로 다른 계열 과 특정 기술을 다룹니다.

멀웨어 바이트 안티 루트킷: 전체 검사에 유용합니다. 복원 지점을 만들고 실행할 수 있습니다. 대청소 위협을 감지한 후.
지머- 숨겨진 스레드/프로세스 및 커널 조작을 매우 강력하게 감지합니다. 참고: Windows 11과의 호환성이 제한적이라는 보고가 있었습니다.
카스퍼 스키 TDSSKiller: 전문화된 TDSS/TDL 그리고 부트킷.
Windows Defender 오프라인: Windows 외부에서 부팅하여 스캔 전에 맬웨어가 로드되었습니다.
RogueKiller: 숨겨진 프로세스, 변경된 레지스트리 키, 의심스러운 MBR에 유용합니다.

사용 팁: 스캔하기 전에 안전 모드로 재부팅하십시오 (드라이버 및 후킹 항목 수가 줄어듭니다). 부트킷/펌웨어 감염이 의심될 경우 USB 부팅을 우선시하십시오 .

4) 네트워크 및 연결: netstat 및 Wireshark

숨겨진 악성코드는 대개 외부와 통신합니다. CMD를 관리자 권한으로 실행하세요. netstat -ano 연결 및 관련 PID를 나열하고 Process Explorer를 사용하여 PID를 교차 참조합니다.

심층적으로 분석하려면, 와이어 샤크 트래픽을 캡처할 수 있습니다. 인터페이스(Wi-Fi/이더넷)를 선택하고 캡처를 시작한 후 필터링합니다. ip.addr == TU_IP 또는 프로토콜에 의해(예: http) 그리고 확인 IP/포트 미지의 것. 여유롭게 검토할 자료가 있을 때 캡처하는 것을 멈추세요.

5) 부츠 및 수리 부문

부트킷이 의심되는 경우 부트킷으로 부팅하세요. Windows 설치 미디어, "컴퓨터 복구"를 선택하고 콘솔을 열어 다음을 실행합니다. bootrec /fixmbr. 이 단계는 MBR을 복원 약혼한.

6) 아무것도 작동하지 않을 때: 새로 설치

심각하거나 지속적인 감염의 경우, 시스템을 완전히 새로 설치하는 것이 확실한 해결책입니다 . 타사 설치 프로그램을 사용하고, 이전 프로그램이나 설정을 복원하기 전에 반드시 검사하십시오. 공격이 BIOS/UEFI에 영향을 미쳤다면, 제조업체의 공식 유틸리티를 사용하여 펌웨어를 업데이트 해야 합니다.

RootkitRevealer: 요구 사항, 옵션 및 모범 사례

안전하게 사용하려면 "파일 및 디렉터리 백업", "드라이버 로드", "볼륨 유지 관리 작업" 권한이 있는 계정으로 실행하십시오 (관리자 계정은 기본적으로 이러한 권한을 가지고 있습니다). 검사 중에는 모든 애플리케이션을 닫고 시스템을 비워 두어 오탐을 최소화하십시오.

RootkitRevealer는 출력 필터를 적용하지 않는다는 점을 기억하세요(루트킷이 이를 악용할 수 있습니다). " 액세스 거부됨 " 메시지가 표시되는 것은 드문 경우입니다. 이 도구는 모든 파일, 디렉터리 또는 레지스트리 키를 읽을 수 있는 메커니즘을 사용하기 때문입니다. API, MFT 및 인덱스 간의 불일치는 주의해서 해석해야 합니다. 이러한 불일치는 스캔 중에 생성되거나 삭제된 파일 일 수 있습니다.

기타 플랫폼: Linux 및 macOS

이 가이드는 Windows에 초점을 맞추고 있지만, 다른 시스템 도구에 익숙해지는 것이 좋습니다. Linux와 macOS에서는 다음을 사용할 수 있습니다. chkrootkit y rkhunter 알려진 루트킷, 바이너리 변경 사항, 백도어를 찾아내기 위해.

Debian/Ubuntu에서의 일반적인 설치: sudo apt-get install chkrootkit y sudo apt-get install rkhunter. 운영 ./chkrootkit o rkhunter -c 빨간색 경고가 있는지 확인하세요. 시스템을 유지하세요. 패치 및 업데이트 와 sudo apt update && sudo apt upgrade 새로운 변종에 대한 적용 범위를 확대합니다.

