루트킷과 부트킷이 어떻게 컴퓨터의 부팅 과정에 침투해 악의적인 동작을 수행할 수 있는지 구체적으로 설명한다. 1부에서는 루트킷에 대해 살펴보는 것으로 시작한다. 여기서 역사적으로 루트킷의 활동 무대였던 윈도우 커널의 내부도 소개한다. 과거 가장 흥미로웠던 루트킷인 TDL3와 Festi를 소개하고 이들이 어떻게 윈도우 커널을 조작해 동작하는지 설명한다. 2부에서는 윈도우가 커널모드 코드서명, ELAM, 시큐어부트와 가상보안모드로 커널모드 보안을 강화한 후에 나온 부트킷과 OS의 부트 프로세스로 초점을 옮겨본다. 공격자의 관점에서 부트 프로세스의 각 단계들인 MBR, VBR, 파티션 테이블 및 boogmgr을 세밀하게 분석해 보고, 특히 UEFI 펌웨어의 구조와 취약점에 집중해 본다. 마지막으로 3부에서는 BIOS와 펌웨어를 대상으로 하는 고전적인 OS 루트킷 공격과 새로운 부트킷 공격 모두에 대한 포렌식에 초점을 맞춘다.

“지능형 멀웨어를 밝혀내온 경력을 가진 전문가의 발자취를 따르라.”
— 로드리고 루비라 브랑코(Rodrigo Rubira Branco)

◆ 32비트와 64비트, UEFI 모드에서의 윈도우 부팅 방법과 취약점을 찾을 수 있는 지점
◆ 시큐어 부트 같은 부트 프로세스 보안 메커니즘의 세부 정보와 가상화 보안 모드(VSM) 및 디바이스 가드의 개요
◆ Rovnix/Carberp, Gapz, TDL4 같은 부트킷과 TDL3, Festi 같은 악명 높은 루트킷을 포함해 실제 악성코드를 분석하기 위한 리버스 엔지니어링 및 포렌식 기술
◆ Bochs 및 IDA Pro 같은 에뮬레이션, 도구로 정적 및 동적 분석을 수행하는 방법
◆ BIOS 및 UEFI 펌웨어를 공격하는 위협 전파 단계를 이해해 탐지 기법 만들기
◆ VMware 워크스테이션 같은 가상화 도구를 사용해 부트킷을 리버스 엔지니어링하고 인텔 Chipsec 도구로 포렌식 분석하는 방법

고도화된 지속적 멀웨어 위협이 OS 레벨 보안을 우회하는 방법을 궁금해하는 다양한 분야의 정보보호 연구원들을 위한 책이다. 다만 PC 멀웨어 분석가뿐만 아니라 더 넓은 독자까지 대상으로 목표를 잡았다. 임베디드 시스템 개발자와 클라우드 보안 전문가도 이 책이 유용하다는 것을 알게 되기를 바란다.

