๊ธฐ๋ณธ์‘์šฉ


๊ธฐ๋ณธ ์‘์šฉ ์—์ด์ „ํŠธ๋Š” ์‚ฌ์šฉ์ž๊ฐ€ ์ง€์ •ํ•œ ํ”„๋กœ์„ธ์Šค๋ฅผ ์‹œ์ž‘, ์ข…๋ฃŒ, ๊ฐ์‹œํ•˜๋Š” ์—์ด์ „ํŠธ์ž…๋‹ˆ๋‹ค.
๊ธฐ๋ณธ ์‘์šฉ์ด๋ž€ ์‘์šฉํ”„๋กœ๊ทธ๋žจ์ด ๋‹จ์ผ ํ”„๋กœ์„ธ์Šค๋ฅผ ์ด๋ฃจ๋Š” ๊ฒƒ์„ ์˜๋ฏธํ•ฉ๋‹ˆ๋‹ค.
์‹คํ–‰ ๋ฐ”์ด๋„ˆ๋ฆฌ์™€ ๋ฉ”๋ชจ๋ฆฌ์— ์ƒ์ฃผํ•˜๋Š” ํ”„๋กœ์„ธ์Šค์˜ ์ด๋ฆ„์€ ๋™์ผํ•ด์•ผ ํ•ฉ๋‹ˆ๋‹ค.ย 
์‹คํ–‰ ๋ฐ”์ด๋„ˆ๋ฆฌ ํ”„๋กœ๊ทธ๋žจ์€ ๋ชจ๋“  ๋…ธ๋“œ ์ƒ์—์„œ ๊ฐ™์€ ๊ฒฝ๋กœ์— ์„ค์น˜๋˜์–ด์•ผ ํ•˜๋ฉฐ, ๋ฏธ๋Ÿฌ ๋””์Šคํฌ๋‚˜ ๊ณต์œ  ๋””์Šคํฌ์™€ ๊ฐ™์€ ๋ฐ์ดํ„ฐ ์˜์—ญ์— ์„ค์น˜๋  ์ˆ˜ ์—†์Šต๋‹ˆ๋‹ค.


์ด ํŽ˜์ด์ง€์˜ ์ฃผ์š” ๋‚ด์šฉ

์ถ”๊ฐ€

๊ธฐ๋ณธ ์‘์šฉ ๋ฆฌ์†Œ์Šค ์ƒˆ๋กœ ์ถ”๊ฐ€ํ•˜๋Š” ๋ฐฉ๋ฒ•

๊ธฐ๋ณธ์‘์šฉ ๋ฆฌ์†Œ์Šค๋ฅผ ๊ทธ๋ฃน์— ์ถ”๊ฐ€ํ•ฉ๋‹ˆ๋‹ค.

  1. ๊ทธ๋ฃน ์„ ํƒ โ†’ ๋งˆ์šฐ์Šค ์šฐ ํด๋ฆญย โ†’ ๋ฆฌ์†Œ์Šค ์ถ”๊ฐ€๋ฅผ ์„ ํƒํ•ฉ๋‹ˆ๋‹ค.

  2. ๋ฆฌ์†Œ์Šค ์œ„์ž๋“œ์—์„œย ๊ธฐ๋ณธ์‘์šฉ์„ย ์„ ํƒํ•˜๊ณ  [Next] ๋ฒ„ํŠผ์„ ํด๋ฆญํ•ฉ๋‹ˆ๋‹ค.

  3. ๋ฆฌ์†Œ์Šค ์ด๋ฆ„์„ ์ž…๋ ฅํ•˜๊ณ  ํ”„๋กœ์„ธ์Šค ์ด๋ฆ„์„ ์ž…๋ ฅํ•ฉ๋‹ˆ๋‹ค.
    ํ”„๋กœ์„ธ์Šค ๋Š” ์˜ค๋ฅธ ์ชฝ์˜ย ย [ํŒŒ์ผ] ๋ฒ„ํŠผ์„ ๋ˆŒ๋Ÿฌ ย ๋‹ค์ด์–ผ๋กœ๊ทธ๋กœ ์ถ”๊ฐ€๊ฐ€ ๊ฐ€๋Šฅ ํ•ฉ๋‹ˆ๋‹ค.

