[논문 리뷰] CoinPolice:Detecting Hidden Cryptojacking Attacks with Neural Networks

Ivan Petrov, Luca Invernizzi외 1명|arXiv (Cornell University)|2020. 06. 18.

Advanced Malware Detection Techniques참고 문헌 11인용 수 16

한 줄 요약

CoinPolice는 브라우저의 CPU 타이밍 제어 행동을 능동적으로 탐색함으로써 숨겨진 크립토지킹 공격을 신경망 기반으로 탐지하는 시스템으로, 97.87%의 마이너를 탐지하고 0.74%의 거짓 양성률을 기록한다. 이는 기존 최고 수준의 방법보다 뛰어나며, 특히 과도하게 타이밍 제어되는 마이너에 대해 뛰어난 성능을 보이며, 지금까지 가장 대규모 조사에서 6,700개의 마이닝 웹사이트를 식별했다.

ABSTRACT

Traffic monetization is a crucial component of running most for-profit online businesses. One of its latest incarnations is cryptocurrency mining, where a website instructs the visitor's browser to participate in building a cryptocurrency ledger (e.g., Bitcoin, Monero) in exchange for a small reward in the same currency. In its essence, this practice trades the user's electric bill (or battery level) for cryptocurrency. With user consent, this exchange can be a legitimate funding source - for example, UNICEF has collected over 27k charity donations on a website dedicated to this purpose, thehopepage.org. Regrettably, this practice also easily lends itself to abuse: in this form, called cryptojacking, attacks surreptitiously mine in the users browser, and profits are collected either by website owners or by hackers that planted the mining script into a vulnerable page. Cryptojackers have been bettering their evasion techniques, incorporating in their toolkits domain fluxing, content obfuscation, the use of WebAssembly, and throttling. Whereas most state-of-the-art defenses address multiple of these evasion techniques, none is resistant against all. In this paper, we offer a novel detection method, CoinPolice, that is robust against all of the aforementioned evasion techniques. CoinPolice flips throttling against cryptojackers, artificially varying the browser's CPU power to observe the presence of throttling. Based on a deep neural network classifier, CoinPolice can detect 97.87% of hidden miners with a low false positive rate (0.74%). We compare CoinPolice performance with the current state of the art and show our approach outperforms it when detecting aggressively throttled miners. Finally, we deploy Coinpolice to perform the largest-scale cryptoming investigation to date, identifying 6700 sites that monetize traffic in this fashion.

연구 동기 및 목표

• 사용자 동의 없이 브라우저에서 악성 스크립트가 암호화폐를 채굴하는 숨겨진 크립토지킹의 증가하는 위협을 해결하기 위함이다.
• 도메인 플럭스, 콘텐츠 오브스큐레이션, 웹 어셈블리 사용, CPU 타이밍 제어와 같은 기존 탐지 시스템을 무력화시키는 회피 기법을 극복하기 위함이다.
• 특히 타이밍 제어와 같은 알려진 모든 회피 전략에 저항력이 있는 강력한 탐지 메커니즘을 개발하기 위함이다.
• 지금까지 가장 대규모의 크립토지킹 조사 수행을 통해 수천 개의 악성 마이닝 웹사이트를 식별하기 위함이다.

제안 방법

• CoinPolice는 브라우저의 CPU 타이밍 제어 비율을 인위적으로 변화시켜 마이닝 스크립트가 처리 능력 저하에 반응하는지 관찰함으로써 능동적 탐지를 수행한다.
• Chrome DevTools API를 통해 성능 트레이스를 수집하고, 스레드별 CPU 사용량과 함수 호출 지속 시간을 추출하여 시계열 특징을 구축한다.
• 이러한 특징을 기반으로 깊이 신경망 분류기를 훈련시켜 정상적이고 악성 마이닝 행동을 구분한다.
• 시간 기반의 회피 기법에 대응하기 위해 랜덤 함수 호출 이동을 활용한 데이터 증강 기법을 적용하여 탐지 성능을 향상시킨다.
• flame 그래프와 함수 수준의 실행 패턴을 분석하여, 함수 이름이 오브스큐레이션된 경우에도 마이닝 논리를 탐지한다.
• 특히 타이밍 제어를 통해 피하기 위해 CPU 사용량을 줄이는 방식으로 피하기를 시도하는 마이너를 탐지하도록 설계되어 있다.

실험 결과

연구 질문

• RQ1 CPU 타이밍 제어를 과도하게 사용하여 피하기를 시도하는 크립토지킹 스크립트를 효과적으로 탐지할 수 있는 시스템는 가능한가?
• RQ2 CPU 타이밍 제어를 통한 능동적 탐지 방법이 피하기를 시도하는 마이너를 탐지하는 데 있어 수동 탐지 방법보다 성능이 뛰어나게 되는가?
• RQ3 함수 이름 랜덤화나 랜덤 지연과 같은 회피 기법이 제안된 탐지 메커니즘을 얼마나 효과적으로 우회할 수 있는가?
• RQ4 웹 전반에서 숨겨진 크립토지킹의 실제 규모는 어떠한가? 특히 고-trafik 도메인에서 이러한 공격은 얼마나 퍼져 있는가?
• RQ5 CPU 성능 트레이스를 기반으로 훈련된 신경망 기반 분류기가 실세계 환경에서 높은 탐지 정확도와 낮은 거짓 양성률을 달성할 수 있는가?

주요 결과

• CoinPolice는 숨겨진 크립토지킹 스크립트에 대해 97.87%의 탐지율을 기록했으며, 낮은 거짓 양성률 0.74%를 기록했다.
• 과도하게 타이밍 제어를 사용하는 마이너를 탐지하는 데 있어 현재 최고 수준의 기술보다 뛰어난 성능을 보였다. 이러한 마이너는 수동 방법으로는 자주 탐지되지 않는다.
• 대규모 조사에서 CoinPolice는 크립토지킹을 수행하는 6,700개의 웹사이트를 식별했으며, 이 중 447개는 Alexa Top 1 Million 리스트에 포함되어 있었다.
• 패턴 매칭을 통해 식별된 웹사이트 중 43%만이 실제로 암호화폐를 채굴하고 있었으며, 이는 비기능적 또는 비활성 마이닝 스크립트가 많다는 것을 의미한다.
• CPU 타이밍 제어가 널리 퍼져 있음을 확인했으며, 2019년 기준 58%의 마이너가 이 기법을 사용했고, 2018년의 10%에서 급격히 증가했다.
• 데이터 증강 및 특징 공학 덕분에 랜덤 함수 지연 및 오브스큐레이션된 함수 이름과 같은 잠재적 회피 전략에 대비해 탐지 시스템이 뛰어난 내성성을 보였다.