[논문 리뷰] Issued for Abuse: Measuring the Underground Trade in Code Signing Certificate

Kristián Kozák, Bum Jun Kwon외 2명|arXiv (Cornell University)|2018. 03. 08.

Advanced Malware Detection Techniques참고 문헌 11인용 수 6

한 줄 요약

이 논문은 악성 소프트웨어에 서명하는 데 사용되는 코드 서명 인증서의 암시장을 조사하여, 기존의 위변조된 합법적 인증서에서 CAs를 통해 암시장 판매자들을 통해 직접 인증서를 구매하는 방향으로의 전환을 드러낸다. 악성 소프트웨어 데이터셋과 전자상거래 사이트 분석을 통해 저자들은 45%의 남용된 인증서가 발급된 지 한 달 이내에 사용된 것으로 밝혀내어, 보안 방어 수단인 SmartScreen과 같은 시스템을 우회할 수 있는 활발하고 확장 가능한 암시장이 존재함을 입증한다.

ABSTRACT

Recent measurements of the Windows code-signing certificate ecosystem have highlighted various forms of abuse that allow malware authors to produce malicious code carrying valid digital signatures. However, the underground trade that allows miscreants to acquire such certificates is not well understood. In this paper, we illuminate two aspects of this trade. First, we investigate 4 leading vendors of Authenticode certificates, we document how they conduct business, and we estimate their market share. Second, we collect a data set of recently signed malware and we use it to study the relationships among malware developers, malware families and the certificates. We also use information from the black market to fingerprint the certificates traded and to identify when the are likely used to sign malware in the wild. Using these methods, we document a shift in the methods that malware authors employ to obtain valid digital signatures. While prior studies have reported the use of code-signing certificates that had been compromised or obtained directly from legitimate Certification Authorities, we observe that, in 2017, these methods have become secondary to purchasing certificates from underground vendors. We also find that the need to bypass platform protections such as Microsoft Defender SmartScreen plays a growing role in driving the demand for Authenticode certificates. Together, these findings suggest that the trade in certificates issued for abuse represents an emerging segment of the underground economy.

연구 동기 및 목표

• 악성 소프트웨어에 서명하는 데 사용되는 코드 서명 인증서의 암시장 거래를 조사한다.
• 악성 소프트웨어 제작자가 감지되지 않도록 유효한 디지털 서명을 어떻게 확보하는지 이해한다.
• 암시장 판매자들이 판매하는 코드 서명 인증서의 시장 역학을 측정한다.
• 악성 소프트웨어 패밀리, 인증서 발행자, 암시장 판매자 간의 관계를 분석한다.
• Microsoft Defender SmartScreen와 같은 플랫폼 보호 기능이 서명된 악성 소프트웨어에 대한 수요를 어떻게 이끌어내는지 평가한다.

제안 방법

• 포럼, 마켓플레이스, 링크 디렉터리 등을 통해 코드 서명 인증서를 유통하는 4개의 주요 암시장 판매자를 식별하고 모니터링한다.
• 한 판매자가 운영하는 전용 전자상거래 사이트에서 데이터를 수집하고 분석하여 104일 간의 재고 수준과 수익을 추적한다.
• VirusTotal Hunting API를 활용해 14,221개의 서명된 악성 소프트웨어 샘플을 수확하고, 1,163개의 고유한 인증서를 추출한다.
• 서명된 악성 소프트웨어에 포함된 신뢰할 수 있는 타임스탬프를 활용해 인증서 발급 시점과 첫 번째 악성 소프트웨어 사용 시점 간의 시간 간격을 추정한다.
• 인증서 메타데이터 분석(예: 발행자 이름 패턴, 키 특성 등)을 통해 악성 소프트웨어 샘플과 암시장 판매자 간의 유추 가능한 연결 고리를 확립한다.
• 악성 소프트웨어 패밀리, 인증서 발행자, 암시장 판매자 간의 관계를 연결하는 그래프를 구축하여 상호 관계를 맵핑하고 개발 팀을 식별한다.

실험 결과

연구 질문

• RQ1 악성 소프트웨어 제작자가 현재 코드 서명 인증서를 어떻게 확보하고 있으며, 이전 연구에서 드러난 도용된 키 의존성과 비교해 어떤 변화가 있었는가?
• RQ2 2017년 기준 코드 서명 인증서의 암시장 규모와 구조는 어떠한가?
• RQ3 최근 발급된 인증서가 발급 후 짧은 시간 내에 악성 소프트웨어에 사용되는 정도는 어느 정도인가?
• RQ4 특정 암시장 판매자와 서명된 악성 소프트웨어에 발견된 인증서 간의 간접적 연결 고리를 설정할 수 있는가?
• RQ5 SmartScreen와 같은 플랫폼 보안 메커니즘이 서명된 악성 소프트웨어에 대한 수요를 어떻게 이끌어내는가?

주요 결과

• 코드 서명 인증서에 대한 안정적인 암시장이 형성되었으며, 4개의 주요 판매자가 CAs로부터 직접 확보한 인증서를 판매하고 있다.
• 한 전자상거래 사이트 판매자는 평균 매 2일에 한 번꼴로 인증서를 판매하여 104일 동안 총 수익 16,150달러를 올렸으며, 이는 지속적이고 높은 수요를 시사한다.
• 남용된 인증서의 약 45%가 발급된 지 한 달 이내에 악성 소프트웨어에 사용된 것으로 나타나, 신규로 발급된 합법적으로 보이는 인증서가 빠르게 배포되고 있음을 시사한다.
• 서명된 악성 소프트웨어 샘플에서 발견된 5개의 인증서는 메타데이터 및 시기 분석을 통해 모니터링 중이던 전자상거래 사이트에서 구매된 것으로 추정된다.
• 기존의 합법 개발자의 도용된 개인 키에 의존하던 방식에서, CAs를 통해 직접 신규로 발급된 익명의 인증서를 암시장 판매자를 통해 확보하는 방향으로의 전환 경향이 나타났다.
• 코드 서명 인증서에 대한 수요는 Microsoft Defender SmartScreen와 같은 플랫폼 보호 기능이 서명되지 않은 실행 파일을 차단하기 때문에 크게 증가하고 있다.