[인프라진단] #U-33 숨겨진 파일 및 디렉토리 검색 및 제거

1. 항목 설명

점으로 시작하는 파일은 정상 설정에도 널리 쓰이지만, 공격 도구나 실행 스크립트를 숨기는 데 악용될 수 있습니다. 존재 자체보다 용도와 변경 이력이 중요합니다.

판단 기준: 불필요하거나 출처가 확인되지 않은 숨김 파일·디렉터리가 없으면 양호입니다.

2026 가이드 근거

출처: 과학기술정보통신부·한국인터넷진흥원, 「2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」, U-33, p.67. 본 게시글은 위 가이드의 판단 기준을 참고하여 작성했으며, 진단 결과와 증적은 개인 실습 환경에서 직접 수집했습니다.

2. 점검 목적

사용자 홈과 주요 경로에서 은닉된 비인가 실행 파일을 식별하고 제거하는 것이 목적입니다.

3. 실습 환경

• 원본 진단 환경: Ubuntu Server 24.04.2 LTS, Linux 6.8.0-53-generic
• 설정 화면 확인 환경: Ubuntu Server 24.04.4 LTS, Linux 6.8.0-138-generic
• 가상화 환경: VMware Workstation
• 호스트 이름: u-lab
• 네트워크: VMware Host-only 격리망, 기본 게이트웨이 없음
• 원본 진단 실행 ID: 20260903-094131
• 증적 화면 캡처일: 2026-09-07
• 화면 수집 방식: VMware Ubuntu VM 콘솔 직접 캡처

최초진단과 이행진단 이미지는 2026-09-03에 실제로 수집한 원본 결과를 VM 콘솔에서 열어 캡처했습니다. 화면의 원본 수집 날짜와 캡처 날짜를 구분했으며, 과거 결과를 현재 재진단 결과로 표시하지 않았습니다. 취약 상태 구성과 조치에는 격리된 관리 연결을 보조적으로 사용했습니다.

설정 확인 이미지는 캡처일의 VM에서 명령을 실행한 화면입니다. 실습 종료 후 임시 계정·공유를 제거하거나 서비스를 중지한 항목은 이행진단 당시 상태와 현재 정리 상태가 다를 수 있습니다.

4. 취약 상태 구성

사용자 홈에 문서화되지 않은 실행 가능 숨김 파일 .u33-lab.sh를 만들었습니다.

이 구성은 인터넷과 분리된 실습 VM에서 관리자 권한으로만 수행했습니다.

구성 방법

printf '# controlled U-33 laboratory artifact\n' | sudo tee /home/codex/.u33-lab.sh
sudo chown codex:codex /home/codex/.u33-lab.sh
sudo chmod 0700 /home/codex/.u33-lab.sh

구성 후 다음 명령으로 실제 상태를 확인했습니다.

sudo find /home -xdev -name '.*' -printf '%m %u:%g %p\n'

5. 최초진단 결과

• 판정: 취약
• 원본 진단 판정 근거: 문서화되지 않은 실행 파일 /home/codex/.u33-lab.sh가 발견됐습니다.

U-33 최초진단 현황 증적

6. 조치 방법

파일 내용과 사용처를 확인해 실습용임을 식별한 후 제거하고 같은 이름을 재검색했습니다.

sudo rm -f /home/codex/.u33-lab.sh
sudo find /home -xdev -name '.u33-*' -print

Linux 설정 확인 위치: 사용자 홈과 주요 애플리케이션 경로의 숨김 항목

U-33 Linux 설정 확인 화면 증적

7. 이행진단 결과

• 판정: 양호
• 원본 진단 판정 근거: 진단 대상으로 만든 의심 숨김 파일이 더 이상 검색되지 않았습니다.

U-33 이행진단 현황 증적

8. 실무 주의사항

.ssh, .profile, .config처럼 정상 숨김 항목이 많으므로 자동 삭제하면 안 됩니다. 소유자, 해시, 실행 권한, 최근 변경과 프로세스 참조를 함께 봅니다.

컨설턴트 조언

• EDR·파일 무결성 기준과 연계해 새로 생성된 실행 가능 숨김 파일을 우선순위 높게 조사합니다.
• 심볼릭 링크와 ACL까지 확인해 단순한 ls -l 결과만으로 판정하지 않습니다.
• 패키지 또는 서비스가 요구하는 소유자·권한 예외는 담당자와 근거, 종료일을 남깁니다.
• 변경 전 원본을 보관하고 조치 후 관련 서비스의 문법 검사와 기능 시험을 수행합니다.

9. 마무리

이번 실습에서는 실제 최초·이행진단 기록과 VM 콘솔 캡처를 비교했습니다. 운영 환경에서도 변경 후 기능 시험과 정기 재점검을 함께 수행해야 합니다.