[ 보안 ] DLL 하이재킹의 탐지 및 예방

DLL 하이재킹은 무엇인가?

DLL은 동적 연결 라이브러리(Dynamic Link Library)의 약자로 윈도 계열의 운영체제에서 사용하고 있습니다.

윈도에서 프로그램을 실행할 때 실행 파일은 DLL에 포함된 라이브러리를 불러와 실행하게 됩니다.

 

하이재킹이란 납치 또는 도용한다는 뜻입니다.

 

DLL 하이재킹은 윈도에서 모든 응용 프로그램을 실행하는 데 필요한 DLL 파일을 원래의 DLL 파일이 아닌 위조된 DLL 파일로 대체하여 해당 응용 프로그램을 실행하게 되면 바꿔치기 된 위조 DLL 파일의 라이브러리가 참조되면서 여러분의 PC가 해킹되거나 바이러스에 감염되는 등 심각한 위험을 치르게 됩니다.

 

 

 

 

 

 

DLL 하이재킹을 감지하는 방법

DLL 하이재킹을 감지하는 가장 쉬운 방법은 타사 도구(백신 또는 전용 탐지 도구)를 사용하는 것입니다.

대부분의 알려진 DLL 하이재킹을 탐지는 백신 프로그램만으로도 충분하지만, 백신으로도 거르지 못하는 최신의 신종 DLL 하이재킹의 경우는 여러 보안 업체에서 따로 도구를 만들어 무료로 배포하기도 합니다.

 

 

DLL 하이재킹을 예방하는 방법

원칙적으로 여러분이 DLL 하이재킹을 완벽하게 차단하거나 예방할 수 있는 방법은 존재하지 않고 다만 보안을 강화하는 방법이 최선입니다.

DLL은 윈도에서 프로그램을 실행하기 위한 필수요소이고 초기 프로그래머의 실수로 의도치 않게 취약점이 포함될 수 있으며 목표 프로그램의 DLL 파일의 위치만 알게 되면 단지 DLL 파일을 덮어씌우기 만으로도 침투가 완성되는 것이기 때문에 완벽한 차단방법은 존재하지 않습니다.

그런데도 여러분은 보안시스템을 확장하고 최대한의 예방 조처를 하고 신뢰성 있는 방화벽을 사용하고 심지어 하드웨어 방화벽을 설치하는 등의 노력을 기울여야 할 것입니다.

 

 

DLL 하이재킹을 예방하기 위한 최소한의 방법

 

1. Windows 보안 패치

Microsoft는 주기적으로 윈도에 대한 보안취약점을 해결한 패치를 제공하고 있습니다.

아무리 게으른 사용자라고 하더라도 이 보안패치만은 최소한 반드시 빠짐없이 해주시는 게 좋습니다.

만일 윈도의 자동업데이트를 실행하고 있다면 보안업데이트는 필수적으로 업데이트 되고 있습니다.

 

2. 원격 네트워크 공유 또는 WebDAV에서 DLL 파일의 로딩을 비활성화

아래의 링크를 방문하시어 확인과 패치를 하시시기 바랍니다.

 

원격 코드 실행 문제 패치 : https://technet.microsoft.com/library/security/2269637

WebDAV 위치에서 라이브러리 로드 문제 패치 : https://support.microsoft.com/ko-kr/kb/2264107

 

3. WebClient 서비스를 사용 안 함 또는 수동으로 설정

"services.msc"를 실행하여 서비스 목록에서 WebClient를 찾아 사용 안 함 또는 수동으로 설정합니다.

 

 

4. 통계적으로 DLL 하이재킹에 가장 많이 사용되는 NetBios에 사용하는 포트(TCP 455 및 139 포트) 차단

 

 

 

 

언급하진 않았지만, 신뢰성 높은 백신을 사용하는 것은 기본 중의 기본 사항이며 알 수 없는 경로에서 프로그램을 내려받거나 설치 할 때는 특히 주의를 기울여야 할 것입니다.