Brain트로이 목마 (Trojan Horse) / 래퍼 (Wrapper) - 정상 프로그램으로 가장하여 시스템에 침투하는 악성 소프트웨어
핵심 인사이트 (3줄 요약)
- 본질: 트로이 목마는 **"정상 프로그램으로 위장"**하여 사용자로 하여금 자발적으로 실행하게 만들고, 실행 후에는 백그라운드에서 악의적인 작업(데이터 탈취, 시스템 장악 등)을 수행하는 악성 소프트웨어이다.
- 가치: 트로이 목마는 자체 복제 능력이 없는 반면, 래퍼(Wrapper) 도구를 통해 악성 코드를 정상 코드에 포장하여 배포되므로, 의심 없는 사용자가 오피스 프로그램, 게임, 유틸리티 등에 포함된 트로이 목마를 실행하게 된다.
- 한계: 트로이 목마는 정상 프로그램이므로 백신의 시그니처 기반 탐지가 어려우며, 특히 래퍼로 포장된 다형성(Polymorphic) 트로이 목마는 매번 형태가 달라 기존 탐지 방법을 우회한다.
1. 개요 및 배경 (Context & Necessity)
1.1 바이러스, 웜, 트로이 목마의 차이
| 특성 | 바이러스 | 웜 | 트로이 목마 |
|---|---|---|---|
| 자기 복제 | 예 | 예 | 아니오 |
| 침투 방식 | 파일 감염 | 네트워크 전파 | 정상 프로그램 위장 |
| 실행 방식 | 숙주 파일 실행 시 | 자율적 실행 | 사용자가 직접 실행 |
| 확산 속도 | 중간 | 매우 빠름 | 느림 (사용자 의존) |
1.2 트로이 목마의命名由来
고대 그리스的故事(이야기)에서, 그리스軍(군)이 特洛伊(트로이) 성에gift(선물)로 목마를 바쳤다. 성内部(안)에서 숨겨 있던 그리스軍이 밤에 나와 성을陥落(함락)시켰다. 이것과 비슷하게, 트로이 목마도 정상 프로그램에 숨겨져 사용자의 시스템에 침투한다.
2. 동작 원리 및 분류
2.1 동작 원리
[ 트로이 목마 동작 흐름 ]
1. 【유포】 악성 코드 + 정상 프로그램 → 래퍼로 포장 → 배포
2. 【유도】 사용자가 정상 프로그램으로 오인하여 실행
3. 【활성화】 악성 코드 부분이 실행
4. 【潜伏】 백그라운드에서 악의적 작업 수행
2.2 주요 유형
| 유형 | 설명 | 예시 |
|---|---|---|
| Remote Access Trojan (RAT) | 원격에서 시스템 제어 | njRAT, DarkComet |
| Data Stealing Trojan | 데이터 탈취 | 비밀번호 훔치기, 키로거 |
| Destructive Trojan | 시스템 파괴 | 파일 삭제,硬盘(하드) 포맷 |
3. 래퍼(Wrapper)와 폴리모픽 기법
3.1 래퍼 도구
래퍼 도구는 악성 코드와 정상 코드를 결합한다:
[ 예시 ]
malware.exe + game.exe → wrapper.exe (정상 게임으로 위장)
사용되는 기법:
- 코드 주입 (Code Injection)
- 파일 합체 (File Binding)
- 런처 생성 (Launcher Creation)
3.2 폴리모orphic (다형성) 기법
매 실행 시 악성 코드를 변형하여 시그니처 기반 탐지를 우회:
[ 기존 ] malware.exe (고정 시그니처) → 탐지 가능
[ 다형성 ] malware_v1.exe, malware_v2.exe, ... (매번 다른 시그니처) → 탐지 어려움
4. 대응 방안
4.1 기술적 대응
| 구분 | 방법 | 설명 |
|---|---|---|
| 행위 기반 탐지 | EDR, HIDS | 악성 행위 패턴 탐지 |
| 시그니처 기반 탐지 | 안티바이러스 | 알려진 트로이 목마 식별 |
| Application Control | 화이트리스트 | 허용된 프로그램만 실행 |
| ** sandbox** | 샌드박스 | 격리 환경에서 실행 분석 |
4.2 사용자 교육
- 불분명한 출처의 파일 열지 않기
- 첨부 파일 실행 전 확인
- 소프트웨어는 공식 채널에서 다운로드
5. 기대효과 및 결론
- 위협 인식: 트로이 목마의 특성과 동작 원리를 이해하여初期(초기) 탐지 가능
- 多层 방어: 기술적 대응과 사용자 인식을 결합한 방어 체계 구축
- 지속적警惕: 새로운 변종이 지속적으로 등장하므로 지속적인 보안 업데이트 필요
관련 개념 맵 (Knowledge Graph)
| 관련 개념 | 설명 |
|---|---|
| 바이러스 | 파일에 감염되어 스스로 복제 |
| 웜 | 네트워크를 통해 자율적으로 전파 |
| 백도어 (587장) | 트로이 목마가 시스템에 침투한 후 설치하는 원격 접근 도구 |
| RAT | 트로이 목마의一种(한 종류) |
👶 어린이를 위한 3줄 비유 설명
-
트로이 목마는 **"선물로 위장한 폭죽"**과 같다. 밖에서는 예쁜 선물이지만, 열어보면 안에 폭죽이 있어 집을 부수게 된다.
-
래퍼는 **"정상 포장지에 악성 선물을 싸는 것"**과 같다. 정상 게임 программы(프로그램) 안에 악성 코드를 숨겨, 아이들이 게임이라 생각하고 실행하게 만든다.
-
폴리모픽 기법은 **"매번 다른 모양의 포장紙(종이)로 선물을 싸는 것"**과 같다. 매번 모습이 다르므로, 어떤 포장지를 막아야 하는지 알기 어렵다.