백신 예외 폴더가 ValleyRAT의 안전가옥이 됐다

이미지 출처: The Hacker News

사용자가 백신 설정 창을 열고, 예외 경로에 폴더 하나를 손수 추가한다. 설치가 자꾸 막히니까, 화면에 뜨는 안내대로. 그 클릭 한 번으로 그 폴더 안의 모든 파일은 검사 대상에서 영구히 빠지고, ValleyRAT은 바로 그 자리에 자기 집을 짓는다. 이번 사례가 불편한 이유는 익스플로잇이 정교해서가 아니라, 보안 제품을 무력화한 게 공격자가 아니라 피해자 본인이라서다.

핵심 요약

• 유효한 코드서명이 붙은 애드웨어·유틸리티가 미끼로 쓰이며, 사용자가 직접 백신 예외 경로를 등록하도록 유도함
• 예외 폴더 안에서 정상 서명 실행파일이 악성 DLL을 사이드로딩해 ValleyRAT 백도어를 메모리에 올림
• 방어의 초점은 시그니처가 아니라 예외 목록 자체를 자산으로 관리하고 감사하는 것에 있음

서명이 붙었다는 건 안전하다는 뜻이 아님

많은 조직이 아직도 "디지털 서명 있으면 일단 통과"라는 암묵적 규칙으로 움직이는데, 이 캠페인은 정확히 그 지점을 노림.

• 코드서명 인증서는 신원 확인이지 의도 검증이 아님. 발급기관은 "이 회사가 존재한다"까지만 보증함
• 애드웨어·번들 설치기 배포사는 합법 법인으로 등록돼 있어 정상적으로 인증서를 받을 수 있고, 그 인증서가 그대로 악성 로더에 재사용됨
• 서명이 유효하니 스마트스크린 경고 강도가 낮아지고, 게시자 기반 화이트리스트에 자동으로 들어감

즉 서명 검증에서 봐야 할 건 "유효/무효"가 아니라 발급 시점, 발급 대상 법인, 카운터서명 타임스탬프, 그리고 그 게시자가 조직 내에 존재할 이유가 있는가임.

감염 흐름을 개념 수준으로 정리하면

• 1단계 — 유입: 검색광고, 커뮤니티 링크, 사칭 다운로드 페이지를 통해 무료 유틸리티·최적화 도구·메신저 사칭 설치기를 내려받게 함
• 2단계 — 예외 유도: 설치 과정에서 "오탐이 있으니 설치 폴더를 백신 예외에 추가하라"는 안내를 띄움. 사용자는 스스로 관리자 권한으로 예외를 등록함
• 3단계 — 사이드로딩: 예외 폴더 안에 정상 서명된 실행파일과 이름만 같은 악성 DLL이 함께 놓이고, 실행파일이 그 DLL을 로드하며 로더가 기동됨
• 4단계 — 메모리 상주: 로더가 암호화된 페이로드를 복호화해 정상 프로세스 안에 주입함. 디스크에는 완성된 백도어 형태가 남지 않음
• 5단계 — 지속성: 실행 레지스트리 키, 예약 작업, COM 하이재킹 같은 흔한 수법을 조합해 재부팅을 넘김
• 6단계 — 통신: 비표준 고포트로 커스텀 프로토콜 비콘을 올리고, 원격 제어·자격증명 수집·추가 모듈 투입으로 이어짐

구조 자체는 새롭지 않음. 새로운 건 탐지 회피를 코드가 아니라 사용자 동의로 해결했다는 점임.

예외 목록이 왜 최악의 사각지대인가

예외는 한 번 등록되면 아무도 다시 안 봄. 티켓도 안 남고, 만료도 없고, 담당자가 퇴사해도 그대로 남아 있음. 그런데 예외 폴더는 실시간 검사, 행위 기반 차단, 때로는 클라우드 조회까지 통째로 비껴가는 사실상의 무결성 공백지대가 됨.

개인적으로는 예외 목록을 "설정"이 아니라 자산 목록으로 취급하길 권하는 편임. 서버 한 대, 계정 하나를 관리대장에 올리듯 예외 경로도 소유자·사유·만료일이 붙어 있어야 함.

방어자가 지금 확인할 것

• 예외 인벤토리 수집: Windows Defender 환경이면 Get-MpPreference의 ExclusionPath·ExclusionProcess·ExclusionExtension을 전 엔드포인트에서 긁어 중앙에 모으고, 사용자 프로필 하위나 임시 폴더를 가리키는 항목부터 즉시 회수
• 변경 자체를 이벤트로: Defender 구성 변경 이벤트(5007)와 예외 관련 레지스트리 값 생성을 알람으로 승격. 예외 추가는 정상 업무에서도 드문 행위라 오탐 부담이 적음
• 로컬 병합 차단: 정책으로 로컬 관리자의 예외 병합을 막아, 단말 사용자가 임의로 예외를 추가하지 못하게 함
• 사이드로딩 패턴: 서명된 실행파일이 다운로드·임시·사용자 폴더에서 실행되며 같은 디렉터리의 DLL을 로드하는 조합을 탐지 규칙으로. 이미지 로드 이벤트에서 서명 없는 DLL을 서명된 프로세스가 올리는 경우가 핵심 신호
• EDR과 AV를 분리: AV 예외가 EDR 텔레메트리 수집까지 끄지 않도록 구성. 검사 예외와 관측 예외는 다른 개념이어야 함
• 게시자 화이트리스트 재점검: WDAC·AppLocker에서 게시자 규칙만 쓰지 말고 경로·해시와 결합. 광고·번들 소프트웨어 계열 게시자는 애초에 차단 목록에 두는 게 깔끔함
• 네트워크 관점: 일정 주기로 반복되는 비표준 포트 아웃바운드, TLS가 아닌 커스텀 바이너리 프로토콜, 새로 등장한 목적지 IP에 대한 장시간 세션 유지

사용자 교육은 문구를 바꿔야 함

"의심스러운 파일 열지 마세요"로는 이 공격을 못 막음. 이미 사용자는 자기가 원해서 그 프로그램을 설치하는 중이고, 화면의 안내가 그럴듯하기 때문임. 그래서 교육 문구는 이렇게 구체적이어야 한다고 봄. "어떤 정상 소프트웨어도 백신 예외 추가를 설치 조건으로 요구하지 않는다", 그리고 "예외 추가 요청은 그 자체가 침해 시도로 신고 대상"이라는 두 문장. 추상적인 주의보다 이런 단정적인 규칙 한 줄이 훨씬 잘 먹힘.

오늘 하루만 시간 내서 우리 조직 단말들의 예외 목록을 한 번 뽑아 보면 좋겠음. 아마 아무도 기억 못 하는 경로가 몇 개는 나올 텐데, 그게 지금 가장 싸게 막을 수 있는 구멍임. 뽑아 보고 이상한 항목 나왔다면 어떤 형태였는지 댓글로 공유해 주세요. 서로 사례를 모아두면 다음 캠페인 때 훨씬 빨리 알아볼 수 있을 겁니다. 같이 점검해 보아요!