자동 실행 회피 또는 : 보안을 위해 자동 실행에만 의존하지 마십시오.
- 범주: 윈도우
자동 실행은 Windows에서 시스템 시작시 실행되는 모든 다른 파일, 프로그램 및 기타 항목을 분석하는 데 널리 사용되는 프로그램입니다.
아마도 그 목적으로 가장 많이 사용되는 도구이며 Virustotal에서 파일 검색, Microsoft 항목 숨기기 또는 프로그램 내에서 직접 항목을 비활성화하거나 삭제하는 자동 실행 파일 관리와 같은 기능을 많이 포함하고 있습니다.
자동 실행 회피 Huntress의 Kyle Hanslovan과 Chris Bisnett의 연구 논문으로 악의적 인 사용자가 컴퓨터 나 네트워크에서 활동을 숨기는 데 사용할 수있는 다양한 회피 방법을 보여줍니다.
연구원들은 공격자가 자신의 활동을 숨기기 위해 사용할 수있는 여러 가지 방법을 밝힙니다. 예를 들어 중첩 된 명령은 단일 시작 항목을 사용하여 여러 프로그램을 실행하는 데 사용될 수 있습니다. 이러한 명령, 예 : &&, & 또는 || 일반적으로 합법적 인 명령 뒤에 악의적 인 명령을 추가하여 하나 또는 여러 명령을 결합합니다.
자동 실행에서 발생하는 문제 중 하나는 많은 사용자가 Microsoft 항목을 저장하는 것으로 간주되기 때문에 많은 사용자가 프로그램을 구성하여 Microsoft 항목을 숨기는 것입니다. 문제는 Microsoft 항목을 숨기면 이러한 명령 구문을 숨길 수 있다는 것입니다.
보안 연구원이 설명하는 다른 기술은 다음과 같습니다.
- Shell32.dll 간접
- DLL 하이재킹
- SyncAppvPublishingService
- 서비스 DLL 버그
- 확장 검색 주문 버그
- SIP 하이재킹
- .INF 스크립틀릿
연구원들은 Autoruns가 시작 프로그램과 파일을 열거하는 훌륭한 도구이지만 보안 도구는 아니라는 결론에 도달했습니다.
관리자와 사용자는이를 사용하여 데이터를 열거하고 도구가 다른 수단을 사용하여 수집 한 데이터를 분석 할 것을 제안합니다. 공격자는 이러한 기술과 더 복잡한 기술을 사용하여 자동 실행에서 탐지를 회피합니다.
공격자가 무언가를 숨기는 것을 더 어렵게 만들기 위해 할 수있는 일과 관련하여 다음이 도움이됩니다.
- 자동 실행에서 Microsoft 및 Windows 항목을 숨기지 마십시오. 옵션> Microsoft 항목 숨기기 및 옵션> Windows 항목 숨기기에서 옵션을 찾을 수 있습니다. 이렇게하면 더 많은 데이터가 표시되지만 보안 관점에서 보는 것이 중요합니다.
- 옵션> 검사 옵션에서 '코드 서명 확인'및 'virustotal.com 검사'옵션을 활성화합니다.
- cmd.exe, pcalua 또는 SyncAppvPublishingService 항목을 검토하십시오.
- 모든 항목을 살펴보고 중첩 된 명령을 찾습니다 (명령 줄 옵션을 사용하여 모두 열거하고 찾기 작업을 사용하여 목록을 살펴 보는 것이 더 쉬울 수 있음).