보호된 가상환경서 악성코드 탐지ㆍ퇴치
실제 시스템 접촉 전에 의심스러운 파일 동작
악성코드 침투 방지해 프로그램 폭주 등 예방
지연 공격 등 정교해진 우회침투 대응엔 한계
실제 시스템 접촉 전에 의심스러운 파일 동작
악성코드 침투 방지해 프로그램 폭주 등 예방
지연 공격 등 정교해진 우회침투 대응엔 한계
일반적으로 `백신'으로 알려진 안티바이러스나 침입탐지ㆍ방지(IDSㆍIPS) 솔루션은 알려지지 않은 멀웨어를 탐지하기까지 약 3일 정도의 시간이 소요되고, 몇몇 멀웨어는 탐지되지 않은 채 몇 달에서 몇 년간 남아있기도 합니다. 글로벌 보안업체 체크포인트가 전세계 기업을 대상으로 조사한 내용에 따르면 보통 기업들은 27분마다 알려지지 않은 멀웨어를 다운로드 하는 것으로 나타나기도 했습니다. 이 멀웨어는 `알려지지 않은' 취약점을 공격하기도 하고 보안 솔루션이 잡아낼 수 없는 신종 악성코드를 뿌려대기도 합니다.
더구나 이런 사이버 공격이 특정 대상을 목표(타깃)로 삼아 각종 사회공학적 기법까지 더해 끈질기게 공격한다면 당해낼 재간이 없습니다. 예를 들어 정부 안보정책 연구소에 근무하는 A박사가 `국가 안보정책의 글로벌 트렌드'라는 보고서를 메일로 받았다고 가정한다면, A박사는 자신의 관심사인 보고서 제목을 보는 순간 파일을 다운로드해서 열어볼 수 밖에 없을 겁니다. 심지어 이 파일은 국가안보에 대한 그럴듯한 내용까지 담은 진짜 보고서일 수도 있습니다. 다만 A박사의 눈엔 보이지 않는 악성코드가 숨어 있어서 파일을 실행시키는 순간 박사의 PC에 숨어 들어가 좀비PC로 만들고, 박사가 접속한 정책연구소 혹은 정부 내부망 전체로 숨어들 `통로' 역할을 하게 만들 수도 있습니다.
때문에 이름난 보안업체들은 이같은 알려지지 않은 사이버 위협을 감지하고 걸러내고자 `샌드박스'라는 기술을 활용합니다.
두산백과사전에서는 `샌드박스란 미국의 가정집 뒤뜰에서 어린이가 다치는 것을 방지하기 위해 만든 모래통(Sandbox)에서 유래됐다. 외부에서 받은 프로그램을 JVM(자바 가상머신)이라는 보호된 영역 안에 가둔 뒤 작동시키는 방법으로 프로그램이 폭주하거나 악성 바이러스의 침투를 막는다'고 설명하고 있습니다.
다시 말하자면 외부에서 파일을 보냈거나 또는 어떤 형태로든 내부 시스템에 `접촉'을 하려는 시도가 있다면 순순히 시스템 안으로 들여보내지 않고 내부 시스템과 유사하게 꾸며진 샌드박스로 유도해 거기서 파일의 `본색'을 찾아보는 것입니다.
앞서 예로 제시한 A박사가 설령 악성코드가 첨부된 보고서를 받았다 하더라도 박사의 PC가 내부망에 접속하기 전 샌드박스에서 해당 보고서에 숨겨진 악성코드의 본색이 드러나도록 조치를 취한다는 뜻입니다.
조금 더 기술적으로 설명해 볼까요. 샌드박스는 가상화된 환경으로 구성돼 있습니다. 내부 시스템과 동일한 환경이기도 합니다. 그러니 해커가 심어놓은 악성코드가 샌드박스 안으로 진입했을 때 내부 시스템을 파괴하거나 혹은 정보를 유출하거나 잠복하도록 설정된 해커의 명령을 수행하려는 시스템으로 `착각'하게 됩니다. 그리고 본색을 드러내게 되면 그때 보안 솔루션이 샌드박스 내 있는 악성코드나 사이버 위협을 찾아내 없애버리는 것입니다.
이같은 샌드박스는 사회공학적 표적공격 등에서 매우 효과적인 방어력을 발휘합니다. 다만, 해커도 놀지는 않겠죠. 최근엔 이같은 샌드박스를 우회하는 사이버 위협이 급증하고 있다는 것이 골칫거리로 떠오르고 있습니다.
