끝없이 진화하는 블록체인 악성코드

EtherHiding은 악성 코드를 스마트 컨트랙트 안에 숨겨 블록체인을 통해 악성 소프트웨어를 유포하는 교묘한 신종 공격 기법으로, 크립토 업계에서 큰 화제가 되고 있습니다. MetaMask의 Taylor Monahan이 소위 '블록체인 악성 소프트웨어'에 관한 새로운 보고서가 나올 때마다 헤드라인을 장식하는 이유, 그리고 방어자들이 흥분하기 전에 기본에 집중해야 하는 이유에 대해 자신의 견해를 공유합니다.

무한 루프

온체인 악성 소프트웨어에 관한 새로운 보고서가 나올 때마다, 보안 연구자들은 어김없이 이렇게 선언합니다: "마침내 최초의 탈중앙화되고, 불변하며, 막을 수 없는 위협이 등장했다!" LinkedIn이 들썩입니다. 블로그 글이 쏟아집니다. 공포를 자극하는 헤드라인이 최적화됩니다. AI 기반 엔드포인트 탐지 및 대응 솔루션이 홍보됩니다.

그리고 이에 화답하는 목소리들이 울려 퍼집니다: "그럴 줄 알았어! 블록체인은 사기꾼들에게 완벽한 유포 수단이야!" 그러다 늘 그렇듯, 캠페인은 흐지부지 끝납니다. 분석가들은 다음 번 화려한 익스플로잇으로 넘어가고, 내년도 보고서를 준비하면서 *"최초의 탈중앙화되고, 불변하며, 막을 수 없는 위협"*이 등장했다는 사실조차 잊어버립니다.

블록체인 악성 소프트웨어에 관한 헤드라인이 완전히 틀린 것은 아닙니다. 악성 소프트웨어인 것은 맞고, 블록체인을 활용하는 것도 맞습니다. 하지만 그게 전부입니다. 이 캠페인들은 한 가지 교묘한 트릭을 제외하면 모든 면에서 평범하기 그지없습니다. 그래서 이렇게 빨리 잊혀지는 것입니다.

만약 이것이 진정으로 새롭고 중대한 것이라면—획기적이거나 파괴적인 무언가라면—이야기가 달라졌을 것입니다. 하지만 솔직히 말해서, 보안 연구자들은 그저 새로운 것을 좋아할 뿐입니다. 그게 우리의 본능입니다. OP_RETURN에서 80바이트 미만을 가져오는 봇넷이나 스마트 컨트랙트를 통해 설정을 업데이트하는 악성 소프트웨어처럼 조금이라도 평범하지 않은 것이 나타나면 우리는 흥분합니다. 탈중앙화되고 막을 수 없는 악성 소프트웨어로 가득 찬 세상을 상상하며 그 안에서 뒹굴지 않을 수가 없습니다.

공정하게 말하자면, 위협 행위자 중 일부도 이와 같은 성향을 공유합니다. 익스플로잇과 함께 서사를 만들어내는 사이버 범죄계의 작가들은 미디어의 주목을 끌기 위해 극적인 메시지를 작성하고, 자신들의 소행임을 알리기 위해 악성 소프트웨어에 서명을 남깁니다. 이들의 활동은 화려하고 흥미롭지만, 예상대로 단명합니다. 이들은 주목받기 위한 경쟁에 너무 바빠서 오늘 번 돈이 13달러에 불과하다는 사실(혹은 FBI가 어제 그들의 단체 채팅방을 장악했다는 사실)을 눈치채지 못하는 경우가 많습니다.

물론 그런 활동에서 배울 점이 있기는 합니다. 다만 "막을 수 없고 불변하는 위협 행위자가 되는 방법"은 그 교훈 중 하나가 아닙니다.

실제로 피해를 입히는 위협 행위자들은 실용적입니다. ROI가 그들의 북극성입니다. 은밀함, 규모, 지속 가능성이 그들의 수단입니다. 그리고 그들은 방해 요소에 대응하여 끊임없이 기법을 바꿉니다.

