586. 트로이 목마 (Trojan Horse) / 래퍼 (Wrapper)

핵심 인사이트 (3줄 요약)

본질: 트로이 목마는 **"정상 프로그램으로 위장"**하여 사용자로 하여금 자발적으로 실행하게 만들고, 실행 후에는 백그라운드에서 악의적인 작업(데이터 탈취, 시스템 장악 등)을 수행하는 악성 소프트웨어이다.

가치: 트로이 목마는 자체 복제 능력이 없는 반면, 래퍼(Wrapper) 도구를 통해 악성 코드를 정상 코드에 포장하여 배포되므로, 의심 없는 사용자가 오피스 프로그램, 게임, 유틸리티 등에 포함된 트로이 목마를 실행하게 된다.

한계: 트로이 목마는 정상 프로그램이므로 백신의 시그니처 기반 탐지가 어려우며, 특히 래퍼로 포장된 다형성(Polymorphic) 트로이 목마는 매번 형태가 달라 기존 탐지 방법을 우회한다.

Ⅰ. 개요 및 필요성

1.1 바이러스, 웜, 트로이 목마의 차이

특성	바이러스	웜	트로이 목마
자기 복제	예	예	아니오
침투 방식	파일 감염	네트워크 전파	정상 프로그램 위장
실행 방식	숙주 파일 실행 시	자율적 실행	사용자가 직접 실행
확산 속도	중간	매우 빠름	느림 (사용자 의존)

1.2 트로이 목마의命名由来

고대 그리스的故事(이야기)에서, 그리스軍(군)이 特洛伊(트로이) 성에gift(선물)로 목마를 바쳤다. 성内部(안)에서 숨겨 있던 그리스軍이 밤에 나와 성을陥落(함락)시켰다. 이것과 비슷하게, 트로이 목마도 정상 프로그램에 숨겨져 사용자의 시스템에 침투한다.

📢 섹션 요약 비유: 복잡한 창고에서 필요한 물건을 찾기 위해 먼저 구역과 표지판을 세우는 것과 같다.

Ⅱ. 아키텍처 및 핵심 원리

2.1 동작 원리

[ 트로이 목마 동작 흐름 ]
1. 【유포】 악성 코드 + 정상 프로그램 → 래퍼로 포장 → 배포
2. 【유도】 사용자가 정상 프로그램으로 오인하여 실행
3. 【활성화】 악성 코드 부분이 실행
4. 【潜伏】 백그라운드에서 악의적 작업 수행

2.2 주요 유형

유형	설명	예시
Remote Access Trojan (RAT)	원격에서 시스템 제어	njRAT, DarkComet
Data Stealing Trojan	데이터 탈취	비밀번호 훔치기, 키로거
Destructive Trojan	시스템 파괴	파일 삭제,硬盘(하드) 포맷

📢 섹션 요약 비유: 공장 컨베이어벨트가 어떤 순서로 부품을 받아 가공하고 내보내는지 설계도를 펼쳐 보는 것과 같다.

Ⅲ. 비교 및 연결

3.1 래퍼 도구

래퍼 도구는 악성 코드와 정상 코드를 결합한다:

[ 예시 ]
malware.exe + game.exe → wrapper.exe (정상 게임으로 위장)

사용되는 기법:

코드 주입 (Code Injection)
파일 합체 (File Binding)
런처 생성 (Launcher Creation)

3.2 폴리모orphic (다형성) 기법

매 실행 시 악성 코드를 변형하여 시그니처 기반 탐지를 우회:

[ 기존 ] malware.exe (고정 시그니처) → 탐지 가능
[ 다형성 ] malware_v1.exe, malware_v2.exe, ... (매번 다른 시그니처) → 탐지 어려움

📢 섹션 요약 비유: 비슷해 보이는 공구를 나란히 놓고 언제 망치를 쓰고 언제 드라이버를 써야 하는지 구분하는 것과 같다.

Ⅳ. 실무 적용 및 기술사 판단

4.1 기술적 대응

구분	방법	설명
행위 기반 탐지	EDR, HIDS	악성 행위 패턴 탐지
시그니처 기반 탐지	안티바이러스	알려진 트로이 목마 식별
Application Control	화이트리스트	허용된 프로그램만 실행
sandbox	샌드박스	격리 환경에서 실행 분석

4.2 사용자 교육

불분명한 출처의 파일 열지 않기
첨부 파일 실행 전 확인
소프트웨어는 공식 채널에서 다운로드
📢 섹션 요약 비유: 운전자가 도로 상황에 따라 기어와 브레이크를 다르게 선택하는 것처럼 조건별 판단이 중요하다.

Ⅴ. 기대효과 및 결론

위협 인식: 트로이 목마의 특성과 동작 원리를 이해하여初期(초기) 탐지 가능
多层 방어: 기술적 대응과 사용자 인식을 결합한 방어 체계 구축
지속적警惕: 새로운 변종이 지속적으로 등장하므로 지속적인 보안 업데이트 필요
📢 섹션 요약 비유: 도구의 장점만 외우는 것이 아니라 어디까지 믿고 어디서 보완해야 하는지 기억하는 정리 노트와 같다.

📌 관련 개념 맵

개념	연결 포인트
AppArmor	현재 개념으로 들어오기 전에 함께 이해하면 경계가 선명해지는 기반 개념이다.
시스템 보안 위협 유형	현재 개념이 등장하게 만든 직접적인 선행 흐름이다.
트랩 도어 (Trap Door / Backdoor)	현재 개념이 구현·세분화될 때 바로 연결되는 후속 개념이다.
로직 밤 (Logic Bomb) / 타이머 밤	확장 학습이나 심화 비교로 이어지는 다음 단계의 키워드다.

📈 관련 키워드 및 발전 흐름도

[시스템 보안 위협 유형]
    │
    ▼
[트로이 목마 (Trojan Horse) / 래퍼 (Wrapper)]
    │
    ├──▶ [트랩 도어 (Trap Door / Backdoor)]
    └──▶ [로직 밤 (Logic Bomb) / 타이머 밤]

이 흐름도는 선행 개념에서 현재 개념으로 넘어온 뒤, 구현 세분화와 후속 확장으로 이어지는 학습 순서를 압축해 보여준다.

👶 어린이를 위한 3줄 비유 설명

트로이 목마는 **"선물로 위장한 폭죽"**과 같다. 밖에서는 예쁜 선물이지만, 열어보면 안에 폭죽이 있어 집을 부수게 된다.
래퍼는 **"정상 포장지에 악성 선물을 싸는 것"**과 같다. 정상 게임 программы(프로그램) 안에 악성 코드를 숨겨, 아이들이 게임이라 생각하고 실행하게 만든다.
폴리모픽 기법은 **"매번 다른 모양의 포장紙(종이)로 선물을 싸는 것"**과 같다. 매번 모습이 다르므로, 어떤 포장지를 막아야 하는지 알기 어렵다.