[Malware Analysis] 악성 코드 분석 실습 환경 구축 1 - 리눅스 VM

0. 기본 랩 환경 구성도 

 
- host = Window 10 or 11
- VM 1 = Window 10  (ip = 192.168.1.100)
- VM 2 = Linux ( Ubuntu 24.04 )  (ip = 192.168.1.50)
 
- VM 1 (W) = 악성 코드 실행
- VM 2 (L)  = 네트워크 트래픽 모니터링 DNS . 인터넷 서비스 시뮬레이션
 
모든 VM들은 동일한 네트워크에 할당하고 
host only 모드로 격리할 것
 

1. 가상화 소프트웨어 설치 - VMware Workstation Pro 17 

VMware 는 올해 2024년 5월부터 개인 유저를 위한 무료 라이센스 정책을 시행해서
브로드컴을 통해 무료로 pro를 사용할 수 있다
우리는 가상화 소프트웨어로 vm ware를 사용할 예정이라 
아래 링크에 진입해서 회원 가입한 후  VMware Workstation Pro 17 을 설치해야한다
(필자는 VMware Workstation Pro 17.0 for Personal Use Windows 17.5.2 를 설치했다)
https://support.broadcom.com/c/portal/login?redirect=%2Fgroup%2Fecx%2Fproductdownloads%3Fsubfamily%3DVMware%2BWorkstation%2BPro&refererPlid=36&p_l_id=33047

Home - Support Portal - Broadcom support portal

 
 
워크스테이션 설치는 모두 디폴트 값으로 next를 누르고 설치했다
라이센스를 입력해야할 때는 퍼스널 유즈를 선택하면 된다
 
 

2. Linux 가상 머신 생성

가상 머신을 직접 생성해도 되지만 이 과정은 익숙하니까 
설치된 가상 머신 이미지를 다운 받아서 사용하는 방법 (훨씬 간단) 으로 진행해보겠다
 
아래 링크에서 
Ubuntu 24.04 Noble Numbat 을 찾고
VMware를 선택해서 64bit.7z 를 다운받는다
 
https://www.osboxes.org/ubuntu/

Ubuntu Virtual Machine Images for VirtualBox and VMware

 
 
다운이 완료되면 압축을 해제해서 Ubuntu 24.04 64bit.vmdk 파일을 획득하고
워크스테이션에서 custom (advanced) 옵션으로 가상머신을 생성하고
가상 디스크 생성단계에서 기존 디스크 사용을 누른 후 
압축 해제한 파일을 선택하면 된다
나머지는 모두 디폴트로 진행하면 된다
 
osboxes 에서 다운 받은 vm의 계정은 osboxes 이고 
계정의 비밀번호는 osboxes.org 이다

3. Linux 가상 머신 기본 설정
 
파이썬 패키지 관리자를 설치한다

sudo apt-get update
sudo apt-get install python3-pip
sudo rm /usr/lib/python3.11/EXTERNALLY-MANAGED
pip install –upgrade pip

기타 패키지 도구를 설치한다

pip install python-magic
sudo apt-get install upx
pip install pefile
sudo apt-get install yara
pip install yara-python
sudo apt-get install ssdeep
sudo apt-get install build-essential libffi-dev python3-dev libfuzzy-dev
pip install ssdeep
sudo apt-get install wireshark
sudo apt-get install tshark
sudo apt-get install inetsim net-tools

 
 
 
네트워크 어댑터를 설정한다

워크스테이션 상단바 VM 메뉴에서 setting으로 들어가면 

하드웨어 설정 - 네트워크 어댑터 - 네트워크 커넥션 host only 모드 로 설정한다
vm을 호스트 시스템으로부터 격리시키기 위함이다
 

터미널에 네트워크 관리자 yaml 파일을 nano 로 연다는 명령어를 입력하고
(vi로 열어도 되는데 필자는 nano 단축키 사용이 더 익숙하다)

Network:
 version: 2
 renderer: networkd
 ethernets:
 ens33:
 dhcp4: no
 addresses:
 - 192.168.1.100/24

를 입력한 후 설정이 적용되도록

apply 명령어도 실행한다
 
적용되었는지 확인하기 위해 ifconfig 를 입력해보면

잘 적용되었음을 알 수 있다
 
INetSim 을 설정하려고 한다
inetsim은 지정된 ip 주소로 모든 서비스를 리스닝하고 시뮬레이션하도록 설정하는 것으로
bind 주소와 dns 주소를 리눅스 vm ip로 설정해야한다

 

서비스 바인드 주소를 설정하고
 

기본 dns 주소를 설정한 후 저장하고
 

진행 중이던 inetsim 이 있다면 종료한 후 새로 시작해본다
 
제대로 수행된다면 ctrl c 로 종료하면 된다
 
 
지금까지의 설정을 기본값으로 앞으로 다양한 실습을 진행할 예정이니 
이번에 해둔 기본 설정으로 언제든 돌아올 수 있게 
스냅샷을 찍어두자

 
상단바에서 VM - 스냅샷 - 찍기를 선택해서 저장해두면 된다
 
스냅샷 이름은 initial version 쯤으로 해두면 알아보기 쉬울 것이다