[논문 리뷰] DETECT KERNEL-MODE ROOTKITS VIA REAL TIME LOGGING & CONTROLLING MEMORY ACCESS

Igor Korkin, Satoshi Tanda|arXiv (Cornell University)|2017. 05. 18.

Security and Verification in Computing참고 문헌 16인용 수 8

한 줄 요약

이 논문은 Intel VT-x와 EPT를 활용하여 64비트 Windows 10 시스템에서 모든 메모리 접근—읽기, 왤기, 실행—에 대해 실시간으로 세밀하게 모니터링하고 제어할 수 있는 베어메탈 하이퍼바이저인 MemoryMonRWX를 제안한다. 이는 메모리 작업의 보장된 인터셉트, PatchGuard를 비활성화하는 루트킷에 대한 내성적 저항력, 그리고 최소한의 성능 저하를 달성하여 Turla와 ProjectSauron과 같은 커널 모드 루트킷에 대한 강력한 방어를 제공한다.

ABSTRACT

Modern malware and spyware platforms attack existing antivirus solutions and even Microsoft PatchGuard. To protect users and business systems new technologies developed by Intel and AMD CPUs may be applied. To deal with the new malware we propose monitoring and controlling access to the memory in real time using Intel VT-x with EPT. We have checked this concept by developing MemoryMonRWX, which is a bare-metal hypervisor. MemoryMonRWX is able to track and trap all types of memory access: read, write, and execute. MemoryMonRWX also has the following competitive advantages: fine-grained analysis, support of multi-core CPUs and 64-bit Windows 10. MemoryMonRWX is able to protect critical kernel memory areas even when PatchGuard has been disabled by malware. Its main innovative features are as follows: guaranteed interception of every memory access, resilience, and low performance degradation.

연구 동기 및 목표

• 기존의 악성 소프트웨어 방지 및 PatchGuard 메커니즘을 우회하는 도전적인 커널 모드 루트킷의 증가하는 위협에 대응하기 위해.
• 불법 메모리 접근을 탐지하고 차단할 수 있는 실시간 하드웨어 지원 메모리 모니터링 시스템을 개발하기 위해.
• PatchGuard가 비활성화된 상태에서도 중요한 커널 메모리의 무결성과 기밀성을 보장하기 위해.
• 동적 메모리 접근 시각화 및 로깅을 통해 정밀한 포렌식 분석을 가능하게 하기 위해.
• 메모리 수집 및 사고 대응을 위한 저비용이고 확장 가능한 배포를 IoT 플랫폼(예: 라즈베리 파이)을 활용해 탐색하기 위해.

제안 방법

• Intel VT-x와 확장된 페이지 테이블(EPT)을 사용하여 모든 메모리 접근을 가상화하고 모니터링하는 베어메탈 하이퍼바이저인 MemoryMonRWX를 구현한다.
• EPT 위반으로 유도되는 VM-exit를 활용하여 물리적 메모리의 모든 읽기, 왤기, 실행 작업을 인터셉트하고 로깅한다.
• 실시간 메모리 접근 로깅과 동적 메모리 매핑을 통합하여 드라이버와 메모리 영역 간의 데이터 흐름을 시각화한다.
• Thunderbolt 또는 ExpressCard DMA를 통해 물리적 메모리 덤프를 확보하기 위해 라즈베리 파이를 경량이고 내성적인 플랫폼으로 통합한다.
• PCI/PCIe 기반 DMA를 활용하여 Inception 도구를 적용해 메모리 덤프를 생성한 후, Rekall 또는 Volatility을 사용해 분석한다.
• 원격 해킹과 배터리 고갈을 방지하기 위해 이식 가능한 의료 기기용 경량 침입 탐지 시스템을 설계한다.

실험 결과

연구 질문

• RQ1 EPT를 활용한 하드웨어 지원 가상화가 실시간으로 모든 커널 메모리 접근을 신뢰성 있게 낮은 오버헤드로 모니터링할 수 있는가?
• RQ2 제안된 하이퍼바이저는 PatchGuard를 비활성화하거나 메모리에만 존재하는 지속성 전략을 사용하는 루트킷을 탐지하고 차단하는 데 얼마나 효과적인가?
• RQ3 동적 메모리 매핑과 시각화는 메모리 기반 공격의 포렌식 분석을 어느 정도 향상시킬 수 있는가?
• RQ4 저비용 IoT 기기인 라즈베리 파이를 사용하여 안전하고 원격으로 메모리 수집 및 악성 소프트웨어 탐지에 효과적으로 활용할 수 있는가?
• RQ5 경량 암호화와 IDS는 원격 공격으로부터 이식 가능한 의료 기기를 보호하기 위해 어떻게 통합될 수 있는가?

주요 결과

• MemoryMonRWX는 VT-x와 EPT를 통해 읽기, 왤기, 실행 작업을 포함한 모든 유형의 메모리 접근을 성공적으로 인터셉트하여 어떤 접근도 놓치지 않음을 보장한다.
• PatchGuard가 비활성화된 상태에서도 내성적 저항력을 유지하여 Turla와 ProjectSauron과 같은 고도로 발전된 루트킷에 효과적임을 입증한다.
• 성능 저하가 최소화되어 64비트 Windows 10에서 생산 환경에 적합한 낮은 오버헤드를 달성한다.
• 동적 메모리 매핑을 통해 실시간으로 메모리 접근 패턴을 시각화할 수 있어 포렌식 분석 및 이질적 행동 탐지에 기여한다.
• Inception 도구와 DMA 악용을 활용한 라즈베리 파이 기반 메모리 수집은 사고 대응을 위한 저비용이고 안전한 메모리 덤프 방법을 제공한다.
• 경량 암호화와 IDS의 통합은 원격 공격 및 DoS 공격에 대한 이식 가능한 의료 기기의 보안을 크게 향상시킨다.