[논문 리뷰] Malicious cryptocurrency miners: Status and Outlook

Radhesh Krishnan Konoth, Rolf van Wegberg외 2명|arXiv (Cornell University)|2019. 01. 29.

Advanced Malware Detection Techniques참고 문헌 6인용 수 7

한 줄 요약

이 논문은 PC, 모바일 장치 및 IoT 시스템에서 악성 암호화폐 채굴의 부활을 조사하며, CPU로 채굴 가능한 프라이버시 중심 암호화폐의 확산으로 인해 이러한 공격이 다시 경제적으로 타당해졌음을 분석한다. 2014~2017년 동안 활성화된 악성코드 가족을 분석한 결과, 심지어 저사양 장치라도 지속적인 수익을 창출할 수 있음을 입증하였으며, Bytecoin 및 Monero와 같은 코인을 사용해 도청이 어려운 장기적인 채굴 작업을 통해 일부 공격자는 수백만 달러의 수익을 올렸다.

ABSTRACT

In this study, we examine the behavior and profitability of modern malware that mines cryptocurrency. Unlike previous studies, we look at the cryptocurrency market as a whole, rather than just Bitcoin. We not only consider PCs, but also mobile phones, and IoT devices. In the past few years, criminals have attacked all these platforms for the purpose of cryptocurrency mining. The question is: how much money do they make? It is common knowledge that mining Bitcoin is now very difficult, so why do the criminals even target low-end devices for mining purposes? By analyzing the most important families of malicious cryptocurrency miners that were active between 2014 and 2017, we are able to report how they work, which currency they mine, and how profitable it is to do so. We will see that the evolution of the cryptocurrency market with many new cryptocurrencies that are still CPU minable and offer better privacy to criminals and have contributed to making mining malware attractive again -- with attackers generating a continuous stream of profit that in some cases may reach in the millions.

연구 동기 및 목표

• CPU로 채굴 가능한 프라이버시 중심 암호화폐의 부상으로 인해 악성 암호화폐 채굴이 다시 경제적으로 타당해졌는지 평가하기 위해.
• PC, 모바일 장치 및 IoT 시스템을 대상으로 하는 현대의 악성코드 가족의 기술적 행동 양상, 확산 방식 및 수익화 전략을 분석하기 위해.
• 랜섬웨어나 뱅킹 트로이 등 전통적인 공격 방식과 비교해 채굴 악성코드가 사이버 범죄 사업 모델로 얼마나 수익성 있고 지속 가능성이 있는지 평가하기 위해.
• 지속적인 CPU 사용량 및 이례적인 네트워크 패턴과 같은 시스템 행동 기반으로 악성 채굴기 탐지 지표를 식별하기 위해.
• 암호화폐 시 thị의 변화가 공격자들이 접근하기 위한 장벽을 낮추고 지속적이고 소음이 적은 수익 창출을 가능하게 했는지 분석하기 위해.

제안 방법

• 2014년부터 2017년까지 PC, 스마트폰, IoT 기기 등 여러 플랫폼에서 활성화된 실제 악성 채굴 소프트웨어 샘플을 수집하고 분석하였다.
• 고성능 CPU부터 저성능 IoT 기기인 라즈베리 파이 3에 이르기까지 다양한 장치의 성능을 측정하여 다양한 암호화폐의 초당 해시 수를 평가하였다.
• 장치의 해시 속도, 시장 가치 및 네트워크 난이도를 기반으로 하루 수익을 추정하여, Bytecoin 및 Monero와 같은 프라이버시 중심 코인의 수익성을 평가하였다.
• 오픈소스 채굴 코드 재사용, 클리어 텍스트 통신 프로토콜, Android 악성코드에서의 의심스러운 권한 또는 네이티브 코드 사용과 같은 탐지 신호를 식별하였다.
• 지속적인 고성능 CPU 사용, 높은 전력 소비, 열 발생, 비정상적인 통신 패턴 기반의 이상 탐지 전략을 제안하였다.
• 벤치마크 데이터를 활용해 장치 성능과 잠재적 채굴 수익 및 재정적 수익 간의 상관관계를 분석하였으며, 특정 코인의 일일 수익 예측도 포함하였다.

실험 결과

연구 질문

• RQ1 암호화폐 시장의 변화가 저사양 장치를 대상으로 한 악성 채굴의 수익성 회복에 기여했는가?
• RQ2 현대의 악성코드 가족은 PC, 모바일 장치 및 IoT 시스템을 대상으로 할 때 채굴 알고리즘과 암호화폐 측면에서 어떻게 다를까?
• RQ3 채굴 악성코드가 랜섬웨어나 뱅킹 트로이보다 더 매력적이고 지속 가능한 공격 벡터가 되게 하는 주요 기술적 및 경제적 요인은 무엇인가?
• RQ4 공격자는 감지되지 않도록 하면서 얼마나 많은 재정적 이익을 얻을 수 있으며, 프라이버시 중심 암호화폐는 이를 어떻게 강화하는가?
• RQ5 특히 자원이 제한된 환경인 IoT에서 실제 시스템 내 악성 채굴기를 탐지하는 데 사용할 수 있는 행동 지표는 무엇인가?

주요 결과

• Bytecoin 및 Monero와 같은 CPU로 채굴 가능한 프라이버시 중심 암호화폐의 부상으로 인해 악성 암호화폐 채굴이 다시 매우 수익성이 있게 되었으며, 이는 공격자가 지속적이고 추적 불가능한 수익을 창출할 수 있게 하였다.
• 라즈베리 파이 3와 같은 저사양 장치도 하루 약 7개의 Bytecoin을 채굴할 수 있어, IoT 기기들이 공격자에게 실현 가능한 표적으로 될 수 있음을 입증하였다.
• 2017년 한 해 동안 새로운 악성 채굴기 가족 네 개가 등장했으며, 모두 비비트코인 기반 암호화폐를 대상으로 하여 범죄 전략의 급격한 변화를 보였다.
• 공격자는 대규모 장치를 악성코드로 감염시켜 프라이버시 중심 코인을 채굴함으로써 수백만 달러에 이르는 수익을 올릴 수 있으며, Shapeshift와 같은 익명 거래소를 통해 쉽게 현금화할 수 있다.
• 지속적인 고성능 CPU 사용, 이례적인 전력 소비, 의심스러운 네트워크 활동 등의 행동 지표를 통해 탐지가 가능하지만, 악성코드 제작자가 코드를 수정함으로써 시그니처 기반 탐지 방식을 피할 수 있다.
• 비트코인에서 다른 코인으로의 전환은 채굴 악성코드를 이전보다 더욱 매력적인 것으로 만들었으며, 비트코인 채굴의 높은 장벽을 피하고 재정적 추적 가능성을 줄이기 때문이다.