악성코드에 감염돼 해커가 명령하는 데로 악성행위를 하는 좀비PC를 근본적으로 찾아낼 방법이 나왔다. 윈스(대표 김대연)는 PC와 서버의 통신 지연시간 상관관계를 분석해 악성 공격 행위를 탐지, 차단하는 기술을 특허를 취득했다고 23일 밝혔다.
좀비PC는 해커의 지령을 받는 공격명령(C&C) 서버와 통신하는 과정에서 정상 서버 통신과는 다른 ‘지연 시간’이 발생한다. 윈스가 개발한 특허 기술은 좀비PC가 C&C서버로 ‘역 접속(Reverse Connection)’하면서 지연시간이 발생한다는 점을 포착하고 두 객체간 상관관계를 분석해 악성 행위를 탐지하는 기술이다.
역접속은 감염된 내부 좀비 PC가 외부 C&C 서버에 접속하는 행위로, 정상적인 형태를 띠기 때문에 탐지가 어렵다. 기존에도 역접속 탐지기술이 있었지만 이미 알려진 악성코드의 패턴을 파악하거나 별도의 가상머신을 통해 시스템이 부정하게 조작되는 것을 막는 샌드박스 기술이 대부분이다. 알려지지 않거나 샌드박스를 우회하는 악성코드일 경우 역접속의 탐지가 어렵다는 맹점이 있다.
조학수 윈스 연구소장은 “특허 기술은 좀비 PC와 C&C 서버간의 송수신 패킷을 사용자 요청 지연시간(Client time)과 서버 응답 소요시간(server time)을 기반으로 통신 지연 시간을 분석해 C&C 서버와의 역접속을 탐지할 수 있다”고 설명했다.
이 기술은 윈스의 ‘스나이퍼 APTX’ 제품에 적용됐다.
조 소장은 “좀비PC 대응 솔루션이 다수 출시됐지만 탐지를 우회하는 악성코드에 의해 감염된 PC와 C&C 서버의 통신을 통해 발생하는 피해를 막기는 역부족”이라며 “윈스가 특허를 취득한 기술로 기밀정보 유출 등 2차 피해를 막을 수 있을 것”이라고 자신감을 나타냈다. /강은성기자 esther@dt.co.kr
좀비PC는 해커의 지령을 받는 공격명령(C&C) 서버와 통신하는 과정에서 정상 서버 통신과는 다른 ‘지연 시간’이 발생한다. 윈스가 개발한 특허 기술은 좀비PC가 C&C서버로 ‘역 접속(Reverse Connection)’하면서 지연시간이 발생한다는 점을 포착하고 두 객체간 상관관계를 분석해 악성 행위를 탐지하는 기술이다.
역접속은 감염된 내부 좀비 PC가 외부 C&C 서버에 접속하는 행위로, 정상적인 형태를 띠기 때문에 탐지가 어렵다. 기존에도 역접속 탐지기술이 있었지만 이미 알려진 악성코드의 패턴을 파악하거나 별도의 가상머신을 통해 시스템이 부정하게 조작되는 것을 막는 샌드박스 기술이 대부분이다. 알려지지 않거나 샌드박스를 우회하는 악성코드일 경우 역접속의 탐지가 어렵다는 맹점이 있다.
조학수 윈스 연구소장은 “특허 기술은 좀비 PC와 C&C 서버간의 송수신 패킷을 사용자 요청 지연시간(Client time)과 서버 응답 소요시간(server time)을 기반으로 통신 지연 시간을 분석해 C&C 서버와의 역접속을 탐지할 수 있다”고 설명했다.
이 기술은 윈스의 ‘스나이퍼 APTX’ 제품에 적용됐다.
조 소장은 “좀비PC 대응 솔루션이 다수 출시됐지만 탐지를 우회하는 악성코드에 의해 감염된 PC와 C&C 서버의 통신을 통해 발생하는 피해를 막기는 역부족”이라며 “윈스가 특허를 취득한 기술로 기밀정보 유출 등 2차 피해를 막을 수 있을 것”이라고 자신감을 나타냈다. /강은성기자 esther@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