1부, ‘루트킷’에서는 전성기 때의 고전적인 OS 레벨 루트킷을 살펴본다.
1장, ‘루트킷에 들어있는 것: TDL3 사례 연구’에서는 과거 흥미로웠던 루트킷 중 하나를 이야기하면서 루트킷이 어떻게 동작하는지 살펴본다.
2장, ‘Festi 루트킷: 가장 진보된 스팸과 DDoS 봇’에서는 스팸 전송 및 DDoS 공격을 하고자 한때 가장 고도화된 은폐 기법을 사용했던 Festi 루트킷을 분석한다.
3장, ‘루트킷 감염 관찰’에서는 여정을 운영체제 커널의 깊은 곳으로 이끌어줄 것이다.
2부, ‘부트킷’에서는 부트킷의 진화와 진화를 촉발시킨 조건과 이런 위협을 리버스 엔지니어링하는 기술로 초점을 옮겨본다.
4장, ‘부트킷의 진화’에서는 부트킷의 출현과 발전을 이끈 진화 세력을 좀 더 깊이 알아본다.
5장, ‘운영체제 부트 프로세스’에서는 윈도우 부트 프로세스의 내부 동작과 이것이 그동안 어떻게 변해 왔는지를 다룬다.
6장, ‘부트 프로세스 보안’에서는 조기 실행 안티멀웨어(ELAM, Early Launch Anti-Malware) 모듈, 커널 모드 코드 서명 정책과 이것의 취약점, 새로운 가상화 기반 보안 같은 윈도우 부팅 프로세스 방어 기술을 알아본다.
7장, ‘부트킷 감염 기법’에서는 부트 섹터를 감염시키는 방법을 세밀하게 조사하고 이런 방법들이 시간이 지남에 따라 어떻게 진화해왔는지 살펴본다.
8장, ‘IDA Pro를 이용한 부트킷 정적 분석’에서는 부트킷 감염에 대한 정적 분석을 하기 위한 방법과 도구를 다룬다.
9장, ‘부트킷 동적 분석: 에뮬레이션과 가상화’에서는 Bochs 에뮬레이터와 VMWare의 내장 GDB 디버거를 이용한 동적 분석 방법에 초점을 맞춘다.
10장, ‘MBR과 VBR 감염 기법의 발전: Olmasco’에서는 부트킷을 부트 프로세스의 더 낮은 레벨까지 내려가게 해줬던 은폐 기법의 진화를 추적해본다.
11장, ‘IPL 부트킷: Rovnix와 Carberp’에서는 온라인 뱅킹을 공격했던 가장 복잡한 두 개의 루트킷인 Rovnix와 Carberp의 내부를 살펴본다.
12장, ‘Gapz: 진보된 VBR 감염’에서는 부트킷 은폐 기법 진화의 정점에 올랐던 Gapz 루트킷를 알아본다.
13장, ‘MBR 랜섬웨어의 부상’에서는 부트킷이 어떻게 랜섬웨어 위협으로 되돌아왔는지 살펴본다.
14장, ‘UEFI 부팅과 MBR/VBR 부트 프로세스’에서는 최신 멀웨어의 진화를 밝혀내는 데 필수 정보인 UEFI BIOS 설계에서의 부트 프로세스를 알아본다.
15장, ‘최신 UEFI 부트킷’에서는 다양한 BIOS 임플란트에 대해 우리가 진행하던 연구를 다룬다. 개념 증명했던 것들과 실제로 세상에 퍼졌던 것들을 모두 설명한다.
16장, ‘UEFI 펌웨어 취약점’에서는 BIOS 임플란트의 도입을 가능하게 했던 다양한 종류의 최신 BIOS 취약점을 심도 있게 살펴본다.
3부, ‘방어와 포렌식 기법’에서는 부트킷, 루트킷과 기타 BIOS 위협의 포렌식을 다룬다.
17장, ‘UEFI 시큐어 부트 동작 방식’에서는 시큐어 부트 기술의 작동 방법과 발전, 취약점 및 효과를 깊이 있게 살펴본다.
18장, ‘숨겨진 파일 시스템 분석 접근 방식’에서는 멀웨어가 사용하는 숨겨진 파일 시스템을 간략히 살펴보고 탐지하는 방법을 설명한다.
19장, ‘BIOS/UEFI 포렌식: 펌웨어 수집과 분석 접근 방법’에서는 최첨단 위협을 탐지하는 접근법들을 살펴본다.

루트킷과 부트킷에 대한 블로그 포스팅과 일련의 논문들을 발표하면서 이 책에 대한 아이디어를 생각해냈다. 이 주제는 충분히 가치가 있는데도 거의 주목받지 못하고 있다는 것을 깨달았다. 우리는 더 큰 그림이 있다고 생각했고 공격자와 방어자의 혁신에 사용되는 디자인 패턴, 운영체제의 구조적인 관찰 그리고 재치 있는 트릭들을 엮어서 설명해주는 책을 원했다. 그런 책을 찾아봤지만 찾을 수 없었기에 우리는 읽고 싶었던 책을 쓰기 시작했다.
이 작업은 4년 반이 걸렸는데, 계획했던 것보다 길었고 미래의 독자와 출판 전 버전 구매자들이 우리와 함께 할 거라 생각했던 시간보다 훨씬 더 길었다. 출판 전 버전 구매자들의 지속적인 헌신에 경의를 표한다.

알렉스 마트로소프(Alex Matrosov)

NVIDIA의 수석 공격적 보안(Offensive Security) 연구원이다. 리버스 엔지니어링, 고급 멀웨어 분석, 펌웨어 보안, 취약점 공격에 대한 20년 이상의 경력이 있다. NVIDIA에 합류하기 전에는 인텔 SeCoE(Security Center of Excellence)의 수석 연구원이었고, 인텔 첨단 위협 연구 팀에서 6년 이상 근무했으며 그 전에는 ESET의 선임 보안 연구원이었다. 여러 편의 연구 논문을 저술하고 공동 저술도 했으며, REcon, ZeroNights, 블랙햇(Black Hat), 데프콘(DEFCON) 등의 보안 콘퍼런스에 자주 나오는 강연자다. 오픈소스 플러그인 HexRaysCodeXplorer(2013년부터는 REhint에 있는 팀이 지원한다)로 Hex-Rays에서 상을 받았다.