단순 파일 기반의 샌드박스 솔루션을 구축했다면 악성코드는 이를 뛰어넘어 샌드박스를 피해갈 수 있는 공격기법을 발휘하고 있다는 것이지요. 예를 들어 악성코드가 시스템 내부로 숨어 들어갔는데, 분명 내부 시스템처럼 보이긴 하나 별다른 시스템의 움직임이 없다는 판단이 들면 `여기는 실제 시스템이 아니고 그로 가장한 샌드박스이구나'라고 판단해 악성공격을 하지 않도록 구성돼 있는 겁니다.
단순 샌드박스는 이정도 단계에서 `이 파일엔 별다른 악성공격이 숨어있지 않구나'라고 판단해 내부 시스템으로 해당 파일을 들여보내게 되고, 실제 내부 시스템에 숨어 들어간 악성코드는 비로소 활발한 시스템 동작 과정을 인지하게 돼서야 악성활동을 시작하는 방식입니다.
실제로 2012년 12월 발견된 `UpClicker Trojan'이라는 악성코드는 사용자의 마우스 좌측 버튼 클릭이 감지된 이후에만 악성 C&C 서버와의 커뮤니케이션을 만들어내는 기법을 이용하기도 했습니다.
뿐만 아니라 악성코드의 활동을 단순히 몇분동안 지연시키는 것만으로도 샌드박스를 우회할 수 있습니다. 대부분의 샌드박스는 다음 파일로 이동하기 위해 정해진 몇 분 동안만 파일을 모니터링하기 때문에, 공격자는 단순히 몇 분만 행위를 지연해 모니터링 프로세스가 완료된 후 샌드박스 솔루션을 우회할 수 있도록 하는 것입니다.
파이어아이 연구팀 임원은 "오늘날 위협 동향에 있어 전통적인 샌드박스 솔루션은 갈수록 정교해지고 있는 공격에 더이상 대응하지 못하고 있다"며 "지능화된 멀웨어는 언제 가상 환경이 실행 중인지를 판단하고, 그에 따라 그들의 악성 행위를 멈춰 탐지를 피할 수 있는 방식으로 점차 진화해 가고 있다"라고 말했습니다.
2013년 6월25일 우리 정부에 가해진 분산서비스거부(DDoS) 공격 역시 가상 환경에서의 샌드박스의 분석을 어렵게 하기 위해 공격자가 `Themida packing program'을 통해 악성 코드를 암호화해서 공격했고 이로 인해 대다수의 보안 업체가 이 악성코드를 분석하는데 많은 시간이 소요되기도 했습니다.
보안 전문가는"최근 진화하고 있는 지능형 악성코드는 누구나 쉽게 접할 수 있는 범용 가상화 제품 기반의 탐지 기술을 다양한 방법으로 우회하고 있다"며 "악성코드 제작자가 파일 기반의 샌드박스에서 탐지를 우회하기 위해 사용하는 여러 기법들을 이해하는 것은 보안 전문가들이 잠재되어 있는 지능형 지속 위협(APT)에 대해 보다 잘 식별하고 대비할 수 있도록 도움을 줄 것"이라고 조언했습니다.
강은성기자 esther@
도움말: 파이어아이, 체크포인트
더구나 이런 사이버 공격이 특정 대상을 목표(타깃)로 삼아 각종 사회공학적 기법까지 더해 끈질기게 공격한다면 당해낼 재간이 없습니다. 예를 들어 정부 안보정책 연구소에 근무하는 A박사가 `국가 안보정책의 글로벌 트렌드'라는 보고서를 메일로 받았다고 가정한다면, A박사는 자신의 관심사인 보고서 제목을 보는 순간 파일을 다운로드해서 열어볼 수 밖에 없을 겁니다. 심지어 이 파일은 국가안보에 대한 그럴듯한 내용까지 담은 진짜 보고서일 수도 있습니다. 다만 A박사의 눈엔 보이지 않는 악성코드가 숨어 있어서 파일을 실행시키는 순간 박사의 PC에 숨어 들어가 좀비PC로 만들고, 박사가 접속한 정책연구소 혹은 정부 내부망 전체로 숨어들 `통로' 역할을 하게 만들 수도 있습니다.
때문에 이름난 보안업체들은 이같은 알려지지 않은 사이버 위협을 감지하고 걸러내고자 `샌드박스'라는 기술을 활용합니다.
두산백과사전에서는 `샌드박스란 미국의 가정집 뒤뜰에서 어린이가 다치는 것을 방지하기 위해 만든 모래통(Sandbox)에서 유래됐다. 외부에서 받은 프로그램을 JVM(자바 가상머신)이라는 보호된 영역 안에 가둔 뒤 작동시키는 방법으로 프로그램이 폭주하거나 악성 바이러스의 침투를 막는다'고 설명하고 있습니다.
