259. 프로세스·지속성 — 비표준 경로 실행 프로세스 탐지

시스템 보안 · 취약점 › F. 비정상 프로세스 · 지속성 징후 · 9/50편 (전체 259/450)
학습 단계: 비정상 프로세스 징후
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 258. 프로세스·지속성 — 비정상 프로세스·지속성 판정 기준
• 256. 실행 경로·명령줄·해시 기반 분석 축

1. 개념

2단계는 비정상 프로세스 징후를 다룹니다. 첫 번째는 비표준 경로 실행입니다. 정상 프로그램은 /usr/bin·/bin 등 표준 경로에 있습니다. /tmp·/dev/shm에서 실행되는 프로세스는 거의 확실히 악성입니다.

비표준 경로 실행 = 강한 악성 신호
 정상 경로: /usr/bin /usr/sbin /bin /sbin /opt/<app>
 비표준:   /tmp /var/tmp /dev/shm → 거의 확실히 악성
           /home/*/.<숨김> → 사용자 영역 악성
           웹루트 실행 → 웹셸 페이로드

경로만으로 위험도를 크게 좁힐 수 있음

E26(비표준 경로 SUID)과 유사하게, 경로 기반 탐지는 이름·내용을 바꿔도 우회하기 어려운 효율적 탐지입니다.

2. 왜 중요한가

• 정상 실행 경로는 고정이라, 비표준 경로 실행은 이름·해시와 무관하게 의심 대상입니다.
• /tmp·/dev/shm은 쓰기 가능·임시 영역이라 공격자가 페이로드를 놓고 실행합니다.
• 경로 기반 1차 선별 후 계보·명령줄·해시(F06)로 확정합니다.

3. 핵심 명령어 / 설정

비표준 경로	의미	위험
/tmp,/var/tmp	임시 영역 실행	매우 높음
/dev/shm	메모리 실행	매우 높음
/home/*/.숨김	사용자 영역 악성	높음
웹루트	웹셸 페이로드	높음
/usr/bin 등	정상	정상

4. 실습 (실습 예시)

# 비표준 경로 실행 탐지 (분석 방법)
# 비표준 경로에서 실행된 프로세스(execve)
sudo ausearch -k proc_exec -i --start recent 2>/dev/null | grep -E 'exe=.*(/tmp/|/dev/shm/|/var/tmp/)' | tail
# 현재 실행 중 비표준 경로 프로세스
ls -l /proc/*/exe 2>/dev/null | grep -E '/tmp/|/dev/shm/|/var/tmp/'

5. 정상 상태

$ (비표준 경로 실행) (없음)
$ (현재 비표준 프로세스) (없음)

프로세스가 모두 표준 경로에서 실행되고, /tmp·/dev/shm 등에서 실행되는 프로세스가 없는 상태가 정상입니다.

6. 이상 상태

$ (비표준 경로 실행)
04:10 exe=/tmp/.x comm=".x" ppid_comm="sh" auid=www-data
$ (현재 비표준 프로세스)
/proc/3002/exe -> /tmp/.x

• /tmp/.x 실행 → 비표준 경로 악성 프로세스
• 숨김 이름(.x)·웹 계정(www-data)·셸 부모 → 웹셸 페이로드
• 비표준 경로 실행 → 강한 악성 신호 → 정탐

7. 로그 분석 (분석 방법)

비표준 경로 실행 분석입니다(가상의 예시 로그).

type=SYSCALL syscall=execve comm=".x" auid=www-data ppid=3001
type=PATH name="/tmp/.x"
type=PROCTITLE proctitle=/tmp/.x
 → 웹 계정이 /tmp 숨김 바이너리 실행(페이로드)
[계보] nginx→sh→/tmp/.x (F05)

관찰	해석
exe=/tmp/.x	비표준 경로
숨김 이름(.x)	은닉
auid=www-data	웹 계정
계보 웹→셸	웹셸 페이로드

경로+계보+이름이 모두 악성을 가리킵니다.

8. SOC 관제 포인트

• 비표준 경로 실행(/tmp·/dev/shm·숨김)은 경로만으로 강한 악성 신호입니다.
• 정상 실행 경로는 고정이라 비표준 실행은 이름·해시와 무관하게 의심 대상입니다.
• 경로 기반 1차 선별 후 계보·명령줄·해시로 확정합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_f,process,">
  <rule id="105080" level="12">
    <if_sid>105010</if_sid>
    <field name="audit.exe" type="pcre2">^(/tmp/|/var/tmp/|/dev/shm/|/home/[^/]+/\.)</field>
    <description>비표준 경로 프로세스 실행(악성 페이로드 의심)</description>
    <mitre><id>T1059</id><id>T1036</id></mitre>
  </rule>
</group>

정상적으로 /tmp에서 실행되는 빌드·설치 스크립트는 좁은 예외로 처리합니다. 웹 계정의 비표준 실행은 레벨을 높입니다.

10. 대응 방법

1. 초기 확인 — 비표준 경로에서 실행된 프로세스·경로·주체·계보를 확인합니다.
2. 범위 확인 — 숨김 이름·웹 계정·셸 부모 등 추가 악성 신호를 확인합니다.
3. 증거 확보 — 실행 이벤트와 바이너리(해시·경로)를 보존합니다.
4. 차단/조치 — 악성 프로세스 종료·바이너리 격리·계보 추적·지속성 점검을 진행합니다.
5. 재발 방지 — 비표준 경로 실행 탐지를 운영합니다.

11. 핵심 정리

비표준 경로	위험
/tmp·/dev/shm	임시·메모리 실행
/home/*/.숨김	사용자 영역 악성
웹루트	웹셸 페이로드
/usr/bin 등	정상
면접 포인트	"정상 실행 경로는 고정 — /tmp·/dev/shm 실행은 경로만으로 악성 판정"

12. 다음 편 예고

다음 편 260. 프로세스·지속성 — 위장(masquerading) 프로세스 탐지 에서는 위장 프로세스를 다루는 위장(masquerading) 프로세스 탐지를 다룹니다.

---

이전 편: 258. 프로세스·지속성 — 비정상 프로세스·지속성 판정 기준
📚 시리즈 전체 보기: 시스템 보안 · 취약점