책 목록으로 돌아가기

**⚠️ 소스 파일 주의**: 소스 파일명은 "The Shellcoder's Handbook (Chris Anley)"으로 되어 있으나, 실제 내용은 이 책입니다.

Rootkits: Subverting the Windows Kernel — Greg Hoglund & James Butler (2005)

⚠️ 소스 파일 주의: 소스 파일명은 "The Shellcoder's Handbook (Chris Anley)"으로 되어 있으나, 실제 내용은 이 책입니다.

핵심 사실

• 저자: Greg Hoglund (HBGary CEO, rootkit.com 창립자) + James Butler (VICE 탐지도구 개발자)
• 출판: Addison-Wesley Professional, 2005 / ISBN: 0-321-29431-9 / 352페이지
• 핵심 명제: 루트킷은 "영속적·탐지불가 접근"을 제공하는 코드 집합이며, 커널을 조작하는 순간 OS가 보고하는 모든 것이 거짓이 된다
• 관점: 공격자 시점으로 기법을 설명한 뒤, 마지막 챕터에서 방어로 전환

루트킷이란 무엇인가

정의

루트킷 = "root(최고 권한)" + "kit(도구 모음". 시스템에 영속적이고 탐지 불가능한 존재감을 유지하는 프로그램 집합.

핵심 키워드는 "탐지 불가능(undetectable)" — 모든 기술과 트릭이 코드와 데이터를 숨기기 위한 것.

두 가지 핵심 기능

1. 원격 명령·제어(Remote C&C): 파일 접근, 강제 재시작, 커맨드 셸(/bin/sh, cmd.exe) 획득
2. 소프트웨어 도청(Software Eavesdropping): 키스트로크 가로채기, 패킷 스니핑, 이메일 열람, 암호화 키 탈취

공격자 동기

• 초기 침투 비용이 크므로 획득한 거점을 유지하려 함
• 내부 네트워크 깊숙이 추가 공격 거점 확보
• 정보 수집(인텔리전스) — 장기 모니터링
• 논리 폭탄(Logic Bomb) 심기 — 특정 시각에 시스템 파괴

기술 구조 — 10개 챕터 핵심

1장. 흔적 남기지 않기 (Leave No Trace)

• 방어자는 모든 경로를 막아야 하나, 공격자는 하나만 찾으면 된다 — 숫자는 공격자 편
• 루트킷 종류: 1세대(일반 프로그램) → 현재(디바이스 드라이버) → 미래(마이크로코드/FPGA 펌웨어)
• 탐지 대응: HIPS(Host Intrusion Prevention System) vs NIDS(Network IDS) 우회 전략

2장. 커널 전복 (Subverting the Kernel)

• OS를 변조하면 OS가 보고하는 모든 정보가 거짓이 된다 — 이것이 커널 루트킷의 핵심 레버리지
• 커널 주요 구성 요소와 공격 포인트:

• 루트킷 부팅 시 생존 방법 (재부팅 후에도 유지):
• Run 레지스트리 키 (고위험, 모든 바이러스 스캐너 체크)
• 기존 .sys/.exe 파일 Trojan화 — 보안 소프트웨어 감염이 역설적으로 가장 효과적
• 드라이버로 등록
• on-disk 커널 직접 수정
• 부트로더 수정

3장. 하드웨어 연결 — Ring 0의 세계

• Ring 0 (커널 모드): CPU 최고 특권 수준 — 하드웨어 직접 접근 가능
• Ring 3 (사용자 모드): 일반 응용 프로그램 수준, 커널 서비스 경유 강제
• 핵심 테이블:
• SSDT (System Service Descriptor Table): 사용자 모드 API 호출을 커널 함수로 연결하는 디스패치 테이블 — 후킹의 핵심 표적
• IDT (Interrupt Descriptor Table): 인터럽트 처리 테이블
• MDT (Memory Descriptor Tables): 가상-물리 메모리 매핑
• CR0 레지스트: 메모리 보호 비트 포함 — 루트킷이 이를 끄면 읽기전용 메모리에도 쓰기 가능

4장. 후킹 기법 (Hooking)

가장 고전적이고 광범위하게 쓰이는 루트킷 기법.

유저랜드 후킹:

• DLL 인젝션: 대상 프로세스에 자신의 DLL 주입 → 함수 포인터 교체
• CreateRemoteThread() 활용

커널 후킹:

• SSDT 후킹: NtQuerySystemInformation 같은 syscall 교체 → 프로세스 목록에서 삭제
• netstat.exe로 포트가 보이면 숨겨진 프로세스가 노출되는 약점 존재

하이브리드 접근: 탐지 우회를 위해 유저랜드 + 커널 혼합

5장. 런타임 패칭 (Runtime Patching)

• Detour Patching: 함수 프리앰블에 5바이트 무조건 점프(JMP) 삽입 → 자신의 함수로 실행 흐름 전환
• Jump Templates: 여러 패칭 변형을 재사용 가능한 템플릿으로 관리
• Cavern Infection: 메모리 페이지 하단의 사용되지 않는 공간에 코드 삽입
• 탐지가 비교적 어렵고 강력 — "가장 강한 프로그램 로직 변조 방법"

6장. 레이어드 드라이버 (Layered Drivers)

• Windows 드라이버 체인: 하드웨어 드라이버 위에 레이어 드라이버를 삽입해 데이터 가로채기
• KLOG 루트킷: 키보드 드라이버 위에 레이어 삽입 → 모든 키스트로크 로깅
• 파일 필터 드라이버: 저장/읽기 과정에서 데이터 조작·은닉 가능

7장. DKOM — 직접 커널 오브젝트 조작 (Direct Kernel Object Manipulation)

후킹 없이 메모리 데이터 구조 자체를 직접 변조하는 방식. 탐지 우회에 더 효과적.