다시 말하자면 외부에서 파일을 보냈거나 또는 어떤 형태로든 내부 시스템에 `접촉'을 하려는 시도가 있다면 순순히 시스템 안으로 들여보내지 않고 내부 시스템과 유사하게 꾸며진 샌드박스로 유도해 거기서 파일의 `본색'을 찾아보는 것입니다.
앞서 예로 제시한 A박사가 설령 악성코드가 첨부된 보고서를 받았다 하더라도 박사의 PC가 내부망에 접속하기 전 샌드박스에서 해당 보고서에 숨겨진 악성코드의 본색이 드러나도록 조치를 취한다는 뜻입니다.
조금 더 기술적으로 설명해 볼까요. 샌드박스는 가상화된 환경으로 구성돼 있습니다. 내부 시스템과 동일한 환경이기도 합니다. 그러니 해커가 심어놓은 악성코드가 샌드박스 안으로 진입했을 때 내부 시스템을 파괴하거나 혹은 정보를 유출하거나 잠복하도록 설정된 해커의 명령을 수행하려는 시스템으로 `착각'하게 됩니다. 그리고 본색을 드러내게 되면 그때 보안 솔루션이 샌드박스 내 있는 악성코드나 사이버 위협을 찾아내 없애버리는 것입니다.
이같은 샌드박스는 사회공학적 표적공격 등에서 매우 효과적인 방어력을 발휘합니다. 다만, 해커도 놀지는 않겠죠. 최근엔 이같은 샌드박스를 우회하는 사이버 위협이 급증하고 있다는 것이 골칫거리로 떠오르고 있습니다.
단순 파일 기반의 샌드박스 솔루션을 구축했다면 악성코드는 이를 뛰어넘어 샌드박스를 피해갈 수 있는 공격기법을 발휘하고 있다는 것이지요. 예를 들어 악성코드가 시스템 내부로 숨어 들어갔는데, 분명 내부 시스템처럼 보이긴 하나 별다른 시스템의 움직임이 없다는 판단이 들면 `여기는 실제 시스템이 아니고 그로 가장한 샌드박스이구나'라고 판단해 악성공격을 하지 않도록 구성돼 있는 겁니다.
단순 샌드박스는 이정도 단계에서 `이 파일엔 별다른 악성공격이 숨어있지 않구나'라고 판단해 내부 시스템으로 해당 파일을 들여보내게 되고, 실제 내부 시스템에 숨어 들어간 악성코드는 비로소 활발한 시스템 동작 과정을 인지하게 돼서야 악성활동을 시작하는 방식입니다.
실제로 2012년 12월 발견된 `UpClicker Trojan'이라는 악성코드는 사용자의 마우스 좌측 버튼 클릭이 감지된 이후에만 악성 C&C 서버와의 커뮤니케이션을 만들어내는 기법을 이용하기도 했습니다.
뿐만 아니라 악성코드의 활동을 단순히 몇분동안 지연시키는 것만으로도 샌드박스를 우회할 수 있습니다. 대부분의 샌드박스는 다음 파일로 이동하기 위해 정해진 몇 분 동안만 파일을 모니터링하기 때문에, 공격자는 단순히 몇 분만 행위를 지연해 모니터링 프로세스가 완료된 후 샌드박스 솔루션을 우회할 수 있도록 하는 것입니다.
파이어아이 연구팀 임원은 "오늘날 위협 동향에 있어 전통적인 샌드박스 솔루션은 갈수록 정교해지고 있는 공격에 더이상 대응하지 못하고 있다"며 "지능화된 멀웨어는 언제 가상 환경이 실행 중인지를 판단하고, 그에 따라 그들의 악성 행위를 멈춰 탐지를 피할 수 있는 방식으로 점차 진화해 가고 있다"라고 말했습니다.
2013년 6월25일 우리 정부에 가해진 분산서비스거부(DDoS) 공격 역시 가상 환경에서의 샌드박스의 분석을 어렵게 하기 위해 공격자가 `Themida packing program'을 통해 악성 코드를 암호화해서 공격했고 이로 인해 대다수의 보안 업체가 이 악성코드를 분석하는데 많은 시간이 소요되기도 했습니다.
보안 전문가는"최근 진화하고 있는 지능형 악성코드는 누구나 쉽게 접할 수 있는 범용 가상화 제품 기반의 탐지 기술을 다양한 방법으로 우회하고 있다"며 "악성코드 제작자가 파일 기반의 샌드박스에서 탐지를 우회하기 위해 사용하는 여러 기법들을 이해하는 것은 보안 전문가들이 잠재되어 있는 지능형 지속 위협(APT)에 대해 보다 잘 식별하고 대비할 수 있도록 도움을 줄 것"이라고 조언했습니다.
강은성기자 esther@
도움말: 파이어아이, 체크포인트
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
