288. 프로세스·지속성 — 백도어·C2·은닉 징후 종합 분석

시스템 보안 · 취약점 › F. 비정상 프로세스 · 지속성 징후 · 38/50편 (전체 288/450)
학습 단계: 백도어·C2·은닉 징후
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 287. 프로세스·지속성 — 은닉 파일·디렉터리 탐지
• 278. 지속성 메커니즘 종합 분석

1. 개념

4단계(백도어·C2·은닉, F29~37)를 종합합니다. 원격 제어 채널(리버스/바인드 셸·비컨·웹셸)·은닉(rootkit·숨김)·anti-forensic을 묶어, "공격자의 제어·회피 수단을 어떻게 종합 탐지하는가"를 정리합니다.

백도어·C2·은닉 종합 체계
 [원격 제어] 리버스셸(F29)·바인드셸(F30)·비컨(F31)·웹셸(F32)
 [은닉]      인젝션(F33)·rootkit(F34)·숨김 파일(F37)
 [회피]      로그 삭제(F35)·타임스탬프 변조(F36)
 [공통] 호스트(프로세스·파일)+네트워크(C2 통신) 결합

핵심은 "제어 채널(네트워크)+실행(프로세스)+은닉(회피)"를 결합해, 공격자가 어떻게 제어하고 숨는지 전체를 보는 것입니다.

2. 왜 중요한가

• 원격 제어는 네트워크(통신)+호스트(셸 프로세스) 결합으로 포착합니다.
• 은닉·anti-forensic은 탐지·포렌식 회피 수단이라, 교차 검증·원격 수집으로 대응합니다.
• 백도어·C2는 지속성(3단계)과 결합해 영구 원격 제어가 됩니다.

3. 핵심 명령어 / 설정

관점	탐지	편
리버스/바인드 셸	셸+연결	F29·30
C2 비컨	규칙적 통신	F31
웹셸	웹서버 계보	F32
은닉	인젝션·rootkit·숨김	F33·34·37
회피	로그·시각 변조	F35·36

4. 실습 (실습 예시)

# 백도어·C2·은닉 종합 점검 (분석 방법)
echo "원격 제어:"; sudo ausearch -k proc_exec -i --start today 2>/dev/null | grep -cE '/dev/tcp/|nc.*-[le]|socat'
echo "비서비스 리스닝:"; ss -tlnp 2>/dev/null | grep -cvE 'sshd|nginx|mysqld|systemd'
echo "은닉(인젝션·숨김):"; sudo ausearch -k proc_inject -i --start today 2>/dev/null | grep -c ptrace
echo "anti-forensic:"; sudo ausearch -k proc_exec -i --start today 2>/dev/null | grep -cE 'rm .*/var/log|history -c|auditctl -e 0|touch -r'

5. 정상 상태

원격 제어: 0  비서비스 리스닝: 0  은닉: 0  anti-forensic: 0

원격 제어·리스닝·은닉·anti-forensic 지표가 모두 0인, 백도어·C2가 없는 상태가 정상입니다.

6. 이상 상태

원격 제어: 1(리버스셸)  비서비스 리스닝: 1  은닉: 1(ptrace)  anti-forensic: 2

• 리버스 셸+비서비스 리스닝+인젝션+흔적 삭제 → 다중 제어·은닉 수단
• 공격자가 제어 채널 확보+은닉+증거 인멸 → 완전한 거점
• 4단계 종합 지표 모두 위험 → 백도어·C2 활성 → 정탐

7. 로그 분석 (분석 방법)

백도어·C2·은닉 종합 판정 흐름입니다(가상의 예시).

[호스트] 셸 프로세스·웹셸 계보·은닉 파일·인젝션
      +
[네트워크] C2 연결·비컨·리스닝 포트
      +
[회피] 로그 삭제·타임스탬프 변조
      ↓ (결합)
[종합] 제어 채널 + 실행 + 은닉 → 백도어·C2 확정
      ↓
[연계] 지속성(3단계)과 결합 → 영구 원격 제어

지표	정상	위험
원격 제어	없음	셸·비컨
은닉	없음	인젝션·rootkit
회피	없음	로그 삭제

호스트+네트워크+회피 결합이 백도어·C2를 확정합니다.

8. SOC 관제 포인트

• 백도어·C2·은닉은 원격 제어 채널+은닉+anti-forensic을 묶어 종합 탐지합니다.
• 호스트(프로세스·파일)+네트워크(C2 통신) 결합이 제어 채널 탐지의 핵심입니다.
• 은닉·회피는 교차 검증·원격 수집으로 대응하고, 지속성(3단계)과 연계합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_f,c2,">
  <!-- 원격 제어 + 은닉/회피 결합 종합 경보 -->
  <rule id="105370" level="15" frequency="2" timeframe="600">
    <if_matched_sid>105280,105290,105310</if_matched_sid>
    <same_field>audit.session</same_field>
    <description>백도어·C2 + 은닉/회피 결합(4단계 종합 경보)</description>
    <mitre><id>T1071</id><id>T1014</id><id>T1070</id></mitre>
  </rule>
</group>

개별 룰(F29~37) 상위에 제어+은닉 종합 상관 룰을 두어 백도어·C2를 한 경보로 포착합니다.

10. 대응 방법

1. 초기 확인 — 4단계 종합 지표(원격 제어·리스닝·은닉·anti-forensic)를 확인합니다.
2. 범위 확인 — 제어 채널+실행+은닉·회피 결합과 지속성(3단계) 연계를 확인합니다.
3. 증거 확보 — 호스트·네트워크·회피 로그를 세션 기준으로 보존합니다.
4. 차단/조치 — 백도어·C2 정탐이면 제어 채널 차단·은닉 요소 제거·지속성 전수 제거를 진행합니다.
5. 재발 방지 — 호스트+네트워크+회피 결합 백도어·C2 탐지 체계를 운영합니다.

11. 핵심 정리

관점	탐지
리버스/바인드 셸	셸+연결
C2 비컨	규칙적 통신
웹셸	웹서버 계보
은닉·회피	인젝션·rootkit·로그 삭제
면접 포인트	"백도어·C2는 제어 채널+실행+은닉 결합 — 호스트+네트워크, 지속성과 연계"

12. 다음 편 예고

다음 편 289. 프로세스·지속성 — 프로세스·지속성 타임라인 작성 에서는 5단계로 넘어가 프로세스·지속성 타임라인 작성을 다룹니다.

---

이전 편: 287. 프로세스·지속성 — 은닉 파일·디렉터리 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점