[보이지 않는 Linux 위협과 대응 2부] 은닉 루트킷 탐지부터 치료까지

실제 고객 현장에서 시작된 보안 과제

2025년12월 국내 고객은 Linux 서버에 숨어 있는 악성코드를 탐지하고 치료할 수 있는 방안을 요청했다. 일반적인 악성코드 대응은 시스템에서 확인된 의심 파일이나 프로세스를 검사해 악성 여부를 판단하는 방식으로 이뤄진다. 하지만 Syslogk는 Linux 커널 영역에서 동작하며 자신의 커널 모듈과 관련 파일, 프로세스 및 네트워크 통신을 시스템 조회 결과에서 숨기기 때문에 기존 방식으로 식별하기 어렵다.

이 때문에 악성 여부를 진단하려면 먼저 일반적인 조회에서 드러나지 않는 위협을 찾아야 했다. AhnLab은 고객 현장에서 확인된 문제를 바탕으로 Syslogk의 은폐 방식을 분석하고, Linux 서버에서 은닉된 루트킷을 탐지하고 대응하기 위한 기술 개발에 착수했다.

분석에서 제품 기능으로 이어진 은닉 루트킷 검사

Syslogk와 같은 위협에 대응하려면 일반적인 악성코드 검사와는 다른 접근이 필요하다. Syslogk가 관련 파일을 숨기기 때문에 먼저 은닉된 루트킷을 탐지하고, 숨겨진 대상을 다시 조회할 수 있는 상태로 만들어야 하기 때문이다. ASEC는 Syslogk가 자신의 커널 모듈과 관련 파일을 숨기는 방식을 분석하고 AhnLab은 이를 바탕으로 AhnLab V3 Net for Linux Server의 ‘은닉 루트킷 검사’ 기능을 구현했다. 이 기능은 시스템에 숨어 있는 커널 모듈을 탐지한 뒤 은폐 상태를 해제하고 확인할 수 있게 된 파일은 V3 엔진을 통해 악성 여부를 진단하고 치료한다.

과거에는 별도의 치료 스크립트를 이용해야 했지만, 이제 AhnLab V3 Net for Linux Server에서 은닉 루트킷 탐지와 은폐 해제, 악성코드 진단 및 치료까지 가능해졌다.

은닉 루트킷 탐지와 치료 과정

V3 Net for Linux Server의 은닉 루트킷 대응 과정은 Detect, Unhide, Remove, Diagnose, Treat의 다섯 단계로 진행된다.

실제 감염 환경에서 확인한 탐지와 치료

ASEC는 실제 Syslogk 감염 환경에서 AhnLab V3 Net for Linux Server의 탐지 및 치료 과정을 확인했다.

Syslogk가 동작하는 감염 환경에서 ~/test 경로에서 ls와 ll 명령을 실행한 결과에는 flock_repro.c, ptestfile, trigger_rename.sh 세 항목만 나타난다. 즉 일반 조회 명령으로 Syslogk의 동작이 확인되지 않는다.

이어서 V3 Net for Linux Server의 은닉 루트킷 검사를 실행하면, 기존에는 확인되지 않던 은닉 커널 모듈이 탐지되며 은폐 상태가 해제된다.

조치 후 같은 ~/test 경로에서 ls 명령을 실행하면 숨겨져 있던 항목이 나타난다. 이는 Syslogk가 시스템 정보를 조작해 자신과 관련된 흔적을 숨기고 있는 상황에서 먼저 은폐 기능을 무력화하고, 숨겨져 있던 대상을 다시 확인할 수 있는 상태로 복원한 뒤 진단 및 치료가 가능한 상태가 되었음을 보여준다.

고객의 보안 과제를 실제 제품 기능으로

이번 사례는 Syslogk라는 하나의 Linux 루트킷을 분석한 데 그치지 않는다. 실제 고객 환경에서 확인된 보안 문제를 분석하고, 제품에서 대응할 수 있는 기능으로 구현했다는 데 의미가 있다. 현장의 요구는 은폐 메커니즘 분석으로 이어졌고, 분석 결과는 기존 검사 체계가 대상을 확보하지 못하는 공백을 드러냈다. AhnLab V3 Net for Linux Server의 ‘은닉 루트킷 검사’는 이러한 관점에서 공백을 은닉 커널 모듈 탐지와 가시성 복원 기능으로 보완하고, 다시 확인된 파일을 V3 엔진의 진단 및 치료로 연결했다.

AhnLab은 고객 현장의 보안 과제를 ASEC의 위협 분석과 제품 기술로 연결해 Linux 서버 보안 대응 역량을 강화하고 있다.

더 자세한 Syslogk 분석