해킹의 진화, 샌드박스 우회 기법은...

지능형지속가능위협(APT) 공격과 같이 잘 알려지지 않은 악성코드를 통한 공격을 방지하는데 사용되는 '샌드박스'를 회피하는 해킹 기법이 등장해 주의가 필요하다.

파이어아이는 20일 '파일기반의 샌드박스를 쉽게 회피하는 악성코드 기법(Hot Knives Through Butter: How Malware Evades Automated File-based Sandboxes)' 보고서를 통해 이 같은 내용을 공개했다.

보고서에 따르면 최근 멀웨어는 단일 플로우나 파일 기반 샌드박스 솔루션을 무력화시킨다. 또한 여러 기법들을 동원해 잠복하거나 복제시키는 등의 방법으로 탐지를 회피한다.

샌드박스는 사용자 PC와 같은 가상 환경을 구축하고 이곳을 통해 새로 유입된 파일이 실제로 어떻게 실행되는지에 대해 미리 알 수 있게 해주는 기능을 제공한다. 애플은 애플스토어에 애플리케이션(앱)을 등록하기 전에 이 과정을 거친다.

젱 부 파이어아이 연구팀 수석 이사는 최근 위협 동향에서 전통적인 샌드박스 솔루션은 갈수록 정교해지고 있는 공격에 더 이상 대응하지 못하고 있다며 지능화된 멀웨어는 언제 가상 환경이 실행 중인지를 판단하고, 그에 따라 그들의 악성 행위를 멈춰 탐지를 피할 수 있는 방식으로 점차 진화해 가고 있다고 말했다.

그는 이어 효과적인 탐지를 위해서는 행동 기반의 문맥 분석 기법과 멀티 플로우 분석을 통한 각 공격 단계간의 상관관계 분석이 중요하다고 설명했다.

파이어아이 연구팀은 악성코드의 새로운 우회 기법을 밝혀내기 위해 자사의 멀티-벡터 가상 실행(MVX) 엔진의 비-시그니처에 기반한 동적 실시간 탐지 기능을 활용했다. 악성코드 개발자가 파일 기반의 샌드박스를 우회하기 위해 사용하는 방법들에 대해 설명했으며 이는 일반적으로 아래 범주 중 하나 이상에 속하는 것으로 나타났다.

자동화된 파일 기반 샌드박스를 우회하는 기법은 크게 4가지로 분류했다. 먼저 '휴먼 인터랙션'은 사용자의 움직임이 없으면 실제 사용자 환경이 아니라고 판단해 악성코드가 작동하지 않는다. 가상머신 환경에서는 유입된 악성코드가 휴면상태로 존재한다는 것이다. 실제 사용자PC처럼 마우스나 키보드의 움직임이 확인될 경우에만 악성코드를 실행하도록 한다.

이 회사는 지난해 12월 발견한 '업클리커 트로이목마(UpClicker Trojan)'는 사용자의 마우스 좌측 버튼 클릭이 감지된 이후에만 해커가 좀비PC에 명령을 내리는 C&C서버와 커뮤니케이션하도록 하는 기법을 사용했다.

'설정'은 샌드박스 기능이 사용자 PC에 유입된 파일에 대해 몇 분 동안만 가상 환경에서 모니터링 한 뒤 실제 사용자의 PC에서 실행된다는 점을 악용한 것이다. 공격자는 대상의 PC가 해당 악성코드에 감염되면 몇 분간 시간이 지난 다음 실행되도록하는 방법으로 샌드박스를 우회한다.