파일리스 악성코드 (Fileless Malware)

한 줄 정의: 디스크에 실행 파일을 남기지 않고 메모리 상에서만 동작하거나 운영체제의 정상 도구를 악용하여 활동하는 악성코드입니다.

쉽게 풀면

범죄 현장에 지문이나 흔적을 전혀 남기지 않고 다녀가는 침입자를 떠올려 보세요. 파일리스 악성코드는 전통적인 악성코드처럼 컴퓨터의 저장 장치에 별도의 실행 파일을 심어두지 않습니다. 대신 시스템 메모리에서만 동작하거나, 운영체제가 원래 제공하는 정상적인 관리 도구(스크립팅 엔진 등)를 이용해 악성 행위를 수행하기 때문에, 디스크를 검사하는 전통적인 백신 방식으로는 흔적을 찾기 어렵습니다.

왜 중요한가

파일 기반 탐지에 의존하는 전통적인 백신 솔루션은 디스크에 저장된 파일의 시그니처를 검사하는 방식이 많은데, 파일리스 악성코드는 애초에 검사할 파일이 남지 않기 때문에 이러한 방어를 무력화합니다. 이 때문에 메모리 포렌식이나 행위 기반 탐지 같은 대응 연구가 정보보안학 분야에서 중요하게 다루어집니다.

논문에서는 이렇게 쓰입니다

"본 연구에서 분석한 파일리스 악성코드는 시스템에 내장된 스크립팅 엔진을 악용하여 페이로드를 메모리 상에서만 실행함으로써 디스크 흔적을 남기지 않았다."

파일리스 악성코드가 정상 도구를 악용하는 방식을 설명하는 문장입니다.

"파일 기반 탐지 대신 메모리 스캔과 프로세스 행위 모니터링을 결합한 접근이 파일리스 악성코드 탐지에 효과적임을 실험으로 확인하였다."

파일리스 악성코드에 대응하는 탐지 방법론을 소개하는 문장입니다.

조금 더 깊게 보면

파일리스 악성코드는 종종 시스템에 이미 존재하는 정상 프로그램이나 스크립트 실행 환경을 활용해 악성 행위를 수행하는 방식(이른바 'living off the land')을 취합니다. 이러한 특성 때문에 정적 파일 분석보다는 메모리 분석, 프로세스 행위 로그, 시스템 콜 모니터링 등이 탐지에 더 효과적인 것으로 여겨집니다.

주의할 점

파일리스 악성코드도 초기 침투 단계나 재부팅 후 지속성을 유지하기 위해 레지스트리 값이나 스케줄 작업 등 일부 흔적을 시스템에 남기는 경우가 있어, 완전히 흔적이 없다고 단정할 수는 없습니다.