[논문 리뷰] Watch Your Back: Identifying Cybercrime Financial Relationships in Bitcoin through Back-and-Forth Exploration

Gibran Gómez, Pedro Moreno-Sánchez외 1명|arXiv (Cornell University)|2022. 06. 01.

Crime, Illicit Activities, and Governance인용 수 6

한 줄 요약

이 논문은 시드 주소에서 출발해 전진 및 후진 탐색을 병행하는 새로운 비트코인 거래 추적 기법인 '양방향 탐색'을 소개한다. 이 기법은 이전의 전진 탐색 중심 방법으로는 발견하지 못한 사이버범죄 금융 관계를 밝혀내며, 기존에 발견되지 않은 13개의 C&C 신호 주소를 규명하고, 교환소, 믹서, 기타 사이버범죄 서비스와의 광범위한 연결망을 드러내어 고발 및 수사 가능성에 중대한 기여를 한다.

ABSTRACT

Cybercriminals often leverage Bitcoin for their illicit activities. In this work, we propose back-and-forth exploration, a novel automated Bitcoin transaction tracing technique to identify cybercrime financial relationships. Given seed addresses belonging to a cybercrime campaign, it outputs a transaction graph, and identifies paths corresponding to relationships between the campaign under study and external services and other cybercrime campaigns. Back-and-forth exploration provides two key contributions. First, it explores both forward and backwards, instead of only forward as done by prior work, enabling the discovery of relationships that cannot be found by only exploring forward (e.g., deposits from clients of a mixer). Second, it prevents graph explosion by combining a tagging database with a machine learning classifier for identifying addresses belonging to exchanges. We evaluate back-and-forth exploration on 30 malware families. We build oracles for 4 families using Bitcoin for C&C and use them to demonstrate that back-and-forth exploration identifies 13 C&C signaling addresses missed by prior work, 8 of which are fundamentally missed by forward-only explorations. Our approach uncovers a wealth of services used by the malware including 44 exchanges, 11 gambling sites, 5 payment service providers, 4 underground markets, 4 mining pools, and 2 mixers. In 4 families, the relations include new attribution points missed by forward-only explorations. It also identifies relationships between the malware families and other cybercrime campaigns, highlighting how some malware operators participate in a variety of cybercriminal activities.

연구 동기 및 목표

• 믹서의 고객 또는 시드 주소에 대한 입금을 포함한 사이버범죄 금융 관계를 식별하는 데 있어 전진 탐색 중심 기법의 한계를 해결한다.
• 교환소 주소를 식별하기 위해 태그된 주소 데이터베이스와 기계학습 분류기의 조합을 통해 거래 추적 과정에서 발생하는 그래프 폭발 문제를 완화한다.
• 멀웨어 캠페인에서 사용되는, 이전에 발견되지 않은 고발 가능 지점(예: 교환소, 결제 서비스 등)을 발견할 수 있도록 한다.
• 사이버범죄 운영 간의 상호관계를 드러내어 공통된 인프라와 조율된 활동을 폭 드러내는 데 기여한다.
• 멀웨어에서 외부 서비스로의 금융 흐름을 규명하는 확장 가능하고 정확한 방법을 제공하여, 수사 기관의 동결 및 보고 체계를 지원한다.

제안 방법

• 시드 주소에서 전진 탐색과 트랜잭션 입력에서 후진 탐색을 병행하여 단방향 탐색으로는 발견하지 못한 관계를 탐지한다.
• 기존에 알려진 엔티티(예: 교환소, 믹서, 암시장 등)를 사전 식별하기 위해 태그된 주소 데이터베이스를 통합함으로써 그래프 확장의 필요성을 줄인다.
• 거래 빈도 및 패턴 특징을 기반으로 교환소 주소를 탐지하는 기계학습 분류기를 훈련시켜 정확성과 확장성을 향상시킨다.
• 다중 입력 히وري스틱을 적용하여 동일한 트랜잭션에서 유래한 자금을 동일한 행위자로 할당함으로써, 시드 주소에서 자금 공급원까지의 후진 추적을 가능하게 한다.
• 불필요하거나 오류가 있는 트랜잭션을 제거하기 위해 정렬 기법을 적용하여 그래프의 가독성과 노이즈를 줄인다.
• 분석가의 판단에 따라 특정 시드 유형(예: 피해자 자금 공급, C&C 신호 주소 등)에 대해 후진 탐색을 선택적으로 비활성화함으로써 정밀도를 향상시킬 수 있도록 한다.

실험 결과

연구 질문

• RQ1 양방향 탐색은 C&C 신호 주소에 대한 입금을 포함한, 기존의 전진 탐색 중심 방법으로는 발견하지 못한 비트코인 거래의 금융 관계를 식별할 수 있는가?
• RQ2 태그된 데이터베이스와 기계학습 분류기를 결합한 후진 탐색이 그래프 폭발 문제를 어느 정도 완화하면서도 탐지 정확도를 유지할 수 있는가?
• RQ3 실제 멀웨어 패밀리에 대해 이 방법을 적용했을 때, 이전에 알려지지 않은 C&C 신호 주소와 외부 서비스(예: 교환소, 믹서 등)는 몇 개가 발견될 수 있는가?
• RQ4 다른 멀웨어 패밀리와 외부 사이버범죄 서비스 간의 상호관계는 어떠한가? 이는 공통된 범죄 인프라를 드러내는 데 어떻게 기여하는가?
• RQ5 이 방법은 구속 영장 발급이나 교환소의 오용 보고를 가능하게 하는 실질적인 수사 결과를 지원할 수 있는가?

주요 결과

• 양방향 탐색은 기존의 전진 탐색 중심 방법으로는 발견하지 못한 13개의 C&C 신호 주소를 규명하였으며, 그 중 8개는 전진 탐색만으로는 근본적으로 탐지 불가능한 것으로 확인되었다.
• 이 방법을 통해 분석한 30개의 멀웨어 패밀리에 대해 총 44개의 교환소, 11개의 도박 사이트, 5개의 결제 서비스 제공업체, 4개의 암시장, 4개의 마이닝 풀, 2개의 믹서를 연결된 주소로 규명하였다.
• 4개의 멀웨어 패밀리에서 이 방법은 이전에 알려지지 않은 교환소 계정을 새로운 고발 지점으로 규명하여, 수사 기관의 개입 가능성을 열어주었다.
• 연구는 믹서 및 기타 프라이버시 강화 서비스의 고객을 식별하기 위해 후진 탐색이 필수적임을 입증하였으며, 이는 전진 탐색 중심 기법으로는 가시하지 않는 영역임을 보여준다.
• 거래 빈도를 핵심 특징으로 활용함으로써 교환소 분류기가 고정밀도를 달성하여, 공격자가 교환소를 모방하는 데 계산적으로 비용이 많이 드는 환경을 조성하였다.
• 이 방법은 이전에 분리되어 있었던 멀웨어 캠페인 간의 관계를 성공적으로 규명하여, 교환소 및 믹서 같은 서비스를 공유함으로써 조율된 사이버범죄 생태계가 존재함을 드러내었다.