댓글 0
기사입력 : 2024.05.13 17:18
[시큐리티팩트=김상규 기자] 조시큐리티가 악성코드 정밀 분석 솔루션 ‘조샌드박스(JoeSandbox)’의 최신 버전 V40(‘토르말린’)을 공개했다.
이번 최신 버전 릴리즈에는 186개의 야라(Yara) 및 행위 시그니처가 추가되어, 업스타일, 라트로덱투스, 튜토리얼RAT, 클립월렛, 클린업로드, 애시드포어, 밋허브, X딜러 등과 같은 다양한 최신 멀웨어를 정확하게 탐지한다. 또한 피카봇, G클리너, 나이팅게일 스틸러 등 8개의 멀웨어 구성 추출기가 추가됐다.
멀웨어 샘플에는 윈도우 API를 호출하는 옵션도 있지만, 시스템 호출을 통해 커널의 기능을 직접 호출하는 더 어려운 경로를 통해서도 가능하다. 후자의 경우 멀웨어가 AV 및 EDR을 우회하는 데 사용된다.
조샌드박스는 토르말린 업데이트를 통해 이러한 방어 회피에 대한 탐지 기능을 추가했다. 일반적으로 실행되는 직/간접 시스템 호출은 프로세스 및 메모리 주입 동작과 관련이 있는데, 이러한 행위는 EDR 및 AV 솔루션에서 탐지가 가능하기 때문이다.
또한 조샌드박스 토르말린은 파이인스톨러 디컴파일을 지원한다. 파이썬은 빠른 프로토타이핑을 가능하게 한다. 파이인스톨러를 사용하면 파이썬 사전 설치 없이도 윈도에서 파이썬을 실행할 수 있으므로, 탈취를 노리는 공격자들에게 매우 인기있는 타깃이다.