• 아무도 이메일을 읽지 않는다 → Telegram으로 이동

• GitHub가 저장소를 삭제한다 → 비공개 저장소로 이동

• 비공개 저장소가 비정상적으로 보여 의심을 산다 → Bitbucket이나 GitLab으로 이동

• MetaMask가 악성 프론트엔드를 발견 즉시 차단한다 → 랜딩 페이지 대신 Google Docs나 GitHub 저장소 사용

따라서 저는 위협 행위자가 블록체인을 사용하는 것을 볼 때마다 항상 이런 질문을 합니다. 블록체인이 그들에게 어떤 문제를 해결해 주는가? 실패한 캠페인을 성공으로 전환하는 데 있어 어떤 변화를 가져오는가?

악성 소프트웨어, 블록체인을 만나다

악성 소프트웨어는 악의적인 소프트웨어입니다. 코드입니다. 하늘에서 떨어지거나 마법처럼 생겨나지 않습니다. 코드 자체가 피해자의 기기에 올라가서 실행되어야 비로소 작동합니다.

일반 소프트웨어의 경우, 웹사이트나 앱 스토어를 방문해 애플리케이션을 다운로드하면 기기에 설치되어 실행됩니다. 이 설치 과정에서 실제 소프트웨어가 압축 해제되고, 그 안에 담긴 코드가 실행됩니다. 파일을 올바른 위치로 이동하거나, 개인 설정을 구성하거나, 업데이트 여부를 서버에 확인하거나, 컴퓨터를 시작할 때마다 자동으로 실행되도록 설정하는 등의 작업이 이루어집니다.

악성 소프트웨어도 이 모든 것을 합니다. 다만 은밀하게 해야 한다는 점이 다릅니다. 악성 소프트웨어는 최종 사용자나 다른 누군가가 악성임을 탐지하면 악의적인 행위를 수행할 수 없습니다.

그리고 사람들은 항상 최종 사용자를 악성 소프트웨어로부터 보호하려 합니다. Google Chrome은 악성 URL과 다운로드를 빨간 화면으로 차단합니다. 운영 체제는 악성 코드가 설치되는 것을, 특히 사용자 모르게 설치되는 것을 방지합니다. 소셜 미디어 사이트, 웹 호스트, 도메인 등록 기관, 코드 저장소 모두 악성 소프트웨어 운영자가 악의적인 목적으로 이를 이용하는 것을 탐지하고 방지하기 위한 조치를 취합니다.

그 결과, 악성 소프트웨어가 최종 사용자에게 전달되는 방식은 시간이 지남에 따라 크게 진화했습니다. 악성 소프트웨어 제작자와 운영자들은 악성 페이로드를 여러 단계로 분할하고, URL을 난독화하며, 무언가가 차단될 경우를 대비한 대안을 마련하기 위해 많은 노력을 기울입니다.

그런데 블록체인은 어디에 있나요?

여러 위협 행위자들이 수년에 걸쳐 다양한 방식으로 블록체인을 활용해 왔습니다.

정확한 메커니즘과 기술적 세부 사항이 다르더라도, 블록체인이 수행하는 역할은 대체로 동일합니다:

• 악성 코드는 피해자의 기기를 획득하거나 제어를 유지하기 위해 다양한 리소스와 통신해야 합니다.

• 해당 리소스는 자주 변경됩니다(예: 서버가 차단될 때).

• 악성 코드 자체가 변경될 수 없는 경우(예: 악성 소프트웨어가 이미 피해자의 기기에 있거나 수천 개의 침해된 WordPress 웹사이트에 배포된 경우), 의존하는 리소스가 오프라인 상태가 되면 악성 소프트웨어도 작동을 멈춥니다.

그래서 블록체인을 집어넣으면 이제 아무것도 차단할 수 없고, 모든 것이 마법처럼 보이지 않고 익명이 되며, 탈중앙화되고, 불변하며, 막을 수 없는 위협이 등장한 것입니다!

잠깐, 서두르지 마세요

피해자의 기기에 악성 소프트웨어를 심으려면 여러 단계, 여러 리소스, 그리고 해당 리소스들 간의 어느 정도의 통신이 필요합니다. 이 단계들 중 일부는 탐지를 회피하기 위해, 다른 일부는 시간이 지나도 제어권을 유지하기 위해 존재합니다.