    ๊ธฐ๋ณธ์‘์šฉ ํ”„๋กœ๊ทธ๋žจ์„ ์‹คํ–‰ ํ•  ์‚ฌ์šฉ์ž์˜ ๊ธฐ๋ณธ๊ฐ’์€ MCCS ํ”„๋กœ์„ธ์Šค๋ฅผ ์‹คํ–‰ํ•˜๋Š” ์‚ฌ์šฉ์ž์ž…๋‹ˆ๋‹ค.
    ๋งŒ์•ฝ ๊ธฐ๋ณธ๊ฐ’์ด ์•„๋‹Œ ๋‹ค๋ฅธ ์‚ฌ์šฉ์ž๋กœ ํ”„๋กœ์„ธ์Šค๋ฅผ ์‹คํ–‰ํ•ด์•ผ ํ•œ๋‹ค๋ฉด ๋‹ค์Œ๊ณผ ๊ฐ™์ด ์‹คํ–‰๊ณ„์ •์„ ์ง€์ •ํ•ด ์ฃผ์‹œ๊ธฐ ๋ฐ”๋ž๋‹ˆ๋‹ค.


    [๊ทธ๋ฆผ] ๊ธฐ๋ณธ์‘์šฉ ๋ฆฌ์†Œ์Šค ์ถ”๊ฐ€ ํ™”๋ฉด


  4. ์ถ”๊ฐ€ ์„ค์ •์œผ๋กœ ๋ฐ์Šคํฌํƒ‘ ์ƒํ˜ธ์ž‘์šฉ ์˜ต์…˜๊ณผ ๊ฐ•์ œ ์ข…๋ฃŒ ์˜ต์…˜์„ ์„ ํƒํ•ฉ๋‹ˆ๋‹ค.

    [๊ทธ๋ฆผ] ๊ธฐ๋ณธ์‘์šฉ ๋ฆฌ์†Œ์Šค ์ถ”๊ฐ€์„ค์ • ํ™”๋ฉด

  5. ์™„๋ฃŒ ๋ฒ„ํŠผ์„ ํด๋ฆญํ•˜๋ฉด ๊ธฐ๋ณธ ์‘์šฉ ๋ฆฌ์†Œ์Šค๊ฐ€ ์ถ”๊ฐ€๋ฉ๋‹ˆ๋‹ค.

๋ฆฌ์†Œ์Šค ๋ณต์‚ฌ ๋ฐ ๋ถ™์—ฌ๋„ฃ๊ธฐ

์ƒˆ๋กœ์šด ๋ฆฌ์†Œ์Šค๋ฅผ ์ƒ์„ฑ ํ•  ๋•Œ ํ•„์ˆ˜ ์ž…๋ ฅ์ด ๋˜์–ด์•ผ ํ•˜๋Š” ์†์„ฑ ๊ฐ’์„ ๋งค๋ฒˆ ์ƒˆ๋กœ ์ž…๋ ฅํ•˜๊ธฐ๊ฐ€ ๋ฒˆ๊ฑฐ๋กญ์Šต๋‹ˆ๋‹ค.

๊ธฐ์กด์— ์กด์žฌํ•˜๋Š” ๋ฆฌ์†Œ์Šค์™€ ์œ ์‚ฌํ•œ ์„ค์ • ๊ฐ’์„ ๋Œ€๋ถ€๋ถ„ ์œ ์ง€ํ•œ ์ƒํƒœ์—์„œ ๋ฆฌ์†Œ์Šค๋ฅผ ์ถ”๊ฐ€ ํ•˜๊ธฐ ์œ„ํ•ด์„œ๋Š” ๊ด€๋ฆฌ ์›น์ฝ˜์†” ํ™”๋ฉด์—์„œ ๋ฆฌ์†Œ์Šค ๋ณต์‚ฌ ๋ฐ ๋ถ™์—ฌ๋„ฃ๊ธฐ ๊ธฐ๋Šฅ์„ ์‚ฌ์šฉํ•˜์—ฌ ์†์‰ฝ๊ฒŒ ๋ฆฌ์†Œ์Šค๋ฅผ ์ถ”๊ฐ€ํ•  ์ˆ˜ ์žˆ์Šต๋‹ˆ๋‹ค.

๋ฆฌ์†Œ์Šค ๋ณต์‚ฌ์˜ ๋Œ€์ƒ์€ ๊ฐœ๋ณ„ ๋ฆฌ์†Œ์Šค์ด๋ฉฐ, ๋ถ™์—ฌ๋„ฃ๊ธฐ์˜ ๋Œ€์ƒ์€ ํ•ด๋‹น ๊ทธ๋ฃน ๋˜๋Š” ํƒ€ ๊ทธ๋ฃน์ž…๋‹ˆ๋‹ค.

