윈도우 운영체제에서 인터랙티브 분석을 위한 라이브 데이터 제공
맥OS를 위한 인터랙티브 분석 및 40여개의 신규 멀웨어 구성 추출 파일도 추가
[보안뉴스 이상우 기자] 인섹시큐리티(대표 김종광)가 조시큐리티(JoeSecurity)의 악성코드 정밀 분석 솔루션 ‘조샌드박스(JoeSandbox)’ 최신 버전인 v32를 출시했다고 밝혔다.
코드 네임 ‘블랙 다이아몬드(Black Diamond)’로 출시된 이번 버전에는 310여개의 새로운 시그니처가 추가됐다. 야랴(Yara), 시그마(Sigma)를 비롯한 광범위한 악성 행위 시그니처를 통해 Kliingon RAT, XCCSET, MapperState, Facefish, Silver Sparrow, Vovalex, Parasite, DearCry, MauriGo, Bloody Stealer 등 최신 멀웨어 그룹을 정밀하게 탐지할 수 있게 됐다. 또한 Darkside, SystemBC, RevengeRAT, Clipboard Hyjacker, FatalRat, GrandSteal, AveMaria 등 40여개의 신규 멀웨어 구성 추출 파일이 추가됐다.
조샌드박스의 행위 시그니처(Behavior Signature)는 샌드박스 제품에서 가장 중요한 동적 분석 시 발생하는 행위에 대한 정의다. 악성코드 분석 시 악성코드가 동작하는 모든 행위에 대한 정보를 식별하고 각 행위 별 정상/의심/악성으로 판결할 수 있는 시그니처다. 조샌드박스는 업계 최다 행위 시그니처를 제공하고 있다.
조샌드박스 블랙 다이아몬드의 가장 주요한 업데이트는 윈도우에 지원되는 인터랙티브 분석에 추가된 라이브 데이터 기능이다. 2018년에 라이브 인터랙티브가 추가된 이후, 이번 버전에서부터는 행위 시그니처(Behavior Signature) 및 야라(Yara), 시그마(Sigma)에 대한 실시간 정보를 통해 확장 제공된다.
악성코드 분석 담당자는 라이브 데이터 기능을 통해 드롭 파일 및 메모리 덤프를 비롯한 모든 아티팩트에 적용되는 야라 룰 및 시그마와 행위 시그니처에 대해 실시간으로 탐지 결과를 조회할 수 있다. 시그니처 외에도 도메인, URL 및 IP와 같은 IOC에 대한 실시간 데이터가 제공된다. 동작 분석 중에도 탐지, 평결 및 프로세스 트리 구조 정보가 업데이트되므로, 시그니처 및 IOC 결과를 기다릴 필요 없이 언제든지 분석을 확장하거나 중단할 수 있다. 이와 함께 기존의 윈도, 안드로이드, 리눅스에서 지원하던 인터랙티브 분석을 맥OS(macOS)에서도 지원한다.
또한, 윈도 EVTX 및 이벤트 뷰어 로그를 사용하는 탐지 툴이 늘어나고 있는 만큼 블랙 다이아몬드에도 EVTX 파일 다운로드 옵션이 추가됐다. 전체 EVTX 파일 다운로드를 지원하며, 다른 툴로 연동해 활용할 수 있다.
블랙 다이아몬드는 조샌드박스와 야라 룰을 함께 사용하는 고객들에게 추가적인 이점을 제공한다. 드롭 파일, 메모리 덤프, HTML DOM, PCAP, PE 언팩 파일 등 모든 아티팩트에 야라 룰을 적용할 수 있으며, 이러한 맞춤형 야라 룰을 통해 스코어, 위협 이름을 탐지할 수 있다. 메타 태그를 사용하면 Yara Rule에 대한 MITRE ATT&CK 매핑도 가능하다.
이 밖에도 조샌드박스 블랙 다이아몬드는 △PDF로 시작하는 URL 피싱 공격에 대한 AI 피싱 탐지 △DLL Re-load 탐지 △브라우저/이메일 알림에 위협 이름 제공 △SSL 키 로그 다운로드 △PDF Execute 리포트 △리포트 내 정보 아이콘 제공 △PDF 피싱 감지에 대한 유사성 검사 △이미지 샷 해시 피싱 탐지 △종료된 프로세스에 대한 탐지 △#UD 예외 감지 △시그마 통합 강화 등의 기능이 추가됐다.