이것이 중요한 이유는 악성 소프트웨어가 "블록체인에서 실행"되는 것이 절대 아니기 때문입니다. 블록체인은 전체 감염 체인을 대체하지도 않습니다.

예를 들어, 2019년경 Glupteba의 감염 체인을 단순화한 전후 비교를 살펴보겠습니다:

그리고 UNC5142의 Etherhiding 초기 진화의 전후 비교입니다:

이렇게 보면, 블록체인 요소들이 기존의 일반적인 감염 체인에 덧붙여진 것임이 더 명확해집니다. 이것은 기존 작전의 진화입니다. 때로는 방해를 받은 것에 대한 직접적인 대응이기도 합니다.

이 차이는 새로운 것과 실제 위험을 구분해야 하는 방어자들에게 중요합니다. 이러한 캠페인을 막는 주요 통제 수단은 궁극적으로 동일하게 유지됩니다. 위협 행위자들은 캠페인이 여전히 성공적으로 진행되고 있다는 것을 알면 C2 차단과 같은 방해 요소를 항상 우회합니다. 개인과 조직은 초기 침해를 줄이고, 정적 지표가 아닌 행동 기반으로 위협을 탐지하며, 침해 후 엔드포인트를 억제하기 위한 통제 수단을 갖추기 위해 노력해야 합니다. 블록체인의 존재는 이 중 어느 것도 바꾸지 않습니다.

블록체인의 이점

이를 염두에 두고, 수년간 연구자들이 표에서 강조한 블록체인 이점을 다시 살펴보겠습니다.

복원력

• "하드코딩된 URL은 차단하기 쉬워 악성 소프트웨어 설치를 작동 불능 상태로 만들 수 있습니다." 출처: Cerber 랜섬웨어

• "원래 C2가 오프라인 상태가 되더라도 감염된 기기가 감염 상태를 유지하도록 보장합니다." 출처: Glupteba

• "탐지 및 차단 시도에 대한 복원력을 높입니다. 블록체인의 불변성으로 인해 압수 및 차단 작업도 방해받습니다." 출처: UNC5142의 EtherHiding

• "차단할 중앙 서버가 없습니다." 출처: UNC5342의 EtherHiding

• "기존 C2 서버는 법 집행 기관에 의해 압수되거나 호스팅 제공업체에 의해 차단될 수 있지만, 블록체인에 저장된 데이터는 수천 개의 탈중앙화 노드에 복제됩니다." 출처: 크로스체인 TxDataHiding

• "스마트 컨트랙트가 배포되면 컨트랙트 소유자 외에는 쉽게 제거하거나 변경할 수 없습니다." 출처: UNC5342의 EtherHiding

현실 점검: 블록체인은 가장 일반적으로 포인터로 사용되며, 두 개의 기존 인프라 사이에 존재합니다.

악성 소프트웨어 제작자들은 수년간 눈에 띄지 않는 곳, 방탄 호스트, 또는 합법적인 콘텐츠 플랫폼에 숨어있는 다양한 "포인터" 메커니즘을 사용해 왔습니다. 이것들도 탐지하거나 차단하기 매우 어렵거나 심지어 불가능할 수 있습니다.

블록체인에서 데이터를 가져오는 호출은 여전히 기존 인프라 서비스 제공업체가 호스팅하는 기존 API 엔드포인트를 통해 이루어지며, 때로는 기존 API 키를 사용하기도 합니다. 전체 시스템을 차단할 수는 없지만(궁극적으로 선의로 운영되며 주로 합법적인 사용자에게 서비스를 제공하는 사업체이기 때문에), 보안 연구자들은 이러한 유형의 활동에 대해 기업들을 교육하고 조치를 취하도록 협력할 수 있습니다.

