트로이안 악성코드의 위장 방식과 방어 전략

위장된 프로그램이 실행된 뒤 벌어지는 일

트로이안은 정상 프로그램처럼 보이도록 만들어 사용자를 속이는 악성 소프트웨어다. 그리스 신화의 트로이 목마처럼 외형은 무해해 보이지만 내부에는 악성 코드가 숨겨져 있다.

바이러스와 달리 스스로 복제하지는 않는다. 대신 사용자가 파일을 내려받아 설치하고 실행하도록 유도한다. 설치 과정에서는 사용자의 동의가 있었던 것처럼 보일 수 있지만, 실제 목적은 백도어 설치, 정보 유출, 시스템 손상처럼 은폐된 악성 행위에 있다. 웹사이트, 이메일, 메시징 앱은 모두 배포 경로가 될 수 있다.

⤢✕

목적에 따라 달라지는 트로이안의 역할

백도어 트로이안은 감염된 시스템에 원격 접근 통로를 만들고, 방화벽이나 보안 시스템을 우회해 지속적인 접근을 가능하게 한다. Back Orifice, Sub7, Netbus가 사례로 언급된다.

뱅킹 트로이안은 금융 정보 탈취에 초점을 맞춘다. 온라인 뱅킹 세션을 가로채거나 인증 정보를 훔치고, 웹 브라우저를 조작해 금융 거래를 변조할 수 있다. Zeus, SpyEye, Dridex가 여기에 속한다.

다운로더 트로이안은 최초 감염 뒤 추가 악성코드를 내려받는 역할을 맡는다. 최소한의 코드로 구성돼 탐지를 피하기 쉬우며, 멀웨어 에코시스템의 첫 단계가 될 수 있다. Emotet과 Trickbot이 사례다.

랜섬웨어 배포 트로이안은 시스템 파일을 암호화하는 랜섬웨어를 설치하고, 복호화를 대가로 금전을 요구한다. TeslaCrypt, Locky, WannaCry가 대표 사례로 제시된다.

정보 탈취 트로이안인 InfoStealer는 키로깅, 스크린 캡처, 클립보드 모니터링으로 정보를 수집한다. 이메일, 패스워드, 개인정보를 모아 공격자에게 전송하며 Redline, Raccoon, Loki가 사례다.

침투는 사용자의 신뢰를 겨냥한다

트로이안은 피싱 이메일로 악성 첨부파일을 보내거나, 특정 개인과 조직을 겨냥한 스피어 피싱을 이용한다. SMS로 악성 링크를 보내는 스미싱도 같은 맥락의 유입 경로다.

무료 소프트웨어, 크랙 프로그램, 불법 다운로드 사이트는 위장된 설치 파일의 배포에 사용될 수 있다. 정품 소프트웨어를 가장하거나 소프트웨어 번들링에 악성 요소를 숨기는 방식도 있다.

웹에서는 드라이브 바이 다운로드, 악성 광고, 취약한 웹 애플리케이션 공격을 통해 감염이 이뤄질 수 있다. 공급망 공격은 개발사 시스템에 침투한 뒤 정품 소프트웨어 업데이트를 감염시키는 방식이며, SolarWinds 공격과 NotPetya가 사례로 언급된다.

⤢✕

단일 제품이 아닌 방어 체계로 대응한다

트로이안 대응은 여러 통제를 함께 적용해야 한다. 안티바이러스와 안티멀웨어 솔루션은 시그니처 기반 및 행위 기반 탐지를 수행하고, 네트워크 모니터링은 비정상 트래픽을 감시한다. 의심 파일은 샌드박스에서 격리 실행해 분석할 수 있으며, EDR은 엔드포인트 행위를 모니터링한다. 방화벽은 의심스러운 인바운드와 아웃바운드 연결을 차단하는 통제 수단이다.

시스템 측면에서는 OS와 소프트웨어를 정기적으로 업데이트하고 패치를 적용해야 한다. 일상 작업에서 관리자 권한 사용을 제한하는 최소 권한 원칙, 승인된 프로그램만 실행하도록 하는 애플리케이션 화이트리스팅, USB 포트와 이동식 미디어 접근 제한도 필요하다.

