파일 시스템 함수

• 악성코드가 시스템과 상호작용하는 가장 일반적인 방식은 파일을 생성, 수정하여 파일명을 구별하거나 기존 파일명을 변경
• 식별자로 사용 가능 (특정 파일, 특정 경로=시그니처)
• ex) 파일을 생성하여 그 파일에 웹 브라우징 내용을 저장한다면 스파이웨어 형태일 가능성이 높음

• 기존 파일, 파이프, 스트림, I/O 장치를 열고 새로운 파일을 생성
• dwCreationDiposition 인자는 이 함수가 새로운 파일을 생성하는지, 기존 파일을 오픈하는지 여부 제어 | | ReadFile WriteFile | * 파일을 읽고 쓰는데 사용
• 두 함수 모두 파일을 스트림 형태로 운영
• ReadFile은 파일에서 몇 바이트를 읽고 나면, 그 다음 몇 바이트를 읽는 형식을 가짐 | | CreateFileMapping MapViewOfFile | * 파일 매핑은 파일을 메모리로 로드하여 쉽게 조작할 수 있게 함
• CreateFileMapping : 파일을 디스크에서 메모리로 로드
• MapViewOfFile : 매핑된 베이스 주소 포인터를 반환, 메모리 내 파일에 접근, 파일 포맷 파싱 시 용이 | | 참고사항 | * 파일 매핑은 윈도우 로더 기능을 복제할 때 주로 사용
• 파일 맵을 획득한 후 악성코드는 PE 헤더를 파싱해 메모리 내의 파일에 필요한 부분을 변경 → 마치 OS 로더에 의해 로드된 것처럼 PE파일을 실행 |

특수 파일

• 드라이브 문자와 폴더명으로 접근할 수 없는 파일도 존재

공유 파일

• \\ServerName\share 나 \\?\ServerNAme\share 로 시작하는 이름을 가짐
• 네트워크 상에 저장된 공유 폴더에서 디렉터리나 파일에 접근

네임스페이스를 통해 접근 가능한 파일

• 운영체제 내에서 네임스페이스를 통해 접근
• 네임스페이스 : 고정된 숫자의 폴더와 각각 저장하는 다른 유형의 객체
• Win32 장치 네임스페이스는 접두사 \\.\를 이용 → 물리적 장치에 접근하여 파일처럼 읽음
• 네임 스페이스를 이용한 사례
  • 파일시스템을 무시하여 PhysicalDisk1이나 Physical Memory에 바로 접근하기 위해 \\.\PhysicalDisk1 또는 \Device\PhysicalMemory를 사용
    • 파일을 직접 생성
    • 비할당영역에 악성코드 생성 (백신 우회)

ADS(Alternate Data Streams) : NTFS 내의 기존 파일에 데이터를 추가 저장하는 기능 제공

• 한 파일에 다른 파일을 추가

• 추가 데이터는 디렉터리 목록에 나오지 않고, 파일 내용 출력이 안됨

  • dir /R 명령어로 리스팅 됨

• ADS 데이터는 파일명.확장자:Stream:$Data 라는 규칙을 가짐

  • more < file:adsdata 명령어로 ADS 데이터 확인이 가능

• zone.identifier

  • 1 - 로컬 인트라넷
  • 2 - 신뢰할 수 있는 사이트
  • 3 - 인터넷
  • 4 - 제한된 사이트

• 참고 URL

  • https://present4n6.tistory.com/76
  • https://secuworld.tistory.com/31

• ADS를 사용한 프로그램 감추기 실습 및 실행

  > type C:\\windows\\system32\\notepad.exe > c:\\windows\\system32\\calc.exe:notepad.exe
  > start c:\\windows\\system32\\calc.exe:notepad.exe
  -> **notepad가 실행됨**