이것은 악성 행위자가 합법적인 인프라를 사용하여 페이로드를 전달하는 다른 상황과 다르지 않습니다. 특정 주체가 조치를 취할 수 있지만 취하지 않는다는 것을 알 때는 항상 답답합니다. 블록체인 업계는 특히 기존 보안 연구 네트워크와 완전히 통합되지 않은 자체 보안 연구자 네트워크를 가지고 있습니다. 하지만 그렇다고 존재하지 않는 것은 아닙니다. 이런 종류의 인텔리전스를 소개받거나 공유해야 할 필요가 있다면, 블록체인 업계에는 깊이 관심을 갖고, 모든 사람을 알며, 항상 기꺼이 도움을 주려는 사람들이 있습니다. 여기에는 MetaMask Security의 모든 구성원과 SEAL과 같은 조직이 포함됩니다. 연락해 주세요.

은밀성

• "스마트 컨트랙트 내에 악성 코드를 저장하면 웹사이트 콘텐츠를 직접 스캔하는 기존 웹 보안 도구보다 탐지하기가 더 어렵습니다." 출처: UNC5142의 EtherHiding

• "BNB 스마트 체인은 합법적인 플랫폼입니다. 이를 사용하면 탐지를 회피하기 위한 수단으로 악성 트래픽이 정상 활동에 섞여들 수 있습니다." 출처: UNC5142의 EtherHiding

• "공격자는 가시적인 트랜잭션 기록을 남기지 않는 읽기 전용 호출을 사용하여 악성 페이로드를 가져올 수 있습니다." 출처: UNC5342의 EtherHiding

• "api.trongrid.io, aptoslabs.com, binance.org 등 블록체인 API에 대한 연결은 명백한 악성 지표 없이 합법적인 서비스에 대한 일반적인 HTTPS 트래픽으로 보입니다." 출처: 크로스체인 TxDataHiding

• "기존 C2는 광범위한 증거(서버 로그, TLS 인증서, 호스팅 기록, IP 지리 정보)를 남기지만, 블록체인 C2는 서버나 로그 없이 가명 주소와 트랜잭션 해시만 생성합니다." 출처: 크로스체인 TxDataHiding

• "기존 URL의 사용 부재로 인해 기존 웹 트래픽에 비해 Web3 트래픽에 대한 네트워크 기반 보호 메커니즘을 구현하기가 더 어렵습니다." 출처: UNC5142의 EtherHiding

현실 점검: "블록체인"과 상호작용하는 것은 다른 클라우드 서비스 제공업체와 상호작용하는 것과 같습니다

블록체인은 단지 모든 과거 트랜잭션의 거대한 공개 데이터베이스에 약 10초마다 발생해야 하는 복잡한 암호화 검증이 더해진 것입니다. 거의 항상 다양한 로드 밸런싱, API, 기타 오케스트레이션을 갖춘 기존의 전용 인프라에서 실행됩니다. 각 서비스 제공업체가 기록하고 보유하는 내용은 전적으로 사용 방식, 사용자, 이력, 개인정보 보호 정책, 위치, 사용자와의 관계, 제공되는 서비스에 따라 달라집니다.

예를 들어, 블록체인 서비스가 월정액을 요구하는 경우, 일반적으로 Web2 기업처럼 신용카드로 청구합니다. 크립토 결제를 수락하는 경우, 온체인 주소가 널리 알려져 있어 위협 행위자가 결제하는 것을 볼 수 있습니다. 기존 결제와 달리, 누구나 DPRK가 Namecheap에 도메인 비용을 지불하고 Debank에 API 크레딧을 지불하는 것을 볼 수 있습니다. 이것은 이전에는 없었던 높은 신뢰도의 실행 가능한 인텔리전스입니다.

일반 최종 사용자의 컴퓨터는 크립토 관련 항목에 무작위로 핑을 보내지 않습니다. 의문스러운 페이로드를 실행하는 샌드박스가 갑자기 그런 행동을 한다면, 반드시 직접 살펴봐야 합니다. 정상적인 조건에서도 블록체인 호출은 Microsoft, GitHub, AWS, Google, Cloudflare에 대한 호출만큼 합법적이지 않습니다. 그리고 그 모든 것들이 정기적으로 악성 페이로드를 전달합니다.