๋ฆฌ์†Œ์Šค ๋ถ™์—ฌ๋„ฃ๊ธฐ์˜ ์†์„ฑ๊ฐ’์€ ๊ธฐ๋ณธ์ ์œผ๋กœ ๋ณต์‚ฌํ•œ ๋ฆฌ์†Œ์Šค์˜ ์†์„ฑ๊ฐ’์„ ์œ ์ง€ํ•ฉ๋‹ˆ๋‹ค.

๋”ฐ๋ผ์„œ ๋ถ™์—ฌ๋„ฃ๋Š” ๋ฆฌ์†Œ์Šค์˜ ์†์„ฑ์„ ์ƒํ™ฉ์— ๋งž๊ฒŒ ๋ณ€๊ฒฝํ•ด์•ผ ๋ณต์‚ฌํ•œ ๋ฆฌ์†Œ์Šค์˜ ์†์„ฑ๊ณผ ์ค‘๋ณต๋˜์ง€ ์•Š์Šต๋‹ˆ๋‹ค.

ย 

๋ฆฌ์†Œ์Šค ๋ณต์‚ฌํ•˜๊ธฐ

  1. ๋ณต์‚ฌํ•˜๊ณ ์ž ํ•˜๋Š” ๋ฆฌ์†Œ์Šค์— ๋Œ€ํ•ด์„œ ๋งˆ์šฐ์Šค ์šฐ ํด๋ฆญ โ†’ ๋ฆฌ์†Œ์Šค ๋ณต์‚ฌ๋ฅผ ์„ ํƒํ•ฉ๋‹ˆ๋‹ค.
  2. ๋ณต์‚ฌํ•œ ๋ฆฌ์†Œ์Šค๋ฅผ ๋ถ™์—ฌ๋„ฃ๊ธฐ ํ•  ๋Œ€์ƒ์ธ ๊ทธ๋ฃน์— ๋งˆ์šฐ์Šค ์šฐ ํด๋ฆญ โ†’ย ๋ฆฌ์†Œ์Šค ๋ถ™์—ฌ๋„ฃ๊ธฐ๋ฅผ ์„ ํƒํ•ฉ๋‹ˆ๋‹ค.


๋ฆฌ์†Œ์Šค ๋ถ™์—ฌ๋„ฃ๊ธฐ

์ƒˆ๋กœ ์ถ”๊ฐ€ ํ•  ๋ฆฌ์†Œ์Šค์˜ ๋„คํŠธ์›Œํฌ ์–ด๋Œ‘ํ„ฐ๋ฅผ ์„ ํƒํ•˜์‹œ๊ณ  ๋ฆฌ์†Œ์Šค ์ด๋ฆ„์„ ๋ช…๋ช…ํ•˜๋ฉด ๋ฉ๋‹ˆ๋‹ค.

๊ธฐ๋ณธ์ ์œผ๋กœ ๋ถ™์—ฌ๋„ฃ๊ธฐํ•œ ๋ฆฌ์†Œ์Šค ์ด๋ฆ„์€ ๋ณต์‚ฌํ•œ ๋ฆฌ์†Œ์Šค์˜ ์ด๋ฆ„์— "_1" ์ด ์ ‘๋ฏธ์–ด๋กœ ์ œ๊ณต๋ฉ๋‹ˆ๋‹ค. ๋ฆฌ์†Œ์Šค ํƒ€์ž…์— ๋”ฐ๋ผ ํ•„์š”ํ•œ ์ •๋ณด๋ฅผ ๋” ์ž…๋ ฅํ•ด ํ•ฉ๋‹ˆ๋‹ค.


[๊ทธ๋ฆผ] ๋„คํŠธ์›Œํฌ ์นด๋“œ ๋ฆฌ์†Œ์Šค ๋ถ™์—ฌ๋„ฃ๊ธฐ ํ™”๋ฉด


์‚ญ์ œ

ํ•ด๋‹น ๋ฆฌ์†Œ์Šค ์„ ํƒย  โ†’ ๋งˆ์šฐ์Šค ์šฐ ํด๋ฆญย โ†’ ๋ฆฌ์†Œ์Šค ์‚ญ์ œ๋ฅผย ์„ ํƒํ•ฉ๋‹ˆ๋‹ค.


