[논문 리뷰] A Retrospective Analysis of User Exposure to (Illicit) Cryptocurrency Mining on the Web

Ralph Holz, Diego Perino외 7명|arXiv (Cornell University)|2020. 04. 28.

Spam and Phishing Detection참고 문헌 8인용 수 4

한 줄 요약

이 논문은 대학 네트워크, 인터넷 서비스 제공업체, 브라우저 확장 프로그램, 프록시/토르 네트워크를 통해 피assage 모니터링을 이용해 브라우저 기반 암호화폐 채굴에 대한 사용자 노출을 후향적이고 종단 간 분석하였다. 실제 사용자 노출은 매우 낮았으며, 짧고 드문드문한 수준이었으며, 이는 이전의 주기적 스캔 결과와 정반대되는 것으로, 저가형 기기에서 악성 모바일 앱을 통한 알려지지 않은 공격 벡터를 특정하였다.

ABSTRACT

In late 2017, a sudden proliferation of malicious JavaScript was reported on the Web: browser-based mining exploited the CPU time of website visitors to mine the cryptocurrency Monero. Several studies measured the deployment of such code and developed defenses. However, previous work did not establish how many users were really exposed to the identified mining sites and whether there was a real risk given common user browsing behavior. In this paper, we present a retroactive analysis to close this research gap. We pool large-scale, longitudinal data from several vantage points, gathered during the prime time of illicit cryptomining, to measure the impact on web users. We leverage data from passive traffic monitoring of university networks and a large European ISP, with suspected mining sites identified in previous active scans. We corroborate our results with data from a browser extension with a large user base that tracks site visits. We also monitor open HTTP proxies and the Tor network for malicious injection of code. We find that the risk for most Web users was always very low, much lower than what deployment scans suggested. Any exposure period was also very brief. However, we also identify a previously unknown and exploited attack vector on mobile devices.

연구 동기 및 목표

• 실제 사용자 노출 수준을 측정하여, 배포 지표에 머무르지 않고 실제 브라우저 사용 행동을 고려한 불법 브라우저 기반 암호화폐 채굴의 실제 영향을 파악하는 것.
• 실제 브라우저 행동을 고려할 때, 채굴 코드의 높은 배포율이 의미 있는 사용자 위험으로 이어지는지 조사하는 것.
• 프록시 및 토르 네트워크 인젝션과 같은 대체 공격 벡터를 포함하여, 이전에 알려지지 않은 공격 벡터를 특정하고 분석하는 것.
• 피assage 사용자 노출 데이터를 바탕으로 기존 방어 조치(예: 블록리스트)의 효과성을 평가하는 것.
• 이전 주기적 스캔 연구에서 과대평가된 위험을 수정하기 위한 종단 간 다중 소스 분석을 제공하는 것.

제안 방법

• 다양한 관측 지점에서의 통합 피assage 트래픽 모니터링 데이터: 대학 네트워크, 유럽 대규모 모바일 ISP, 그리고 대규모 사용자를 보유한 브라우저 확장 프로그램.
• Coinhive, Authedmine 및 기타 사이트를 식별하기 위한 주기적 스캔 및 분류기 데이터를 활용해 결과를 확인.
• 악성 코드 주입 여부를 점검하기 위해 오픈 HTTP 프록시(일일 최대 25만 개) 및 토르 익스잇 노드를 모니터링.
• 채굴 사이트에서의 세션 지속 시간과 CPU 사용 패턴을 분석해 사용자 참여도를 평가.
• 2018~2019년의 종단 간 데이터를 활용해 노출 추세 및 사용자 행동의 시간적 변화를 분석.
• 활성 테스트를 통한 분류기 정확도 검증 및 데이터셋 간 일관성을 확보하기 위해 결과를 상호 교차 검증.

실험 결과

연구 질문

• RQ1 실제 브라우저 사용 행동을 고려할 때, 실제 웹 사용자가 브라우저 기반 암호화폐 채굴에 얼마나 자주 실제로 노출되었는가?
• RQ2 프록시 및 토르 네트워크 인젝션은 사용자 노출에 얼마나 기여했으며, 이 공격 벡터는 얼마나 널리 퍼져 있었는가?
• RQ3 사용자가 채굴 사이트에 머무르며 채굴 풀에 기여할 수 있을 정도로 충분히 오래 머물렀는가? 세션 지속 시간에 영향을 주는 요소는 무엇인가?
• RQ4 특히 모바일 기기에서 알려지지 않았거나 보고되지 않은 공격 벡터가 있었는가? 이는 비정상적인 채굴을 유도했는가?
• RQ5 실제 사용자 노출 수준는 주기적 스캔로 측정된 배포율과 비교해 어떻게 다른가? 이는 위험 평가 모델에 어떤 영향을 미치는가?

주요 결과

• 채굴 사이트에 대한 사용자 노출은 매우 낮았다: 브라우저 확장 프로그램 방문 중 채굴 사이트로 이동한 비율은 0.016%에서 0.287%에 그쳤으며, 채굴이 발생한 경우 중앙값 세션 지속 시간은 30초였다.
• 이전 주기적 스캔에서 측정된 배포율(0.5%~0.87%)에 비해 실제 사용자 노출은 훨씬 낮았으며, 이는 배포 지표만으로는 실제 위험을 과대평가한다는 것을 시사한다.
• 오픈 프록시 및 토르 익스잇 노드를 통한 공격 벡터는 실제로 존재했으며 악용되었지만, 이러한 서비스의 사용률이 낮아 실제로 영향을 받은 사용자는 소수에 그쳤다.
• 이전에 알려지지 않은 공격 벡터가 특정되었으며, 이는 저가형 모바일 기기의 사전 설치 앱을 통해 배경에서 암호화폐를 암묵적으로 채굴하는 방식이었다.
• 대부분의 채굴 세션은 너무 짧아(중앙값 30초) 채굴 풀에 기여할 정도로 기여하지 못했으며, 이는 공격자에게 경제적 유인이 떨어지는 결과를 낳았다.
• 블록리스트 및 네트워크 수준 방어 조치는 이전에 상상한 것보다 더 효과적이었을 가능성이 크며, 노출이 드물고 짧았고, 장기적인 사용 패턴이 위험을 감소시켰기 때문이다.