악성코드 하나를 지웠는데 왜 추가 확인이 필요할까요

악성코드는 한 번에 모든 일을 하지 않을 수 있습니다. 작은 전달 프로그램이 먼저 실행되고 나중에 다른 백도어나 정보 탈취 프로그램이 설치되는 방식도 있습니다.

그래서 처음 발견한 이름만으로 피해를 모두 설명하기 어렵습니다. 로더를 찾았다는 사실은 후속 프로그램이 반드시 실행됐다는 뜻도 아닙니다.

공급망 침해에서는 프로그램을 만드는 환경을 바꾼 도구와 이용자에게 전달된 백도어가 구분됩니다. 같은 조사에서 발견한 다른 웹셸은 별도 침해의 증거일 수도 있습니다.

관련 용어를 읽을 때는 무엇을 전달했고 어디서 실행됐는지 살펴보면 이름을 한꺼번에 외우는 것보다 이해하기 쉽습니다.

실행된 후속 파일과 계정, 자료 전송의 증거를 확인한 뒤 정리 범위를 정합니다. 모든 프로그램이 실행됐다고 가정할 필요는 없지만 처음 탐지된 파일만으로 완료를 판단해서도 안 됩니다.

실제 장치의 증거가 없는 일반 설명을 특정 고객의 복구 사례처럼 표현하지 않습니다. 이 글은 감염 단계를 이해하기 위한 안내입니다.