이사 스위트 및 유틸리티

위에 언급된 스캐너 외에도 Avast Rootkit Scanner (시그니처, 메모리 및 DLL 분석), Malwarebytes (루트킷, 애드웨어, 스파이웨어 및 커널 무결성 이상 탐지), Lynis (Linux/BSD 보안 감사), MalwareFox (클라우드 기반 키로거 및 백도어 탐지), Sophos (행동 분석 및 레지스트리 키 보호를 통한 재감염 방지)와 같은 잘 알려진 도구를 활용할 수 있습니다.

특정 경우에는 Kaspersky Virus Removal Tool/TDSSKiller 또는 Kaspersky Rescue Disk 와 같은 유틸리티가 특정 바이러스 계열(예: TDSS)에 효과적인 것으로 입증되었습니다. 필요한 경우 Windows Defender Offline을 사용하여 운영 체제 외부에서 부팅하여 추가 검사를 수행할 수 있습니다.

예방: 문을 닫고 스타터를 강화하세요

최선의 방어책은 루트킷이 시스템에 침투하기 전에 차단하는 것입니다. Windows와 애플리케이션을 최신 버전으로 유지하고 , BIOS/UEFI 설정에서 Secure Boot 와 TPM을 활성화하고 , 권한 제한(PoLP)을 설정하고, 크랙 및 불법 복제 소프트웨어를 사용하지 말고, USB 자동 실행을 비활성화하십시오. 정기적으로 백업을 생성하고, 가능하면 오프라인에 저장하십시오.

가시성 향상: 기업 환경에서 SIEM, Sysinternals Suite를 활용한 정기 검토 , 스냅샷/복원 지점, 행동 모니터링을 통해 보안을 강화할 수 있습니다. 시그니처 기반 및 행동 기반 탐지 기능을 갖춘 다계층 보안 솔루션은 위험을 크게 줄여줍니다.

신호, 검증 및 신속한 대응

감염이 의심되는 경우 네트워크 연결을 끊고, 신뢰할 수 있는 저장 매체를 사용하여 오프라인 검사를 실행하고 , 여러 안티루트킷 도구를 함께 사용하고, 부팅 항목을 정리하고, MBR/UEFI를 확인하십시오. 시스템이 심각하게 손상되었거나 공격자가 원격으로 시스템을 제어하는 경우, 포맷 후 재설치하는 것이 시간을 절약하고 재감염을 방지하는 데 도움이 됩니다.

중요 환경이거나 펌웨어에 문제가 있는 것으로 판단될 경우 전문가의 도움을 받는 것을 고려해 보세요 . 일부 수리점에서는 초기 진단 서비스를 제공하며, 수리가 승인되면 최종 가격에서 진단 비용을 차감해주는 경우가 있습니다(서비스 조건은 업체마다 다르므로 사전에 확인하여 예상치 못한 상황을 방지하세요).

운영 노트 및 중요한 뉘앙스

GMER과 같은 일부 도구는 오탐을 발생시키거나 최신 시스템에서 불안정성을 초래할 수 있으므로 주의해서 사용하십시오. 여러 개의 용량이 큰 스캐너를 동시에 실행하지 말고 순차적으로 실행하십시오 . 정리 작업을 시작하기 전에 복원 지점을 생성하고 변경 사항(시작 프로그램 목록, 드라이버, 작업)을 기록해 두면 필요한 경우 되돌릴 수 있습니다.

만능 해결책은 없다는 점을 기억하세요 . 행동 분석, 오프라인 스캔, 그리고 고수준/저수준 비교(RootkitRevealer처럼)를 조합하는 것이 가장 효과적인 방법입니다. 루트킷이 감염된 것이 확인되었지만 명확한 제거 방법을 모르는 경우, 복구 도구를 사용 하거나 시스템을 완전히 새로 설치하는 것을 고려해 보세요.

숨겨진 프로세스의 동작 감지에 대한 알림

행동 기반 탐지는 사용자가 알아챌 수 있는 명확한 징후가 나타나기 전에 전형적인 루트킷 패턴 (API 후킹, 객체 은닉, 의심스러운 시작 동작) 을 찾아냅니다 . 시스템이 여전히 "정상"으로 보일 때 표적 검사를 보완하는 데 유용합니다.