bj.choi - notes

[Security] VirusTotal

Updated:

VirusTotal의 기능, 세부적인 사용법과 분석 방법론을 정리했습니다.

개요

VirusTotal의 아래 내용을 정리했습니다.

요약

VirusTotal은 관제, CERT, 진단 업무를 수행할 때 많이 사용됩니다.의심가는 파일을 업로드하며 해당 파일이 안전한지 검증할 수 있습니다. 기초 분석, 정적 분석, 동적 분석 3 가지 중 파일을 단순 업로드하여 분석하는 기초 분석 단계에 해당합니다.

VirusTotal이 제공하는 여러 분석 값은 실시간으로 검증한 게 아닌 과거의 이력,을 통해 진행한 것으로 현행화된 내용을 기반으로 해야합니다. Behavior라도 Sandbox 환경의 불일치 등의 문제가 발생할 수 있으니 반드시 분석은 현재 환경/상황에 맞춰 스스로 진행해야합니다.

파일 업로드 시 주의사항은 다음과 같습니다

따라서 VirusTotal은 이후 정적 분석과 동적 분석을 위한 방향성으로 사용해야합니다. 악성코드는 또한 특성과 성질이 최신화되기 때문에 100% 확신이 불가능합니다.

따라서 VirusTotal은 기초 분석 중 하나의 가능성으로 파악하며 반드시 정적 분석, 동적 분석과 연계하여 수행합니다.

1. VirusTotal 주요 기능

핵심 스캐닝 기능

고급 분석 기능

VirusTotal Graph

Code Insight (AI 기반)

JA4 Client Fingerprinting (2024년 신규)

Sandbox 동적 분석

커뮤니티 기능

통계 및 데이터

2. VirusTotal 세부 사용 방법

웹 인터페이스 사용법

파일 검사

  1. virustotal.com 접속
  2. Choose file 클릭 → 파일 업로드 (최대 650MB)
  3. 업로드 전 자동 hash 검사 → 기존 분석 있으면 즉시 결과 표시
  4. 신규 파일은 분석 대기열 진입 (우선순위: 웹 > API)

URL 검사

  1. URL 탭 선택
  2. 검사할 URL 입력 (http:// 또는 https:// 포함)
  3. URL 평판, 리다이렉션 체인, 임베디드 리소스 확인

검색 기능

결과 해석

Detection 탭

Details 탭

Relations 탭

Behavior 탭 (Sandbox 분석 결과)

Community 탭

3. VirusTotal 분석 방법론

기초 분석 (정적 분석)

1단계: Hash 기반 사전 조회

목적: 이미 분석된 파일인지 확인
방법: MD5/SHA-256 해시값으로 검색
결과: 과거 분석 이력 즉시 확인, 시간·비용 절약

2단계: 멀티 엔진 탐지 결과 검토

3단계: 파일 메타데이터 분석

심화 분석 (동적 분석)

Behavior 탭 활용

프로세스 분석

네트워크 분석

파일 시스템 분석

MITRE ATT&CK 매핑 활용

사례: BlackHunt Ransomware 분석
- T1490 (Inhibit System Recovery) - Shadow Copy 삭제
- T1083 (File and Directory Discovery) - 파일 탐색
- T1486 (Data Encrypted for Impact) - 데이터 암호화
→ 전형적인 랜섬웨어 TTP 패턴 확인

고급 분석 기법

VirusTotal Graph 활용

  1. 초기 샘플에서 Contacted IPs 추출
  2. 해당 IP로 Graph 피벗 → 동일 IP 접속 파일 탐색
  3. 공통 파일에서 Dropped files 추적 → 캠페인 전체 구조 파악
  4. Whois 정보로 도메인 등록자 추적

Code Insight로 악성 행위 파악

Livehunt (YARA 기반 자동 헌팅)

rule Ransomware_Detection {
    meta:
        description = "랜섬웨어 행동 탐지"

    condition:
        attack_technique:T1490 and
        attack_technique:T1083 and
        behavior:CryptEncrypt and
        fs:2024-01-01+
}

주의사항

데이터 공유 리스크

오탐(False Positive) 대응

API 사용 정책 준수

실전 워크플로우 예시

의심 메일 첨부파일 분석

1. 첨부파일 Hash 추출 → VirusTotal 검색
2. 탐지 결과 없으면 → 파일 업로드
3. Detection 탭: 10/70 탐지 → 악성 가능성 판단
4. Behavior 탭: CreateMutex, 레지스트리 수정 확인
5. Relations 탭: C2 서버 IP 추출 → 방화벽 차단
6. Community 탭: "Emotet 캠페인" 태그 확인
7. 결론: Emotet 트로이목마로 최종 판정

알려지지 않은 APT 조사

1. 초기 샘플 업로드 (탐지율 낮음)
2. VirusTotal Graph로 Contacted IPs 피벗
3. 동일 인프라 사용 파일 20개 발견
4. Code Insight로 공통 악성 행위 패턴 추출
5. MITRE 매핑: T1071 (Application Layer Protocol), T1573 (Encrypted Channel)
6. YARA 규칙 작성 후 Livehunt 설정
7. 신규 변종 자동 탐지 체계 구축
VirusTotal
VirusTotal.pdf
2 MB
download-circle