물론 크립토 기업들은 예방 수단으로 모든 크립토 트래픽을 차단할 수 없습니다. "다행히도 크립토 기업들은 모니터링이 없으니 괜찮아요!" 물론 농담입니다. 모든 진지한 크립토 기업은 실제 Lazarus 페이로드를 성공적으로 탐지하고 억제하도록 설계된 진지한 보안 정보 및 이벤트 관리(SIEM)와 엔드포인트 탐지 및 대응(EDR)을 갖추고 있습니다. Contagious Interview 또는 MaaS 페이로드는—블록체인을 사용하는 것들조차도—블록체인 사용 이전에 탐지되던 것과 정확히 같은 방식으로 탐지됩니다.

민첩성

• "스마트 컨트랙트 자체는 불변하지만, 두 번째 레벨 스마트 컨트랙트에 대한 포인터를 포함하는 첫 번째 레벨 스마트 컨트랙트를 배포합니다. 첫 번째 레벨 컨트랙트는 침해된 웹사이트에서 주소가 절대 변경되지 않는 안정적인 진입점 역할을 하며, 삽입된 JavaScript가 두 번째 레벨 컨트랙트에서 코드를 가져오도록 지시함으로써 공격자가 침해된 웹사이트를 변경하지 않고도 이 대상을 변경할 수 있는 능력을 부여합니다." (UNC5142의 EtherHiding)

• "공격자는 언제든지 악성 페이로드를 업데이트하여 공격 방법을 변경하거나, 도메인을 업데이트하거나, 다른 유형의 악성 소프트웨어를 배포할 수 있습니다." (UNC5342의 EtherHiding)

• "공격자는 악성 소프트웨어의 하드코딩된 주소는 변경되지 않으면서 새로운 블록체인 트랜잭션을 게시하여 언제든지 페이로드를 수정할 수 있으며, 이는 감염된 기기가 코드 수정 없이 자동으로 업데이트된 페이로드를 가져온다는 것을 의미합니다." (크로스체인 TxDataHiding)

현실 점검: 이것은 인터넷이 작동하는 방식이기도 합니다

위협 행위자들은 이미지에 페이로드를 숨기고, 이미지를 업데이트하면 악성 소프트웨어가 마법처럼 달라집니다. URL은 IP 주소에 대한 포인터이고, IP 주소는 서버에 호스팅된 콘텐츠에 대한 포인터입니다. 실제 콘텐츠를 차단할 수 없다면 콘텐츠에 접근하는 데 사용되는 경로를 차단합니다. 경로를 차단할 수 없다면 라우팅을 담당하는 주체들이 차단하도록 합니다.

웹사이트에 저장된 임의의 데이터와 블록체인의 핵심 차이점은 블록체인에 임의의 데이터를 쓰는 데 비용이 든다는 것과 그 일이 발생할 때마다 공개적인 이벤트가 발생한다는 것입니다. 트랜잭션 수수료는 네트워크 상황에 따라 1달러에서 100달러 이상까지 다양합니다. 일부 체인은 더 저렴하여 이것이 덜 문제가 됩니다. 하지만 여전히 비용이 들고 그 결제는 흔적을 남깁니다.

블록체인은 결국 공개적입니다. 서비스 제공업체와 거래소는 상관관계가 있는 최종 사용자 활동, IP 주소, 기기 지문, 때로는 완전한 KYC 정보의 데이터베이스를 보유하고 있습니다. 기본적인 트랜잭션조차도 기존 인터넷 요소와의 어느 정도의 상호작용이 필요하며, 이는 분명히 어느 정도의 기존 인터넷 데이터를 가지고 있습니다. 얼마나 많은 데이터가 있는지는 전적으로 위협 행위자가 블록체인과 어떻게 상호작용하는지에 달려 있습니다. 하지만 블록체인은 익명이 아닙니다.

최종 결론

이론적으로, 검열 저항적이고, 되돌릴 수 없으며, 탈중앙화된 스토리지 시스템은 위협 행위자의 꿈입니다. 하지만 현실에서 이러한 "블록체인 기반" 악성 소프트웨어 변종들은 다른 공격 기법처럼 널리 퍼지지 않는 것 같습니다.

