가상 환경 탐지 기법

Transcript

1. 가상 환경 탐지 기법 인하대학교 NewHeart 1 김 태 인
2. Cancel OK 사람들이 제가 누군지 모르는 것 같습니다. 심각한 오류가 발생했습니다 인하대학교 NewHeart 2
3. 인하대학교 NewHeart 3 발표자 소개 김태인 정보통신공학과, 13학번 클럽음악 작곡 음향 프로그래밍 인턴 in 웰비아닷컴
4. 목차 가상 환경 탐지 기법 가상 환경? 탐지를 해야 돼? 어떻게 탐지했냐면… 하아… 4 인하대학교 NewHeart
5. 가상 환경 탐지 기법 가상 환경? 탐지를 해야 돼? 어떻게 탐지했냐면… 하아… 목차 5 인하대학교 NewHeart
6. 가상 환경? 인하대학교 NewHeart 6 가상 머신 응용 소프트웨어 하드웨어 가상 머신
7. 가상 환경? 인하대학교 NewHeart 7 많이 써봐서 잘 아시죠? ^^
8. 가상 환경 탐지 기법 가상 환경? 왜 탐지했어요? 어떻게 탐지했냐면… 하아… 목차 8 인하대학교 NewHeart
9. 왜 탐지했어요? 인하대학교 NewHeart 9 간단합니다.
10. 왜 탐지했어요? 인하대학교 NewHeart 10 시켜서요 ^^…
11. 왜 탐지했어요? 인하대학교 NewHeart 11 가상 환경으로 작업장을 만들거나 게임의 취약점을 분석하는 경우가 많음
12. 가상 환경 탐지 기법 가상 환경? 탐지를 해야 돼? 어떻게 탐지했냐면… 하아… 목차 12 인하대학교 NewHeart
13. 어떻게 탐지했냐면… 인하대학교 NewHeart 13 알고보니 BOB 같은 기수가…
14. 어떻게 탐지했냐면… 인하대학교 NewHeart 14 이제 안 먹힙니다
15. 어떻게 탐지했냐면… 인하대학교 NewHeart 15 이렇게 된 이상 직접 찾아본다!! 오케이!!
16. 어떻게 탐지했냐면… 인하대학교 NewHeart 16 • VirtualBox • VMware • Hyper-V • QEmu • Virtual PC • Parallels Desktop For Mac • Bochs • Sandboxie • DBVM 탐지한 가상환경
17. 어떻게 탐지했냐면… 인하대학교 NewHeart 17 어떻게든 흔적이 남더라!
18. 어떻게 탐지했냐면… 인하대학교 NewHeart 18 일단 확장 툴 깔면 100% 탐지됩니다 ^^
19. 어떻게 탐지했냐면… 인하대학교 NewHeart 19 시스템 정보로도 탐지할게 많아요
20. 어떻게 탐지했냐면… 인하대학교 NewHeart 20 Virtual PC는 독자적인 명령어를 사용 확장 툴 설치했다면 더 쉽게 탐지 가능
21. 어떻게 탐지했냐면… 인하대학교 NewHeart 21 VMware는 독자적인 통신 포트를 사용 EAX와 EDX에 특정 코드를 넣고 IN 명령어를 수행하여 확인 가능
22. 어떻게 탐지했냐면… 인하대학교 NewHeart 22 패러렐즈는…… 걸어다니는 미니언이었습니다…
23. 어떻게 탐지했냐면… 인하대학교 NewHeart 23 특정 DLL이 로드되었는지로 확인 가능 NTDLL.DLL의 후킹 여부 및 방식으로도 확인 가능
24. 어떻게 탐지했냐면… 인하대학교 NewHeart 24 와일드카드를 원하십니까?
25. 어떻게 탐지했냐면… 인하대학교 NewHeart 25 DSDT, FADT, RSDT를 조사하면 상황 종료 HKLM\\HARDWARE\\ACPI에 있는 VirtualBox VMware Hyper-V Parallels
26. 가상 환경 탐지 기법 가상 환경? 탐지를 해야 돼? 어떻게 탐지했냐면… 하아… 목차 26 인하대학교 NewHeart
27. 하아… 인하대학교 NewHeart 27 Cheat Engine을 아십니까?
28. 하아… 인하대학교 NewHeart 28 커널 디버깅이 가능한 초소형 가상 머신 DBVM (Dark Byte’s Virtual Machine)
29. 하아… 인하대학교 NewHeart 29 탐지 코드는 만들었다! 하지만…
30. 하아… 인하대학교 NewHeart 30 1. 디버깅이 끝나도 드라이버가 올라가있음 2. Cheat Engine을 꺼도 드라이버가 올라가있음 3. 드라이버에 IOCTL 쿼리를 날렸는데 답이 안옴 4. 언로드 하려면 재부팅 해야함 5. 오픈 소스라서 드라이버 이름을 바꿀 수 있음 6. 파일 이름도 바꿀 수 있음 7. Cheat Engine도 오픈소스인건 마찬가지임 8. 역시 파일 이름을 바꿀 수 있음 9. 작정하고 고치면 잡을 길이 거의 없음 10. 노답 DBVM이 짜증나는 이유 ^^
31. 하아… 인하대학교 NewHeart 31 제보를 기다리고 있습니다…
32. Cancel OK 모르는 거 물어보시면 Cancel을 누르겠습니다… 질문 받습니다 인하대학교 NewHeart 32
33. Cancel OK 전 이제 좀 쉬겠습니다…… 감사합니다 인하대학교 NewHeart 33
34. 인하대학교 NewHeart 34