[논문 리뷰] The Dangerous Combo: Fileless Malware and Cryptojacking

Said Varlioglu, Nelly Elsayed외 2명|arXiv (Cornell University)|2022. 03. 07.

Advanced Malware Detection Techniques인용 수 7

한 줄 요약

이 논문은 파일리스 악성코드와 메모리 내에서의 암호화 채굴을 결합한 정교한 사이버 위협인 파일리스 크립토잭킹을 탐지하고 대응하기 위한 혁신적인 위협 사냥 중심의 DFIR 프레임워크를 제안한다. 기존의 서명 기반 방어 수단을 회피하는 메모리 기반 공격을 보다 효과적으로 탐지하기 위해 위협 지능, PowerShell 및 WMI의 행동 모니터링, 그리고 PsExec 및 CertUtil와 같은 정상적인 도구를 활용한 사전 사냥 기반의 접근 방식을 통합함으로써, 메모리에 존재하는 공격에 대한 탐지 능력을 향상시킨다.

ABSTRACT

Fileless malware and cryptojacking attacks have appeared independently as the new alarming threats in 2017. After 2020, fileless attacks have been devastating for victim organizations with low-observable characteristics. Also, the amount of unauthorized cryptocurrency mining has increased after 2019. Adversaries have started to merge these two different cyberattacks to gain more invisibility and profit under "Fileless Cryptojacking." This paper aims to provide a literature review in academic papers and industry reports for this new threat. Additionally, we present a new threat hunting-oriented DFIR approach with the best practices derived from field experience as well as the literature. Last, this paper reviews the fundamentals of the fileless threat that can also help ransomware researchers examine similar patterns.

연구 동기 및 목표

• 기존 탐지 수단을 회피하는 파일리스 악성코드와 메모리 기반 크립토잭킹이 결합된 하이브리드 공격으로 인한 위협 증가를 다루기 위해.
• 기존 브라우저 내 또는 호스트 내 변종에 비해 여전히 미흡하게 연구되고 있는 파일리스 크립토잭킹에 대한 첫 번째 종합적인 학술적 리뷰를 제공함으로써 연구 격차를 메우기 위해.
• 기업 환경에서 파일리스 위협에 대한 탐지 및 대응 능력을 향상시키기 위해 사전 사냥 기반의 프로액티브 DFIR 방법론을 개발하기 위해.
• 파일리스 악성코드의 핵심 원리를 활용해 랜섬웨어 연구자들이 공격 전략(TTP: 전술, 기법, 절차)의 공통점을 기반으로 파일리스 위협을 보다 효과적으로 분석할 수 있도록 지원하기 위해.
• 메모리에 존재하는 공격에 특화된 구조화된 지능 기반의 사고 대응 주기 모델을 제안함으로써 디지털 포렌식 능력을 향상시키기 위해.

제안 방법

• 기존의 사고 대응 프로세스를 위협 사냥 통합 주기로 재구성하여 사전 탐지 중심의 프레임워크를 제안한다.
• 특히 트위터와 같은 동적 소스에서 온 위협 지능 피드를 DFIR 과정에 통합하여 악성 PowerShell 명령어 및 C2 통신 패tern을 식별한다.
• 파워셀프 명령어 실행, WMI 구독, 지속성에 사용되는 레지스트리 수정과 같은 고위험 시스템 활동을 중심으로 감사한다.
• 인코딩된/디코딩된 명령어(예: Base64로 인코딩된 스크립트) 및 프로세스 생성 이벤트의 행동 모니터링을 통해 악성 메모리 실행을 탐지한다.
• 메모리 타임라인 분석, 이벤트 로그, MFT(Master File Table), SMB 로그를 활용하여 공격 체인을 재구성하고 악성 자원을 식별한다.
• DFIR 프로세스를 여섯 단계로 매핑한다: 식별, 제거, 복구, 증거 심층 분석, 보고서 작성, 그리고 위협 지능을 순환 주기로 피드백 제공.

실험 결과

연구 질문

• RQ1 파일리스 악성코드와 크립토잭킹이 어떻게 결합되어 더 회피 가능하고 수익성이 높은 사이버 위협이 되는가? 이러한 공격의 핵심 지표는 무엇인가?
• RQ2 정상적인 시스템 도구를 활용한 메모리 기반 크립토잭킹을 탐지하기 위해 가장 효과적인 행동 기반 및 로그 기반 탐지 신호는 무엇인가?
• RQ3 위협 지능과 사전 사냥 기반의 위협 탐지가 기존 서명 기반 방법을 초월하여 파일리스 크립토잭킹을 어떻게 향상시킬 수 있는가?
• RQ4 제안된 DFIR 프레임워크가 파일리스 랜섬웨어와 같은 다른 파일리스 위협을 공통 TTP를 기반으로 탐지하기 위해 얼마나 잘 적응될 수 있는가?
• RQ5 Cobalt Strike 및 PowerShell Empire과 같은 오픈소스 프레임워크가 파일리스 크립토잭킹 캠페인을 어떻게 가능하게 하는가?

주요 결과

• 2019년에서 2020년 사이에 파일리스 악성코드 탐지 수가 약 900% 증가했으며, 2017년 공격의 77%가 파일리스 방식이었으며, 이는 적대자 전략의 급격한 변화를 시사한다.
• 2020년에 Cobalt Strike 프레임워크 사용이 161% 증가했으며, 이는 일반적으로 파일리스 크립토잭킹 패킷을 배포하는 데 사용된다.
• 2020년에 크립토잭킹 악성코드 활동이 2019년 대비 25% 증가했으며, 메모리 기반 크립토잭킹이 그 몰입도가 높아지면서 도드라지게 높아졌다.
• PowerShell에서 인코딩된 명령어(예: `-EncodedCommand` 또는 `IEX ((New-Object Net.WebClient).DownloadString(...))`) 사용은 파일리스 공격에서 매우 흔하고 탐지 가능한 패턴이다.
• 공개된 서버와 제로데이 취약성(예: Log4j, CVE-2021-44228)을 대상으로 한 위협 사냥이 필수적이다. 이는 파일리스 크립토잭킹의 초기 접근 수단을 가능하게 하기 때문이다.
• PsExec, CertUtil, bitsadmin 등의 도구에 대한 프로세스 생성 및 명령어 실행 활동 감사를 통해 파일리스 공격 체인에 대한 가시성 확보가 크게 향상된다.