조샌드박스 공식 총판사인 인섹시큐리티 김종광 대표는 “위협 지형이 빠르게 바뀌어 감에 따라 멀웨어 분석에 드는 시간을 단축하고 보다 정밀하게 탐지해야 할 필요성이 높아졌다”며, “조샌드박스를 마에스트로 시큐리티 오케스트레이터(Maestro Security Orchestrator) 같은 인텔리전스 플랫폼과 연동해 강력한 보안 환경을 구축하는 등의 통합 전략을 구축하고, 국내 고객들은 전방위로 지원할 계획”이라고 말했다.
[이상우 기자(boan@boannews.com)]
맥OS를 위한 인터랙티브 분석 및 40여개의 신규 멀웨어 구성 추출 파일도 추가
[보안뉴스 이상우 기자] 인섹시큐리티(대표 김종광)가 조시큐리티(JoeSecurity)의 악성코드 정밀 분석 솔루션 ‘조샌드박스(JoeSandbox)’ 최신 버전인 v32를 출시했다고 밝혔다.
[이미지=인섹시큐리티]
조샌드박스의 행위 시그니처(Behavior Signature)는 샌드박스 제품에서 가장 중요한 동적 분석 시 발생하는 행위에 대한 정의다. 악성코드 분석 시 악성코드가 동작하는 모든 행위에 대한 정보를 식별하고 각 행위 별 정상/의심/악성으로 판결할 수 있는 시그니처다. 조샌드박스는 업계 최다 행위 시그니처를 제공하고 있다.
조샌드박스 블랙 다이아몬드의 가장 주요한 업데이트는 윈도우에 지원되는 인터랙티브 분석에 추가된 라이브 데이터 기능이다. 2018년에 라이브 인터랙티브가 추가된 이후, 이번 버전에서부터는 행위 시그니처(Behavior Signature) 및 야라(Yara), 시그마(Sigma)에 대한 실시간 정보를 통해 확장 제공된다.
악성코드 분석 담당자는 라이브 데이터 기능을 통해 드롭 파일 및 메모리 덤프를 비롯한 모든 아티팩트에 적용되는 야라 룰 및 시그마와 행위 시그니처에 대해 실시간으로 탐지 결과를 조회할 수 있다. 시그니처 외에도 도메인, URL 및 IP와 같은 IOC에 대한 실시간 데이터가 제공된다. 동작 분석 중에도 탐지, 평결 및 프로세스 트리 구조 정보가 업데이트되므로, 시그니처 및 IOC 결과를 기다릴 필요 없이 언제든지 분석을 확장하거나 중단할 수 있다. 이와 함께 기존의 윈도, 안드로이드, 리눅스에서 지원하던 인터랙티브 분석을 맥OS(macOS)에서도 지원한다.
또한, 윈도 EVTX 및 이벤트 뷰어 로그를 사용하는 탐지 툴이 늘어나고 있는 만큼 블랙 다이아몬드에도 EVTX 파일 다운로드 옵션이 추가됐다. 전체 EVTX 파일 다운로드를 지원하며, 다른 툴로 연동해 활용할 수 있다.
블랙 다이아몬드는 조샌드박스와 야라 룰을 함께 사용하는 고객들에게 추가적인 이점을 제공한다. 드롭 파일, 메모리 덤프, HTML DOM, PCAP, PE 언팩 파일 등 모든 아티팩트에 야라 룰을 적용할 수 있으며, 이러한 맞춤형 야라 룰을 통해 스코어, 위협 이름을 탐지할 수 있다. 메타 태그를 사용하면 Yara Rule에 대한 MITRE ATT&CK 매핑도 가능하다.
이 밖에도 조샌드박스 블랙 다이아몬드는 △PDF로 시작하는 URL 피싱 공격에 대한 AI 피싱 탐지 △DLL Re-load 탐지 △브라우저/이메일 알림에 위협 이름 제공 △SSL 키 로그 다운로드 △PDF Execute 리포트 △리포트 내 정보 아이콘 제공 △PDF 피싱 감지에 대한 유사성 검사 △이미지 샷 해시 피싱 탐지 △종료된 프로세스에 대한 탐지 △#UD 예외 감지 △시그마 통합 강화 등의 기능이 추가됐다.
조샌드박스 공식 총판사인 인섹시큐리티 김종광 대표는 “위협 지형이 빠르게 바뀌어 감에 따라 멀웨어 분석에 드는 시간을 단축하고 보다 정밀하게 탐지해야 할 필요성이 높아졌다”며, “조샌드박스를 마에스트로 시큐리티 오케스트레이터(Maestro Security Orchestrator) 같은 인텔리전스 플랫폼과 연동해 강력한 보안 환경을 구축하는 등의 통합 전략을 구축하고, 국내 고객들은 전방위로 지원할 계획”이라고 말했다.
[이상우 기자(boan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
이상우기자 기사보기
[2024-05-02] 
