[랜섬웨어] CPU 벤더를 통한 가상머신 실행 여부 확인

가상머신(Virtual Machine)이란?

가상 머신은 하나의 물리적 컴퓨터 시스템 안에서 소프트웨어를 사용하여 여러 개의 독립적인 가상 컴퓨터 환경을 생성하는 기술입니다. 이 가상 머신들은 각각 독립적인 운영체제 및 애플리케이션을 실행할 수 있습니다. 가상 머신은 하이퍼바이저(Hypervisor)라는 소프트웨어 계층을 통해 호스트 시스템의 하드웨어 자원을 분할하고 각 가상 머신에 할당하여 실행합니다.

 

CPU 벤더란?

CPU 벤더는 CPU(중앙 처리 장치)를 제조하는 회사를 의미합니다. 각 벤더는 고유의 벤더 ID를 가지고 있으며, 이를 통해 CPU가 어느회사에서 제조되었는지를 식별할 수 있습니다.

가상 환경에서는 가상 머신의 하이퍼바이저(ex: VMware, VirtualBox 등)가 실제 물리적 CPU를 에뮬레이트하거나 pass-through 형태로 제공하지만, 이를 통해 CPU 벤더 ID를 포함한 다양한 하드웨어 정보를 수정할 수 있습니다. 따라서 가상 환경에서도 특정 벤더 ID가 존재하며, 하이퍼바이저에 따라 이러한 정보가 다르게 나타날 수 있습니다.

CPU 벤더	벤더 ID
		Intel	GenuineIntel
AMD	AuthenticAMD
VIA Technologies	CentaurHauls
Transmeta	GenuineTMx86
VMware	VMwareVMware
VirtualBox	VirtualBox
Microsoft Hyper-V	Microsoft Hv

 

가상 머신 실행 여부 확인

앞서 정리한 CPU 벤더 ID를 사용하여 시스템이 가상 머신에서 실행 중인지 cpp 코드를 통해 확인할 수 있습니다. intrin.h 헤더 파일에 정의된 __cpuid 함수를 사용하면 이를 간편하게 할 수 있습니다.

• __cpuid(info, function_id): intrin.h 헤더 파일에 정의된 함수로, function_id 값에 따라 cpuid 명령을 실행하고 결과를 info 배열에 EAX, EBX, ECX, EDX 레지스터의 값을 저장합니다.

이를 사용하여 프로그램이 동작하고 있는 시스템의 벤더 ID를 알 수 있다.

#include <iostream>
#include <array>
#include <intrin.h>

void cpuid(int info[4], int function_id) {
    __cpuid(info, function_id);
}

int main() {
    std::array<int, 4> cpui;
    cpuid(cpui.data(), 0);
    std::cout << "Vendor ID: "
              << std::string(reinterpret_cast<const char*>(&cpui[1]), 12) << std::endl;
    return 0;
}

 

코드를 확장하여 프로그램이 가상머신에서 실행중인지 여부를 확인할 수 있다.

#include <iostream>
#include <array>
#include <intrin.h>

bool checkCpuVendor(const char* vendor) {
    std::array<int, 4> cpui;
    __cpuid(cpui.data(), 0);
    char vendor_id[13];
    memcpy(vendor_id, &cpui[1], 4);  // EBX
    memcpy(vendor_id + 4, &cpui[3], 4);  // EDX
    memcpy(vendor_id + 8, &cpui[2], 4);  // ECX
    vendor_id[12] = '\\0';
    return strcmp(vendor_id, vendor) == 0;
}

bool checkVirtualEnvironment() {
    // Check common CPU vendors used by virtual environments
    if (checkCpuVendor("KVMKVMKVM") || checkCpuVendor("Microsoft Hv") || checkCpuVendor("VMwareVMware")) {
        return true;
    }

    // Check for hypervisor bit
    std::array<int, 4> cpui;
    __cpuid(cpui.data(), 1);
    bool isHypervisor = cpui[2] & (1 << 31);
    if (isHypervisor) {
        return true;
    }

    return false;
}

int main() {
    if (checkVirtualEnvironment()) {
        std::cout << "This system is running in a virtual environment." << std::endl;
    } else {
        std::cout << "This system is not running in a virtual environment." << std::endl;
    }
    return 0;
}

결론

최신 랜섬웨어는 가상머신에서의 분석을 피하기 위해 현재 시스템 CPU 정보를 조회하여 실행을 결정하는 코드를 포함하고 있습니다. 이로 인해 가상머신에서의 탐지를 피하고 보안 연구자들이 분석하고 대응하기 어렵게 만듭니다.