Pack-A-Mal: A Malware Analysis Framework for Open-Source Packages

오픈 소스 소프트웨어의 세계를 누구나 가판대를 차리고 디지털 상품을 팔 수 있는 거대하고 북적이는 시장이라고 상상해 보십시오. 대부분의 상인은 정직하지만, 어떤 교활한 도둑들은 군중 속에 독이 든 사과를 몰래 끼워 넣으려 합니다. 이 "독이 든 사과"는 당신의 컴퓨터를 해치기 위해 설계된 악성 소프트웨어 패키지입니다.

이 논문은 이 시장을 위한 새로운 보안 요원인 Pack-A-Mal을 소개합니다. 이 기술이 어떻게 작동하는지 쉬운 비유를 통해 설명하겠습니다.

기존 보안 요원의 문제점 (정적 분석)
이전에는 보안 요원들이 "정적 분석(Static Analysis)"이라는 방법을 사용했습니다. 이것은 마치 경비원이 밀봉된 여행 가방의 겉모습을 검사하는 것과 같습니다. 그들은 안에 무엇이 들어있는지 추측하기 위해 모양, 무게, 라벨을 살펴봅니다. Malcontent와 같은 도구들은 이 작업에 매우 능숙하지만, 한 가지 큰 결함이 있습니다. 만약 도둑이 폭탄을 여러 겹의 뽁뽁이로 감싸고 라벨을 위장한다면(난독화라는 기술), 경비원은 위험을 알아차릴 수 없습니다. 경비원이 확신할 수 없기 때문에, 무해한 물건에 대해서도 "위험!"이라고 소리치며 많은 오보를 발생시키곤 합니다.

새로운 접근 방식 (동적 분석)
논문은 패키지가 정말로 위험한지 알기 위해서는, 단순히 선반 위에 놓인 모습뿐만 아니라 실제로 실행될 때 무엇을 하는지를 봐야 한다고 주장합니다. 이것을 **동적 분석(Dynamic Analysis)**이라고 합니다. 이것은 마치 여행 가방을 열게 하고 그 내용물이 어떻게 움직이는지 지켜보는 것과 같습니다. 만약 "독이 든 사과"가 당신의 지갑을 훔치려 하거나 비밀 전화번호로 전화를 걸려고 시도한다면, 현장에서 바로 잡아낼 수 있습니다.

해결책: Pack-A-Mal
연구진은 기존의 도구(package-analysis)를 가져와 이를 Pack-A-Mal로 업그레이드했습니다. 이 새로운 도구는 고성능의 투명한 놀이 울타리처럼 작동합니다.

1. 샌드박스 (gVisor): 위험한 소프트웨어를 관찰하면서도 컴퓨터에 해를 끼치지 않도록, Pack-A-Mal은 소프트웨어를 컨테이너 샌드박스(구체적으로 gVisor라는 기술 사용)라고 불리는 특별하고 깨지지 않는 유리 케이지 안에 넣습니다. 이것은 마치 야생 동물을 강화 유리 동물원에 가두는 것과 같습니다. 당신은 동물이 달리고 뛰는 것을 볼 수 있지만, 동물이 탈출하여 당신을 물 수는 없습니다.
2. 감시 목록: 이 케이지 안에서 Pack-A-Mal은 세 가지 특정 사항을 면밀히 감시합니다:
   • 소프트웨어가 내뱉으려는 명령어(commands)
   • 소프트웨어가 건드리거나 열려고 하는 파일(files)
   • 소프트웨어가 시도하는 네트워크 연결(예: 해커의 전화기로 전화를 걸려는 시도)

결과
이 "유리 케이지" 방식을 사용함으로써, Pack-A-Mal은 기존의 "여행 가방 검사관"이 놓쳤던 정교한 도둑들을 잡아내는 동시에, 컴퓨터가 충돌하거나 감염되는 일 없이 안전하게 작동합니다. 이는 더 명확하고 정확한 소프트웨어의 실제 행태를 파악하기 위해 약간의 컴퓨터 자원을 더 사용하는 방식입니다.