사용자는 의심스러운 이메일과 첨부파일을 식별할 수 있어야 하며, 소프트웨어 다운로드 시 주의사항과 소셜 엔지니어링 기법을 인지해야 한다. 정기적인 보안 인식 교육은 이 통제를 유지하는 수단이다.

운영 환경에서는 SIEM을 구축하고 이상 행위 탐지를 위한 베이스라인을 설정한다. 침해사고 대응 계획과 정기 훈련, 로그 수집 및 분석 체계를 통한 포렌식 준비성도 함께 갖춘다.

사례가 보여주는 트로이안의 확장성

Zeus(ZeuS/Zbot)

Zeus는 2007년 등장한 금융 정보 탈취 트로이안이다. 키로깅, 폼 가로채기, 스크린 캡처 기능을 제공하며, 웹 인젝션 기술로 정상 금융 웹사이트에 악성 코드를 삽입한다. 범죄 조직이 광범위하게 사용해 수억 달러의 피해가 발생했으며, 모듈식 구조를 바탕으로 지속적인 변형과 진화가 가능했다.

Emotet

Emotet은 2014년 뱅킹 트로이안으로 시작해 다목적 멀웨어 플랫폼으로 진화했다. 정교한 이메일 스팸 캠페인으로 전파됐고, 자체 전파 능력과 기존 이메일 대화를 도용한 스피어 피싱 기법을 사용했다. TrickBot, Ryuk 등의 배포 플랫폼으로도 활용됐다. 2021년 국제 법 집행기관의 공조로 일시 중단됐으나 이후 재등장했다.

Trickbot

Trickbot은 2016년 뱅킹 트로이안으로 출발해 모듈식 멀웨어 플랫폼으로 발전했다. 시스템 정보 수집, 계정 탈취, 네트워크 전파 모듈을 보유하며 Ryuk, Conti 등의 랜섬웨어와 연계한 표적 공격에 사용됐다. 영구적인 지속성과 네트워크 내 횡적 이동 능력, 정교한 회피 기술 및 지속적인 업데이트가 탐지를 어렵게 한다.

SolarWinds 공급망 공격(SUNBURST)

SUNBURST는 2020년 발견된 고도화된 지속 위협(APT) 공격이다. 공격자는 SolarWinds Orion 소프트웨어 업데이트를 통해 트로이안을 배포했다. 최소 18,000개 조직이 악성 업데이트를 설치했지만, 2차 공격은 선별적으로 이뤄졌다. 미국 정부 기관과 Fortune 500 기업 다수가 침해됐고, 침투 뒤 평균 9개월 동안 탐지되지 않았다. 국가 지원 공격 그룹의 소행으로 추정된다.

공격과 방어가 함께 진화하는 영역

트로이안은 폴리모픽·메타모픽 기법으로 코드를 계속 변형해 시그니처 기반 탐지를 피하고, 디스크에 파일을 기록하지 않고 메모리에서만 실행하는 파일리스 멀웨어 형태를 취할 수 있다. 정상 프로세스를 하이재킹하거나 코드 난독화로 분석 도구와 리버스 엔지니어링을 방해하기도 한다.

자동화된 공격 도구는 최소한의 기술로도 효과적인 공격을 가능하게 하며, 머신러닝은 피해자 식별과 공격 최적화에 활용될 수 있다. 딥페이크 기술과 결합하면 소셜 엔지니어링 공격은 더 정교해질 수 있다.

공격 대상도 IoT 장치, 모바일 플랫폼, 클라우드 환경으로 넓어지고 있다. 보안이 취약한 스마트 기기를 통해 네트워크에 침투하거나, 스마트폰의 중요성 증가에 따라 모바일을 겨냥하고, 클라우드 서비스의 취약점을 이용해 대규모 침해를 시도하는 흐름이다.

방어 측면에서는 코드 패턴보다 행동 패턴을 분석하는 행위 기반 탐지, 지속적인 검증과 최소 권한 원칙을 적용하는 제로트러스트 아키텍처, 이상 징후를 실시간으로 탐지하고 대응하는 AI 기반 보안 솔루션, 글로벌 위협 정보 공유가 대응 수단으로 발전하고 있다.