์ƒํƒœ

๋‹ค์Œ ํ…Œ์ด๋ธ”์€ ์ƒํƒœ์™€ ์‚ฌ์šฉ์ž ๋ช…๋ น์— ์˜ํ•ด ๋ฐœ์ƒ๋˜๋Š” MCCS ๋ฆฌ์†Œ์Šค์˜ ์ƒํƒœ ๋ณ€ํ™”์— ๋Œ€ํ•œ ์„ค๋ช…์ž…๋‹ˆ๋‹ค.

๊ธฐ๋ณธ์‘์šฉ ์—์ด์ „ํŠธ:์ผ๋ฐ˜์ ์ธ ํ”„๋กœ์„ธ์Šค๋ฅผ ๊ด€๋ฆฌํ•ฉ๋‹ˆ๋‹ค.

์ƒํƒœAgent ๊ฐ€๋Šฅ ๋ช…๋ น์„ค๋ช…

์˜จ๋ผ์ธ

๋“ฑ๋ก๋œ ํ”„๋กœ์„ธ์Šค๊ฐ€ ์‹คํ–‰ ์ค‘์ธ ์ƒํƒœ์ž…๋‹ˆ๋‹ค.

์˜คํ”„๋ผ์ธ

์‹คํ–‰ ์ค‘์ธ ํ”„๋กœ์„ธ์Šค์— ์ข…๋ฃŒ ์‹ ํ˜ธ(TerminateProcess)๋ฅผ ๋ณด๋‚ด์–ด ํ•ด๋‹น ํ”„๋กœ์„ธ์Šค๋ฅผ ์ข…๋ฃŒํ•ฉ๋‹ˆ๋‹ค.

๋ชจ๋‹ˆํ„ฐ๋ง

๋ฉ”๋ชจ๋ฆฌ์—์„œ ํ”„๋กœ์„ธ์Šค๊ฐ€ ์‹คํ–‰ ์ค‘์ธ์ง€ ์ฃผ๊ธฐ์ ์œผ๋กœ ๊ฐ์‹œํ•ฉ๋‹ˆ๋‹ค.
ํ”„๋กœ์„ธ์Šค์˜ ๋‚ด๋ถ€์ ์ธ ๋™์ž‘ ์ƒํƒœ๋‚˜ ์ •์ƒ์ ์ธ ์‘๋‹ต ์—ฌ๋ถ€๋Š” ํ™•์ธํ•˜์ง€ ์•Š์Šต๋‹ˆ๋‹ค.
๋ชจ๋‹ˆํ„ฐ ๋ฐฉ๋ฒ•์€ ํ•ด๋‹น ํ”„๋กœ์„ธ์Šค์˜ ID (PID) ์™€ ์ ˆ๋Œ€ ๊ฒฝ๋กœ๋ฅผ ํฌํ•จํ•œ ํ”„๋กœ์„ธ์Šค ์ด๋ฆ„์œผ๋กœ ๋™์ž‘ ์ƒํƒœ๋ฅผ ํ™•์ธํ•ฉ๋‹ˆ๋‹ค.

์˜คํ”„๋ผ์ธ

๋“ฑ๋ก๋œ ํ”„๋กœ์„ธ์Šค๊ฐ€ ์ข…๋ฃŒ๋œ ์ƒํƒœ์ž…๋‹ˆ๋‹ค.

์˜จ๋ผ์ธ

๊ธฐ๋ณธ ์‘์šฉ์˜ ์†์„ฑ ์ค‘ Path์— ์ง€์ •๋œ ํ”„๋กœ๊ทธ๋žจ์„ ์‹คํ–‰ํ•ฉ๋‹ˆ๋‹ค.
Path ์†์„ฑ์€ ์‹œ์Šคํ…œ ์ƒ์— ์กด์žฌํ•˜๋Š” ํ”„๋กœ๊ทธ๋žจ์˜ ์ ˆ๋Œ€ ๊ฒฝ๋กœ์ž…๋‹ˆ๋‹ค.

