A Longitudinal Measurement Study of Log4Shell Exploitation from a Reactive Network Telescope

기술 요약: 반응형 네트워크 망원경을 통한 Log4Shell 악용에 대한 종단적 측정 연구

문제 제기
2021 년 12 월 Log4Shell 취약점 (CVE-2021-44228) 이 공개되면서 전 세계적으로 스캐닝 및 악용이 급증했습니다. 초기 측정 연구들은 공개 직후의 상황을 파악하는 데 중요한 통찰을 제공했으나, 관측 기간이 짧았으며 (일반적으로 2021 년 12 월부터 2022 년 2 월까지) 지리적 범위가 제한적이었습니다. 이러한 연구들은 주로 유럽과 북미 관측 지점에 집중되었습니다. 그 결과, 악용 행위의 장기적 진화, 공격자 전략의 지역적 차이, 그리고 초기 유행 단계 이후의 위협 활동 지속성에 대한 이해는 여전히 부족했습니다. 스캐닝 범위, 인프라 재사용, 그리고 수년에 걸친 페이로드 은닉 기법의 변화 등을 포함하여 취약점 악용의 전체 수명을 관찰할 수 있는 종단적 연구가 필요했습니다.

연구 방법론
본 연구는 CSIR-4PI(사이버 보안 연구 및 관측 프로그램) 가 인도에 배포한 **반응형 네트워크 망원경 (NT)**을 활용했습니다. 수동 망원경이 자발적이지 않은 배경 트래픽만 포착하거나, 복잡한 서비스 모방이 필요한 허니팟과 달리, 이 시스템은 다크넷 관측 지점을 유지하면서 최소한의 프로토콜 준수 상호작용을 수행함으로써 그 간극을 메웠습니다.

• 인프라: 망원경은 호스팅된 서비스가 없는 /24 IPv4 블록 (209 개의 라우팅 가능 IP) 을 커버하며, 전체 TCP 포트 공간 (0–65535) 을 노출합니다.
• 반응 메커니즘: TCP SYN 을 수신하면 시스템은 SYN-ACK 으로 응답합니다. 핵심적으로, 이 시스템은 고정된 간격 ($\Delta t = 5$초) 동안 상태를 유지하여 특정 서비스를 모방하지 않고도 애플리케이션 계층 페이로드를 포착할 수 있도록 후속 TCP 세그먼트를 확인합니다.
• 데이터 수집: 연구 기간은 2021 년 12 월 1 일부터 2025 년 10 월 31 일까지입니다. 매일 약 700 만 개의 TCP 연결을 포착합니다.
• 처리 파이프라인: 다음과 같은 구조화된 파이프라인이 구현되었습니다:
  1. TCP 스트림 재조립: 패킷 캡처에서 연속적인 애플리케이션 계층 바이트 스트림을 재구성합니다.
  2. 페이로드 정규화: URL 인코딩, 유니코드/16 진수 이스케이프, Base64 래핑, 그리고 Log4j 특유의 구문 분할 (예: j-n-d-i) 을 포함한 은닉 기법을 역전시키기 위한 다중 계층 디코딩 프로세스입니다.
  3. 시그니처 탐지: 계층적 시그니처 세트가 직접적인 JNDI 조회, 은닉된 변형, 그리고 일반적인 LDAP/URI 지표를 식별합니다.
  4. 분류: 페이로드는 rce_downloader, callback, dns_scan, jndi_probe와 같은 기능적 유형으로 분류됩니다.

주요 기여

1. 종단적 범위: 본 논문은 Log4Shell 활동에 대한 최초의 다년 측정 (약 4 년) 을 제시하여 초기 유행 단계를 넘어 지속된 악용 동향을 분석합니다.
2. 지역적 관점: 인도 관측 지점을 활용함으로써, 미국과 유럽 데이터가 지배적이었던 기존 연구들과 대조되는 남아시아 인터넷 생태계 역학에 대한 독특한 시각을 제공합니다.
3. 인프라 분석: 이 연구는 스캐너 및 서버 네트워크의 지리적 분포, 집중도, 그리고 시간에 따른 재사용 패턴을 추적하는 백엔드 콜백 인프라에 대한 심층 분석을 제공합니다.
4. 페이로드 진화: 연구는 기회주의적 스캐닝에서 적응형 프로빙으로의 전환을 상세히 기술하며, 페이로드 은닉 기법의 정교화 증가와 프로토콜/포트 사용의 변화를 문서화합니다.