예를 들어 CLICKFIX는 수많은 다양한 위협 그룹에 의해 빠르게 채택되었습니다. 최종 사용자가 프론트라인 보호를 우회하기 위해 명령줄에 직접 복사-붙여넣기를 하도록 설득할 수 있다는 아이디어는 실제로 판도를 바꾸는 것이었습니다. 반면, 7년이 지난 지금도 블록체인의 악성 소프트웨어는 누군가 새로운 구현을 발견할 때마다 보안 업계를 흥분시킬 만큼 여전히 새롭습니다.

이는 부분적으로 블록체인이 전체 감염 체인을, 심지어 그 대부분도 대체할 수 없기(그리고 할 수도 없기) 때문입니다. 악성 소프트웨어의 다양한 단계를 전달하거나, 다음 단계를 가리키거나, 하나가 차단될 경우를 대비한 대안으로 활용되는 소셜 미디어 계정, 웹 호스트, 도메인 등록 기관, 하나 이상의 C2 서버가 있습니다. 블록체인은 기존의 모든 흐름 위에 또 다른 워크플로우와 단계를 추가하는 것입니다.

또한 블록체인에는 자체적인 비용과 위험이 따르기 때문이기도 합니다.

방탄 호스트, 침해된 WordPress 사이트, 그리고 일회용 인프라로 기꺼이 사용될 무료 콘텐츠 플랫폼들이 있는데, 왜 공개 원장에 OpSec을 영구적으로 남겨 누구나 발견할 수 있는 위험을 감수합니까? 기본적으로 "블록체인 관련" 모든 것을 차단하는 공공 WiFi, 호텔, 크루즈선, 학교, 직장 등에 의해 그렇지 않으면 탐지되지 않았을 것이 즉시 탐지될 위험을 왜 감수합니까?

그 답의 일부는 단순히 할 수 있기 때문입니다. 재미있고 교묘하며 새롭고 독특합니다. 어쩌면 더 성공적으로 만들어 줄 수도 있고, 적어도 미래적인 사기꾼처럼 느끼게 해줄 수도 있습니다. 위협 행위자들도 사람입니다. 그들에게도 목표와 동기가 있습니다. 항상 합리적으로 행동하지는 않습니다.

하지만 진짜 답은 이러한 메커니즘에 대한 공개 보고서에서 드러나는 것 같습니다. 실제로 탐지를 회피하는 것처럼 보입니다. 어떻게든 블록체인을 사용하는 것만으로도 C2를 더 오래 숨길 수 있습니다. 어떻게든 샌드박스는 악성 소프트웨어가 블록체인 API 호출 안에 있어 찾을 수 없을 때 혼란스러워합니다.

아이러니하게도, 이 이점은 탐지할 수 없기 때문이 아닙니다. (탐지할 수 있습니다). 그들이 하는 다른 모든 것보다 실제로 더 익명적이거나 은밀하거나 비공개적이기 때문도 아닙니다. (정말로, 정말로 그렇지 않습니다). 이 이점은 거의 전적으로 보안 연구자들이 그렇게 인식한다는 사실에서 비롯됩니다.

따라서 우리는 위협 행위자들이 이런 방식으로 계속 실험할 것으로 예상해야 합니다. 보안 연구자들도 이러한 캠페인을 계속 추적하고 게시해야 합니다. 하지만 적어도 지금으로서는 "블록체인 악성 소프트웨어"는 훨씬 더 크고, 훨씬 더 암울한 이야기에서 비교적 흥미로운 각주로 남아 있습니다.

우리의 시간과 에너지의 대부분은 사람들과 기관에 실질적인 영향을 미치는 것들, 즉 낯선 사람이 인터넷에서 시키는 대로 검은 화면에 무작위 명령어를 붙여넣기 하더라도 손실을 방지하고 사람들을 안전하게 지키는 것들에 집중해야 합니다.

어떤 이유로든 이러한 캠페인의 블록체인 측면이 탐지, 익명성 해제, 캠페인 방해를 더 잘하려는 보안 기업들에게 실제로 장애물이 된다면, Web3 보안 세계는 기꺼이 도움을 드릴 것입니다. MetaMask Security로 연락해 주시기 바랍니다.