프로세스 할로잉 탐지: RAM은 당신의 보물입니다!

이 글은 프로세스 할로잉이 신뢰할 수 있는 Windows 프로세스 안에 악성코드를 숨기는 방식을 설명한다.

캡처한 RAM과 Volatility를 통해 실제 프로세스 트리, 주입된 코드, 의심스러운 메모리 영역을 확인할 수 있음을 보여준다.

pstree, malfind, netscan 같은 결과물을 활용하면 침해 여부와 네트워크 활동을 함께 파악할 수 있다.

할로잉된 악성코드는 디스크에 뚜렷한 흔적을 남기지 않을 수 있어, 메모리 포렌식이 탐지에 매우 중요하다.