← 메인으로

🐞 전자금융 보안 모의해킹 · 디버깅 탐지기능 적용

Target: 모바일/HTS 실행 중 프로세스
평가기준: 위험도 4 MOB/HTS-FIN 디버깅 탐지(021)
💡 쉽게 말하면
디버깅은 시계 뒷판을 열고 톱니를 멈춰가며 들여다보는 것입니다. 안티디버깅은 "뒷판이 열리면 작동을 멈추는" 장치라, 공격자가 멈춰 세워 분석·조작하지 못하게 합니다.
🔓 공격 시뮬레이션 (Red Team)
🛡️ 대응 방안 (Blue Team)
동적 디버깅·후킹🔒 Secured Channel
실행 중인 앱에 디버거(gdb/lldb)나 후킹 도구(Frida)를 붙이면, 인증 분기 함수를 가로채 우회하거나 메모리에서 평문 정보를 꺼낼 수 있습니다. 안티디버깅이 없으면 그대로 통합니다.
⚡ Frida 후킹으로 인증 우회
frida attach → 인증함수 return true 강제
OFF
🖥️ 금융 시스템 처리 로그
[SYSTEM] Core Banking Channel ready.
[INFO] 거래 요청 대기 중...
⚖️ 컴플라이언스 위반 분석
공격 실행 후 분석 결과가 표시됩니다.
[심각] 전자금융 보안 기준 위반 감지
  • 금융보안원 평가기준 [전자금융] 디버깅 탐지기능 적용(021) (위험도 4)
  • 역분석(동적 디버깅) 대응 미흡
  • 런타임 무결성·후킹 탐지 부재
🛡️ 대응 코드/설정 실습

앱 구동·주요 거래 시 디버거 연결·ptrace·Frida 후킹을 탐지하고, 탐지되면 즉시 서비스를 종료해야 합니다. 아래 코드를 보완하세요.

📚 금융보안원 평가기준 / 조치 가이드

1. 점검 항목

단말 보안 > 디버깅 탐지기능 적용

2. 위험 분석

  • gdb/lldb/Frida 부착으로 인증 분기 우회·메모리 덤프

3. 조치 방법

  • 디버거 연결·ptrace·후킹 탐지 루틴 적용
  • 탐지 시 즉시 종료 및 이벤트 보고
🏗️ 현대 금융 IT 환경에서의 변형
Frida 탐지RASP서버 상관분석

어디가 달라졌나

오늘날 모바일 분석의 표준 도구는 Frida 입니다. 디버거 연결(ptrace) 탐지만으로는 동적 계측을 잡지 못합니다. 게다가 탐지 코드를 Frida 로 무력화하는 스크립트가 공개되어 있어 클라이언트 단독 방어는 한계가 분명합니다.

현대 스택에서의 조치

  • 탐지 신호를 여러 개 겹치고(디버거·계측 라이브러리 로드·후킹 흔적·타이밍 이상), 서버로 전송해 상관분석합니다.
  • 탐지 시 즉시 반응하지 않습니다. 바로 종료하면 공격자가 어느 코드가 탐지기인지 즉시 알아냅니다 — 지연·서버측 제한이 유효합니다.
  • 상용 RASP 도입 시에도 서버측 이상거래탐지(FDS)와 연동해야 의미가 있습니다.
놓치기 쉬운 곳 — 이 항목은 완전한 방어가 불가능하다는 전제에서 설계해야 합니다. 목표는 “분석 불가”가 아니라 “비용을 올리고, 시도를 서버가 알아채는 것” 입니다. 따라서 탐지 이벤트가 서버 로그에 남고 FDS 가 소비하는지가 실질적인 점검 포인트입니다.