프로세스 은닉 메커니즘:

KPRCB → fs:0x124 → ETHREAD → KTHREAD → EPROCESS
                                        ↓
EPROCESS ↔ EPROCESS ↔ EPROCESS  (이중 연결 리스트)
               ↑
      이 노드의 FLINK/BLINK를 조작하면 프로세스가 목록에서 사라짐

• PsGetCurrentProcess() → EPROCESS 구조체 탐색 → LIST_ENTRY 조작
• OS 버전별 오프셋이 다름 (NT:0x108 / 2000:0x12c / XP:0xc8)

토큰 권한 상승:

• EPROCESS 내 토큰 오프셋에 직접 접근 → 권한 그룹/SID 수정
• Win32 API 없이 커널에서 직접 처리 → 특권 검사 우회

8장. 하드웨어 조작

• 장점: 소프트웨어 계층 아래에 위치 → 최상의 스텔스
• 단점: 플랫폼 특이적 — 범용 루트킷 불가능
• 펌웨어 수정: BIOS를 IDA-Pro로 역공학 → 실행 경로 패칭
• 소프트웨어 로더로 펌웨어 메모리 칩에 쓰기 (물리 접근 불필요)
• 라우터·임베디드 시스템의 경우 펌웨어 업그레이드 기능 악용
• x86 포트 접근: in/out 명령으로 하드웨어 컨트롤러 직접 제어

9장. 커버트 채널 (Covert Channels)

탐지 없이 외부와 통신하기 위한 기법.

핵심 원칙: "이미 존재하는 트래픽 속에 숨어라"

프로토콜 위장:

• DNS 포트 53 (UDP/TCP): 방화벽도 허용, 패킷에 데이터 삽입
• HTTP 포트 80 / HTTPS 포트 443 (암호화): IDS 분석 회피
• 주의: 암호화된 고엔트로피 데이터는 오히려 눈에 띌 수 있음

트래픽 패턴:

• 새벽 3시 갑작스러운 스파이크 = 즉각 의심
• 보수적 트래픽 유지 + 페이로드 스테가노그래피/암호화

커널 모드 네트워킹:

• TDI (Transport Data Interface): 기존 TCP/IP 스택 활용 — 쉽지만 데스크탑 방화벽에 탐지 가능
• NDIS: raw 패킷 직접 읽기·쓰기 — 방화벽 우회 가능하나 자체 TCP/IP 스택 구현 필요
• Raw 패킷 조작: MAC 주소·소스 IP·소스 포트 완전 제어 가능

10장. 루트킷 탐지

탐지는 OS에게 "거짓말"을 잡아내는 것 — 진실을 API 없이 직접 확인해야 한다.

존재 탐지 (Presence Detection):

• SSDT 변조 여부 확인 (체크섬, 포인터 비교)
• 드라이버 목록과 실제 로드된 모듈 비교
• 레지스트리 API vs. 파일 직접 파싱 비교 (RootkitRevealer 방식)

행동 탐지 (Behavior Detection):

• RootkitRevealer (Mark Russinovich & Bryce Cogswell, Sysinternals): 레지스트리·파일시스템을 API 없이 직접 파싱 → API 결과와 비교해 불일치 탐지
• SwapContext 후킹: 커널 스케줄러 컨텍스트 스왑 시 EPROCESS 리스트 연결 여부 검증 → DKOM으로 숨겨진 프로세스도 탐지 가능
• "스케줄러는 숨겨진 스레드도 실행해야 한다" — 이것이 DKOM 우회의 약점

검출의 한계:

• 탐지 코드가 공개되는 순간 공격자가 우회법을 개발 — 끝없는 군비 경쟁
• 하드웨어 기반 루트킷 vs. 하드웨어 기반 탐지 도구(Copilot, University of Maryland) — 최전선

실전 인사이트

방어자에게 불리한 수학적 구조

"공격자는 방어자가 생각하지 못한 한 가지만 찾으면 된다. 방어자는 공격자가 할 수 있는 모든 것을 생각해야 한다."

루트킷 설계 원칙 (공격자 시점)

1. 최소 발자국: 파일시스템 미사용 → 탐지 최소화
2. 고유 구조: 알려진 패턴 회피 — 바이러스 스캐너는 알려진 것만 찾는다
3. 스텔스 우선: 불필요한 기능 제거 (Back Orifice처럼 CD 트레이 여는 기능은 위험)
4. 부팅 생존: 재부팅 후에도 지속 — 가장 까다로운 요구사항

버퍼 오버플로우의 미래

저자 예측 (2005년 기준): "향후 수십 년 안에 버퍼 오버플로우는 사망할 것 — 타입 안전 언어·컴파일러·VM 기술이 발전함에 따라. 그러나 루트킷은 사라지지 않는다. 사람들은 항상 다른 사람들을 감시하고 싶어한다."

저자

• Greg Hoglund: Windows NT 루트킷 최초 문서화, rootkit.com 창립, Black Hat 연사, HBGary CEO
• James Butler: VICE (루트킷 탐지·포렌식 시스템) 개발자, 전 NSA 컴퓨터 과학자, 前 Enterasys 보안 수석 엔지니어