์˜ˆ๋ฅผ ๋“ค๋ฉด 'notepad.exe readme.txt' ๋ผ๋Š” ๋ช…๋ น์„
์‚ฌ์šฉํ•˜๋Š” ํ”„๋กœ๊ทธ๋žจ์„ ๊ธฐ๋ณธ ์‘์šฉ ์—์ด์ „ํŠธ๋กœ ๊ตฌ์„ฑํ•œ๋‹ค๋ฉด ๋‹ค์Œ๊ณผ ๊ฐ™์ด ํ‘œํ˜„ํ•  ์ˆ˜ ์žˆ์Šต๋‹ˆ๋‹ค.
Path: c:\windows\system32\notepad.exe
Arguments: readme.txt

๋ชจ๋‹ˆํ„ฐ๋ง

๋ฉ”๋ชจ๋ฆฌ์—์„œ ํ”„๋กœ์„ธ์Šค๊ฐ€ย ์‹คํ–‰ ์ค‘์ธ์ง€ ์ฃผ๊ธฐ์ ์œผ๋กœ ๊ฐ์‹œํ•ฉ๋‹ˆ๋‹ค.
ํ”„๋กœ์„ธ์Šค์˜ ๋‚ด๋ถ€์ ์ธ ๋™์ž‘ ์ƒํƒœ๋‚˜ ์ •์ƒ์ ์ธ ์‘๋‹ต ์—ฌ๋ถ€๋Š” ํ™•์ธํ•˜์ง€ ์•Š์Šต๋‹ˆ๋‹ค.
๋ชจ๋‹ˆํ„ฐ ๋ฐฉ๋ฒ•์€ ํ•ด๋‹น ํ”„๋กœ์„ธ์Šค์˜ ID (PID) ์™€ ์ ˆ๋Œ€ ๊ฒฝ๋กœ๋ฅผ ํฌํ•จํ•œ ํ”„๋กœ์„ธ์Šค ์ด๋ฆ„์œผ๋กœ ๋™์ž‘ ์ƒํƒœ๋ฅผ ํ™•์ธํ•ฉ๋‹ˆ๋‹ค.

์žฅ์• 

์˜จ๋ผ์ธ ์ƒํƒœ์ธ ํ”„๋กœ์„ธ์Šค๊ฐ€ ์—์ด์ „ํŠธ์˜ ์ข…๋ฃŒ ๋ช…๋ น์„ ๊ฑฐ์น˜์ง€ ์•Š๊ณ 
์˜คํ”„๋ผ์ธ ์ƒํƒœ๋กœ ๋ณ€๊ฒฝ๋˜์—ˆ์„ ๊ฒฝ์šฐ์— ์žฅ์•  ์ƒํƒœ๋กœ ์ •์˜ํ•ฉ๋‹ˆ๋‹ค.

์˜จ๋ผ์ธ

๊ธฐ๋ณธ ์‘์šฉ์˜ ์†์„ฑ ์ค‘ Path์— ์ง€์ •๋œ ํ”„๋กœ๊ทธ๋žจ์„ ์‹คํ–‰ํ•ฉ๋‹ˆ๋‹ค.
Path ์†์„ฑ์€ ์‹œ์Šคํ…œ ์ƒ์— ์กด์žฌํ•˜๋Š” ํ”„๋กœ๊ทธ๋žจ์˜ ์ ˆ๋Œ€ ๊ฒฝ๋กœ์ž…๋‹ˆ๋‹ค.

์˜ˆ๋ฅผ ๋“ค๋ฉด notepad.exe, readme.txt ๋ผ๋Š” ๋ช…๋ น์„
์‚ฌ์šฉํ•˜๋Š” ํ”„๋กœ๊ทธ๋žจ์„ ๊ธฐ๋ณธ ์‘์šฉ ์—์ด์ „ํŠธ๋กœ ๊ตฌ์„ฑํ•œ๋‹ค๋ฉด ๋‹ค์Œ๊ณผ ๊ฐ™์ด ํ‘œํ˜„ํ•  ์ˆ˜ ์žˆ์Šต๋‹ˆ๋‹ค.
Path: c:\windows\system32\notepad.exeย 
Arguments: readme.txt

์˜คํ”„๋ผ์ธ์‹คํ–‰์ค‘์ธ ํ”„๋กœ์„ธ์Šค์— ์ข…๋ฃŒ ์‹ ํ˜ธ(TerminateProcess)๋ฅผ ๋ณด๋‚ด์–ด ํ•ด๋‹น ํ”„๋กœ์„ธ์Šค๋ฅผ ์ข…๋ฃŒํ•ฉ๋‹ˆ๋‹ค.