[논문 리뷰] Oops!...I think I scanned a malware

Ben Nassi, Adi Shamir외 1명|arXiv (Cornell University)|2017. 03. 22.

Advanced Malware Detection Techniques참고 문헌 12인용 수 8

한 줄 요약

이 논문은 외부 광원(예: 레이저 또는 악성 스마트 전구)에서 오는 빛을 이용해 평판 스캐너를 통해 기업 네트워크로 데이터를 전송하는 암호 채널 공격을 시연한다. 이 공격은 기존 네트워크 방어를 우회하며, 드론에 장착된 레이저나 악성 스마트 전구를 사용해 직접 시야가 없더라도 최대 900미터 떨어진 곳에서 악성 소프트웨어의 원격 제어를 성공적으로 수행한다.

ABSTRACT

This article presents a proof-of-concept illustrating the feasibility of creating a covert channel between a C\&C server and a malware installed in an organization by exploiting an organization's scanner and using it as a means of interaction. We take advantage of the light sensitivity of a flatbed scanner, using a light source to infiltrate data to an organization. We present an implementation of the method for different purposes (even to trigger a ransomware attack) in various experimental setups using: (1) a laser connected to a stand (2) a laser carried by a drone, and (3) a hijacked smart bulb within the targeted organization from a passing car. In our experiments we were able to infiltrate data using different types of light sources (including infrared light), from a distance of up to 900 meters away from the scanner. We discuss potential counter measures to prevent the attack.

연구 동기 및 목표

• 공기 격리망 또는 고립된 네트워크에 데이터를 침입시키기 위해 평판 스캐너의 빛 민감도를 악용하는 새로운 암호 채널을 시연하는 것.
• 일반적이고 저비용의 광원(예: 레이저, 스마트 전구)을 활용해 악성 소프트웨어의 원격 제어를 위한 수단으로서의 가능성을 조사하는 것.
• 거리, 장애물, 직접 시야 없음 등의 현실 세계 제약 조건 하에서 이러한 공격의 효과성을 평가하는 것.
• 스캐너 접근 제어 및 프oxy 기반 스캔 검증을 통한 측면 공격을 탐지하거나 방지할 수 있는 실용적 대응 조치를 제안하는 것.

제안 방법

• 공격자는 조절된 간격으로 켜고 끄는 방식으로 이진 데이터(1과 0)를 전송하기 위해 변조된 광원(레이저 또는 LED)을 사용한다.
• 빛은 스캐너의 유리 표면에 비추어지며, 스캐너의 광학 센서가 강도 변화를 감지하고 이를 디지털 스캔 데이터로 변환한다.
• 내부 컴퓨터에 설치된 악성 소프트웨어가 스캐너 출력을 실시간으로 모니터링하여 스캔 패턴에서 변조된 데이터를 추출한다.
• 이 방법은 데이터가 빛 펄스의 간격에 인코딩된 고유한 프로토콜을 사용하며, 인간 관찰자가 감지하지 못하도록 전송 속도를 조절한다.
• 기존에 네트워크에 연결되어 있는 스캐너와 원격 스캔 기능을 제공하는 스캐너를 활용하며, 개방된 인터페이스를 악용해 원격 스캔 요청을 수신하고 처리한다.
• 프록시 기반 탐지 메커니즘을 제안하며, 로컬 컴퓨터가 중개자 역할을 하여 스캔 입력의 이질성(이상 징후)을 분석하고 결과를 전달하기 전에 악성 스캔 패턴을 탐지한다.

실험 결과

연구 질문

• RQ1 평판 스캐너의 빛 민감도 광학 센서를 악용해 암호 통신 채널로 사용할 수 있는가?
• RQ2 최대 900미터 거리에서 변조된 빛을 통해 악성 소프트웨어에 데이터를 신뢰성 있게 전송할 수 있는가?
• RQ3 빛과 같은 물리 계층 측면 공격을 통해 네트워크 기반 보안 제어(예: 방화벽, IDS/IPS)를 우회할 수 있는가?
• RQ4 스캐너가 닫힌 커튼 뒤나 고층에 있을 경우 직접 시야가 없을 때 공격의 효과는 어떠한가?
• RQ5 스캐너 功能를 비활성화하지 않고도 이러한 공격을 탐지하거나 방지할 수 있는 실용적 대응 조치는 무엇인가?

주요 결과

• 악성 스마트 전구를 통해 직접 시야 없이도 최대 900미터 떨어진 곳에서 승용차를 지나는 동안 랜섬웨어 트리거 명령어를 포함한 40비트 데이터를 성공적으로 전송했다.
• 드론에 장착된 레이저를 사용해 900미터 거리에서 신뢰성 있는 데이터 전송을 달성했으며, 비트당 100밀리초의 전송 속도로 오류 보정이 필요 없었다.
• 악성 소프트웨어는 실시간으로 변조된 신호를 추출하고 해석했으며, 전송 후 네 번째 초 내로 명령어 'en q'(디렉터리 q 암호화)를 탐지했다.
• 스캐너 뚜껑이 완전히 밀봉되어 있지 않은 한, 부분적 또는 완전한 닫힘 상태에서도 공격이 유지되었으며, 작은 틈새를 통해 빛이 침투할 수 있었다.
• 공격은 네트워크 기반 보안 제어(예: 방화벽, IDS/IPS, DLP 시스템)를 우회했으며, 이는 공격이 네트워크를 통해가 아니라 물리 계층에서 발생했기 때문이다.
• 프록시 기반 탐지 시스템은 기계 학습 또는 이상 탐지 기법을 사용해 스캔 타이밍, 강도 및 주파수 이상을 분석함으로써 악성 스캔 패턴을 효과적으로 식별하는 데 성공했다.