Office 악성코드 포렌식 랩 — REMnux 정적 분석

격리된 REMnux VM 내부에서 전적으로 수행한 두 개의 악성 Office 파일에 대한 정적 분석입니다. 아무것도 실행하지 않았으며, 단지 검사만 했습니다.

설정

• REMnux VM, 호스트와 공유 폴더 없음
• 도구: sha256sum, file, unzip, 그리고 oletools 제품군(oleid, olevba, oledump, mraptor)
• 두 샘플 모두 MalwareBazaar(abuse.ch)에서 가져옴

샘플 1: 악성 Word 문서(.docx)

SHA-256: 68e82279bff55cf3b9f1f22ec4a165b1b1245a359f7e8d86664b2541d8f8d3fe

발견한 내용:

• docx 내부의 파일(nste.xml)이 실제로는 XML인 척하는 Rich Text Format 데이터였음 — 그 자체로 위험 신호인 불일치
• 내장 객체 중 하나는 196 KB 크기의 VBS 실행 파일(419876.vbs)이었음
• 또 다른 내장 객체는 CVE-2017-11882와 일치했음 — 매크로 없이 파일을 여는 것만으로 실행되는 알려진 Equation Editor 익스플로잇

판정: 악성. 알려진 RCE를 이용해 실행 파일을 드롭하는 실제 무기화된 문서입니다.

샘플 2: 악성 Excel 파일(.xlsx)

SHA-256: dc65419ba5d83b980d7018198a14209fa2f5ebf6f99d47bfe9f586852087befe

발견한 내용:

• 파일이 암호화되어 있었음(비밀번호 보호). 이는 일반적으로 AV 스캐너로부터 매크로 내용을 숨김
• VBA 모듈이 4개 있었지만 4개 모두 비어 있는 것으로 나타남 — mraptor는 AutoExec/Write/Execute 플래그 없이 "Macro OK"를 반환
• 워크시트 하나가 숨겨져 있었음
• VBA 계층과 별개로 구식 XLM 매크로 스트림에 16진수로 인코딩된 문자열이 있었음
• 해당 문자열을 디코딩해도 셸코드나 다운로드 URL은 나오지 않았고, 일부 타입 라이브러리 식별자만 나왔음

판정: 의심스럽지만 단정할 수 없음. 암호화, 숨겨진 시트, 난독화된 문자열은 모두 회피 기법처럼 보이지만, VBA 계층에서 실제 활성 페이로드를 확인하지는 못했습니다. 실제 페이로드는 (완전히 리버싱하지 않은) 레거시 XLM 매크로 계층에 있을 수도 있고, 이 샘플이 불완전하거나 스테이징 단계의 샘플일 수도 있습니다.

수행한 단계

1. 증거 보관을 위해 각 파일의 해시(SHA-256) 계산
2. file로 실제 파일 형식을 확인하고 확장자와 비교
3. oleid를 실행해 암호화/매크로/외부 링크를 빠르게 파악
4. oledump를 실행해 모든 내장 객체를 나열
5. olevba를 실행해 VBA 소스를 추출하고 디코딩
6. mraptor를 실행해 자동 실행 매크로 동작 여부를 확인

이 사례가 보여주는 것

• 탐지를 피하기 위해 사용된 파일 형식 불일치를 식별하는 방법
• 매크로가 전혀 필요 없는 CVE-2017-11882의 동작 방식
• 표면적 지표로 추정하는 대신 매크로 동작을 실제로 검증하는 방법
• 암호화 + 숨겨진 시트 + 난독화된 문자열이 반드시 "악성 확인"을 의미하지는 않는 이유 — 때로는 증거가 단정적이지 않으며, 이를 솔직하게 밝히는 것이 중요합니다

출처

• CVE-2017-11882: Microsoft Equation Editor RCE
• oletools: https://github.com/decalage2/oletools
• MalwareBazaar: https://bazaar.abuse.ch
• REMnux 문서: https://docs.remnux.org

작성자

Mofolorunsho Adeleke GitHub: https://github.com/Mo200909