[논문 리뷰] Developing a K-ary malware using Blockchain

Joanna Moubarak, Éric Filiol외 1명|arXiv (Cornell University)|2018. 04. 04.

Advanced Malware Detection Techniques참고 문헌 18인용 수 5

한 줄 요약

이 논문은 블록체인 기술을 활용하여 악성 코드를 여러 파일에 분산함으로써 도청 및 내성성을 향상시키는 새로운 K-진 악성 소프트웨어 아키텍처를 제안한다. 해시와 존재 증명 수신증을 블록체인 상에 저장하고 탈중앙화된 검증을 통해 기존의 탐지 기법을 회피하면서도 구성 요소 간의 무결성과 진위성을 유지한다. 4-진 구현을 통한 개념 증명을 통해 시그니처 기반 및 행동 분석에 저항하는 성능을 입증하였다.

ABSTRACT

Cyberattacks are nowadays moving rapidly. They are customized, multi-vector, staged in multiple flows and targeted. Moreover, new hacking playgrounds appeared to reach mobile network, modern architectures and smart cities. For that purpose, malware use different entry points and plug-ins. In addition, they are now deploying several techniques for obfuscation, camouflage and analysis resistance. On the other hand, antiviral protections are positioning innovative approaches exposing malicious indicators and anomalies, revealing assumptions of the limitations of the anti-antiviral mechanisms. Primarily, this paper exposes a state of art in computer virology and then introduces a new concept to create undetectable malware based on the blockchain technology. It summarizes techniques adopted by malicious software to avoid functionalities implemented for viral detection and presents the implementation of new viral techniques that leverage the blockchain network.

연구 동기 및 목표

• 시그니처 기반 및 행동 분석에 회피되는 모듈식 악성 소프트웨어의 증가하는 도전 과제를 해결하기 위해.
• 블록체인 기술을 활용해 분산된 악성 소프트웨어 구성 요소를 안전하고 신뢰할 수 있게 재구성할 수 있는지 탐색하기 위해.
• 각 페이로드 세그먼트가 블록체인을 통해 독립적으로 검증 가능한 K-진 악성 소프트웨어 아키텍처를 제시하기 위해.
• 현대적 엔드포인트 보호 및 샌드박스 기술에 대한 이러한 악성 소프트웨어 설계의 내성성 평가하기 위해.
• 향후 스마트 컨트랙트 통합을 통해 악성 소프트웨어 실행을 더욱 환원하고 제어할 수 있는 기반 마련하기 위해.

제안 방법

• 악성 소프트웨어는 4-진 시스템으로 구현되었으며, 각 구성 요소(k1.exe, k2.exe 등)는 자동 복제, 키로깅, 파일 숨기기, 시작 시 실행과 같은 고유한 악성 기능을 수행한다.
• 각 실행 파일은 암호학적 해싱을 통해 해시화되고, 이 해시는 티에론(Tieron)과 같은 존재 증명 서비스를 통해 비트코인 블록체인에 제출되어 위변조 방지 타임스탬프 기록이 생성된다.
• 블록체인 수신증과 파일 해시는 RethinkDB에 저장되며, Pubnub과 ngrok를 통한 실시간 동기화를 통해 보안 콜백 통신이 이루어진다.
• 악성 소프트웨어 실행은 비트코인 블록체인 상에서 각 파일의 해시가 존재하고 진위가 확인된 후에만 트리거된다. 이는 오직 유효한 구성 요소만 로드됨을 보장한다.
• 중앙 집중식 명령 및 제어 서버에 의존하지 않는 탈중앙화된 신뢰할 수 없는 검증 메커니즘을 사용함으로써 지속성과 은밀성을 향상시킨다.
• 블록체인의 불변성과 투명성을 활용하여 분산된 악성 소프트웨어 모듈의 무결성과 변조 방지 기능을 보장한다.

실험 결과

연구 질문

• RQ1 중앙 집중식 조율 없이도 블록체인 기반 존재 증명을 효과적으로 활용해 분산된 악성 소프트웨어 구성 요소를 검증하고 재구성할 수 있는가?
• RQ2 블록체인을 통해 검증되는 K-진 악성 소프트웨어 아키텍처가 기존의 시그니처 기반 및 행동 분석 악성 소프트웨어 탐지 기법을 얼마나 효과적으로 회피하는가?
• RQ3 블록체인 통합이 기존의 다단계 페이로드에 비해 모듈식 악성 소프트웨어의 내성성과 은밀성을 얼마나 향상시키는가?
• RQ4 실세계 공격 시나리오에서 악성 소프트웨어 배포에 공개 블록체인을 사용할 때의 실용적 한계는 무엇인가?
• RQ5 스마트 컨트랙트를 사용해 K-진 악성 소프트웨어 구성 요소의 실행을 더욱 환원하거나 동적으로 제어할 수 있는가?

주요 결과

• 기능적인 4-진 악성 소프트웨어 프로토타입이 성공적으로 구현되었으며, 각 구성 요소가 암호학적 해싱과 존재 증명을 통해 비트코인 블록체인을 통해 독립적으로 검증되었다.
• 블록체인 검증 해시의 확인이 완료된 후에만 악성 소프트웨어 구성 요소가 성공적으로 재구성되고 실행되었으며, 이는 진위성과 무결성을 보장했다.
• 블록체인의 사용으로 중앙 집중식 C2 서버가 필요 없어져 공격 표면이 크게 감소하고 지속성이 향상되었다.
• 모듈식 설계와 탈중앙화된 검증의 조합으로 기존의 시그니처 기반 스캐너에 의해 탐지되지 않았고, 정적 분석에 저항하는 성능을 보였다.
• C2 인프라가 식별 가능하지 않으며 구성 요소가 동적으로 필요에 따라 로드되기 때문에 샌드박스 환경에서도 완전한 은밀성을 달성했다.
• 개념 증명을 통해 블록체인 기반 검증이 분산된 악성 소프트웨어 페이로드를 조율하고 신뢰할 수 있는 방식으로 확인하는 데 강력한 신뢰할 수 없는 메커니즘으로 기능할 수 있음을 확인했다.