Tool 사용법 - Gmer

Gmer

 

Gmer 은 숨겨진 쓰레드, 프로세스, 서비스, 레지스트리 키, 드라이버, 파일, 모듈 등의 루트킷에 대한 스캔기능을 제공하며, SSDT를 Hooking하는 드라이버, IDT를 Hooking하는 드라이버, IRP Calls를 Hooking하는 드라이버에 대한 루트킷 스캔 기능 또한 가능하다. 그리고 파일기능, 라이브러리 로딩, 드라이버 로딩, 프로세스 생성, 레지스트리 엔트리, TCP/IP 에대한 모니터링 기능을 제공하며, 지속적인 패치버전의 제공으로 범용적으로 사용할 수 있도록 제공된다.

 아래그림은 Processes, Modules, Services, Files, Registry, Rootkit/Malware, Autostart, CMD 메뉴가 있는 것을 볼 수 있으며 각각의 메뉴마다 다양한 기능을 제공한다.

 

Services탭은 루트킷등과 같은 서비스 이외에도 PC에 적용되어 있는 모든 서비스들에 대한 상태 및 출처와 같은 정보 확인이 가능하며, 삭제 또한 진행 할 수 있다.

 

 

 

 

 

Process Explorer와 Autoruns 등의 Tool로 악성코드 감염 의심파일에 대한 확인 및 제어가 어려운 상황에서 사용되는 Tool 이며, SSDT Hooking 이외의 다양한 루트킷 악성코드에 대하여 분석할 수 있는 정보가 제공된다.

 

Disable service 기능등을 수행하며 확인한 서비스명으로 레지스트리의 Services 하위에 해당 서비스명으로 키값이 등록되어 있는것을 확인 할 수 있다. 다만, 레지스트리 등록 값에 대한 확인 및 수정은 가능하나 삭제는 불가능하다. 

 

 

 

 추가적인 정보들을 모두 얻었다면 재부팅을 진행하고 재부팅후에는 서비스로 등록되었던 키값 및 실제 파일에 대한 확인 및 제어가 가능하다.

 해당 루트킷에 대한 백신의 진단이 불가능 하거나 파일에 대한 일반적인 채취가 불가능할 시 Gmer에서 제공하는 복사기능을 이용하여 채취 후 백신 업체등에 신고하여 추후에는 백신상에서 안전하고 편리하게 치료기능을 제공 받을 수 있도록 한다.

 Gmer는 강력한 안티 루트킷 서비스를 제공하는 대신 제어에 많은 주의를 요구한다. 접근이 어려운 파일등에 대한 제어가 가능하기 때문에 정상파일에 대한 삭제가 진행될 수 있기 때문이다.

 위에서 설명한 Disable service가 아닌 상단의 Delete service기능을 수행 할 경우 서비스값 뿐만 아니라 해당 파일에 대한 삭제까지 가능하니 네트워크 패킷 발생등의 목적으로 정상 svchost.exe를 통해 루트킷 서비스로 등록(svchost명으로 서비스 등록)되는 경우 정상파일이 삭제되지 않도록 주의해야 한다.

맛집 해킹 hacking web 웹 네트워크 network 학원 해커 크래커 hacker cracker 강아지 dog 고양이 해운대 강남 서면 보쌈 치맥 치킨 맥주 육회 회 포렌식 침해대응 cert 관제 모의해킹 mobile 모바일 무선 wireless 디지털포렌식 Clanguage C언어 C# JSP JAVA tool 해킹방어대회 ctf 문제풀이 기타 맛집 해킹 hacking web 웹 네트워크 network 학원 해커 크래커 hacker cracker 강아지 dog 고양이 해운대 강남 서면 보쌈 치맥 치킨 맥주 육회 회 포렌식 침해대응 cert 관제 모의해킹 mobile 모바일 무선 wireless 디지털포렌식 Clanguage C언어 C# JSP JAVA tool 해킹방어대회 ctf 문제풀이 기타