유진 로디오노프(Eugene Rodionov)

인텔의 보안 연구원으로, 클라이언트 플랫폼용 BIOS 보안 업무를 하고 있다. 그 전에는 ESET에서 내부 연구 프로젝트를 주도하고 복잡한 위협에 대한 심층 분석을 수행했다. 관심 분야는 펌웨어 보안, 커널 모드 프로그래밍, 안티루트킷 기술, 리버스 엔지니어링이다. 블랙햇, REcon, ZeroNights, CARO 같은 여러 보안 콘퍼런스에서 발표를 진행했고 수많은 연구 논문을 공동 저술했다.

세르게이 브래튜스(Sergey Bratus)

다트머스대학교 컴퓨터공학과 연구 조교수다. 그 전에는 BBN 테크놀로지 사에서 자연어 처리 연구를 진행했다. 유닉스 보안의 모든 측면에 관심이 있으며, 특히 리눅스 커널 보안, 리눅스 멀웨어 탐지와 리버스 엔지니어링에도 관심이 많다.

악성코드에 대응하는 보안 프로그램 개발은 끊임없는 창과 방패의 싸움인 듯하다. 멋모르고 처음 보안업계에 들어왔을 때는 모든 것이 신기하고 대단하게 보이기만 했다. 수년간 일련의 일을 겪고 보니 갖춰야 할 지식들의 범위가 정말 넓고 깊은 것에 한계를 느끼기도 했다. 특히 루트킷과 부트킷을 탑재한 악성코드의 경우 누가 더 먼저 시스템을 장악하는가의 싸움이기 때문에 운영체제 내부의 더 세밀한 부분을 다루게 된다. 이런 과정들은 책에서만 배울 수 없는 부분이 많으며 심지어 문서화되지 않은 부분이 대부분이다. 그러므로 수많은 시행착오와 디버깅 및 리버싱 분석을 끊임없이 해야 했다. 그러다 보니 뭔가 체계적으로 축적된 기술을 습득할 기회도 많지 않을뿐더러 개인의 감에 의존해야 하는 것들이 항상 아쉬움으로 남았었다.
이번에 이 책을 번역하면서 그동안의 부족함을 많이 채워가게 됐다. 이 책에서는 과거 MBR 부트킷부터 최근 랜섬웨어에 이르기까지 실제로 존재해왔고 유행했던 사례를 위주로 자세히 다루고 있다. 또한 이런 위협들이 동작하는 원리를 심도 깊게 다루고 있고, 시스템이나 운영체제 그리고 애플리케이션이 동작하는 원리도 다루고 있다. 따라서 보안 분야에 관심 있는 주니어 개발자/분석가와 좀 더 깊이 있는 이해를 필요로 하는 현업의 시니어 개발자/분석가에게 모두 도움이 되는 내용을 담고 있다. 관련 분야 종사자뿐 아니라 보안 분야에 관심있는 모두에게 필독서로 이 책을 추천하고 싶다.

김한주

20년 이상 IT 업계에 개발자로 종사하고 있다. 특히 15년 이상 ㈜안랩에서 보안 프로그램 개발과 악성코드 분석 및 대응 업무를 담당해왔다. 금융권 보안 프로그램, 웹 사이트 보안, 가상화 기반 망 분리 솔루션 등을 개발해왔고 현재는 기반기술 팀에서 커널 및 시스템 개발과 분석 업무를 담당하고 있다. V3 및 ㈜안랩 대부분 제품의 주요 보안 기능의 커널 필터 드라이버 및 관련 기능 개발과 유지 보수를 맡고 있다.

김성현

㈜안랩에서 20년 이상 V3Pro2002, V3Pro2004, V3 Internet Security 2007, V3 Lite 4.0, V3 Internet Security 9.0 등의 제품에 탑재되는 실시간 감시 필터 드라이버와 엔진 드라이버를 개발했고, 기반기술 팀과 인지기술 팀에서 V3의 보안 기능을 향상시키는 연구 개발을 총괄했다.