주요 결과

• 지속성과 집중: Log4Shell 악용은 공개 후 수년 동안 지속되었습니다. 2021 년 말의 초기 스캐닝은 지리적으로 다양했으나 (주요 기여국: 미국, 독일, 아르헨티나, 중국), 이후 연도에는 활동이 점점 더 집중되었습니다. 2023 년까지 폴란드가 트래픽의 95.2% 를 차지했으며, 2025 년까지 독일이 98.7% 를 차지했습니다. 이 변화는 분산된 스캐닝에서 중앙 집중식 지속 인프라로의 전환을 나타냅니다.
• 콜백 인프라 통합: 스캐닝 기원과 마찬가지로 콜백 서버 인프라도 2021 년의 다양한 생태계 (독일, 미국, 네덜란드, 우크라이나) 에서 극심한 중앙 집중화로 이동했습니다. 2025 년까지 90% 의 콜백 인프라가 홍콩에 호스팅되었으며, 이는 단일 자율 시스템 (ASN) 내의 두 개의 엔드포인트에 의해 주도되었습니다.
• 페이로드 은닉: 직접적인 JNDI 조회 (2021 년 말 페이로드의 약 72%) 에서부터 심하게 은닉된 변형으로 명확한 전환이 있었습니다. 공격자들은 시그니처 기반 탐지를 회피하기 위해 문자 분할, 구분자 대체, 다중 계층 인코딩을 점점 더 많이 사용했습니다.
• 프로토콜 및 포트 이동: 초기 트래픽은 표준 HTTP 포트 (80, 8080) 를 대상으로 했으나, 이후 연도에는 웹 애플리케이션 서버 및 관리 인터페이스에서 일반적으로 사용되는 대체 HTTP 포트 (8081–8085) 로 이동했습니다. LDAP 은 2022 년 이후 콜백의 주된 프로토콜로 남았습니다 (>90%).
• 시간적 패턴: 공격 강도는 2023 년과 2025 년에 정점을 찍었습니다. 연중 분석에 따르면 대부분의 공격 (약 80%) 이 3 월에서 6 월 사이에 발생하며 7 월 이후 급격히 감소했습니다.
• 페이로드 분류: 관찰된 페이로드의 압도적 다수 (약 93%) 가 명령 실행 또는 다운로드러 로직 (rce_downloader) 을 포함하고 있어, 대부분의 활동이 단순한 정찰이 아닌 능동적 악용에 의해 주도되었음을 나타냅니다.

의의 및 주장
본 논문은 Log4Shell 이 초기 공개 기간을 훨씬 넘어 여전히 중요한 활성 위협으로 남아 있으며, 패치가 제공되면 중요한 취약점이 무력화된다는 가정을 도전한다고 주장합니다. 연구는 이러한 취약점의 수명이 기회주의적 대량 스캐닝에서 반복되는 스캐너 및 콜백 인프라에 의해 주도되는 지속적이고 적응적인 캠페인으로 전환됨을 강조합니다.

저자들은 악용 동향을 완전히 이해하기 위해 지리적으로 다양하고 장기적인 측정의 가치를 강조합니다. 그들은 Log4Shell 의 지속성이 광범위하게 채택된 서드파티 라이브러리가 초래하는 체계적 위험과 종속성 관리의 어려움을 부각시킨다고 주장합니다. 연구 결과는 방어 메커니즘이 반응형 패치에서 지속적인 장기 모니터링 및 사전적 종속성 인벤토리 관리로 진화하여 중요한 소프트웨어 취약점의 위험을 완화해야 함을 시사합니다.