EvoPatch-IoT: Evolution-Aware Cross-Architecture Vulnerability Retrieval and Patch-State Profiling for BusyBox-Based IoT Firmware

1. 연구 배경 및 문제 정의 (Problem)

IoT 기기 (라우터, 카메라, 게이트웨이 등) 는 리눅스 기반 펌웨어에 BusyBox라는 오픈소스 유틸리티를 광범위하게 재사용합니다. 그러나 보안 감사 (Security Auditing) 는 다음과 같은 주요 장애물로 인해 매우 어렵습니다.

• 스트립 (Stripped) 바이너리: 실제 배포된 펌웨어는 심볼 (Symbol) 이 제거된 상태이며, 소스 코드나 버전 정보가 누락된 경우가 많습니다.
• 이질적인 아키텍처: 동일한 BusyBox 소스가 ARM, MIPS, x86_64 등 다양한 아키텍처로 컴파일됩니다.
• 일관성 없는 패치: 벤더마다 패치를 부분적으로 백포트 (Backport) 하거나 커스터마이징을 하여, 취약점 유무를 판단하기 어렵습니다.

따라서 분석가는 다음과 같은 세 가지 핵심 질문에 답해야 합니다:

1. 알려진 상류 (Upstream) BusyBox 함수가 스트립된 바이너리의 어떤 함수에 해당하는가?
2. 대상 바이너리는 취약한 버전의 계보 (Lineage) 에 가까운가, 아니면 패치된 계보에 가까운가?
3. 수동 역공학 (Reverse Engineering) 을 시작하기 전에 얼마나 많은 후보 함수를 필터링할 수 있는가?

기존 연구들은 이진 코드 유사성 분석을 발전시켰으나, 버전 진화 (Version Evolution) 를 고려한 취약점 검색과 스트립된 환경에서의 함수 단위 증거 확보라는 두 가지 간극을 완전히 해결하지 못했습니다.

2. 제안 방법: EvoPatch-IoT (Methodology)

저자들은 BusyBox 기반 IoT 펌웨어를 위한 진화 인식 (Evolution-Aware) 교차 아키텍처 검색 프레임워크인 EvoPatch-IoT를 제안합니다. 이 프레임워크는 심볼, 소스 경로, 버전 문자열 없이도 작동하도록 설계되었습니다.

주요 구성 요소:

1. 스트립 호환성 익명 특징 추출 (Stripped-Compatible Anonymous Features):

   • 기하학적 모양 (Geometric Shape): 함수의 크기, 주소, 랭크, 이웃 함수와의 상대적 위치 등을 5 차원 벡터로 표현합니다. 심볼이 없어도 함수의 구조적 위치를 파악하는 핵심입니다.
   • 익명 다중 뷰 (Anonymous Multi-view): Ghidra 를 통해 추출한 익명 명령어 토큰, 제어 흐름 그래프 (CFG) 통계, 호출 컨텍스트, 문자열/상수 범주 등을 TF-IDF 및 해싱을 통해 임베딩합니다.

2. 양방향 익명 정렬 (Bidirectional Anonymous Alignment):

   • 스트립된 바이너리와 레이블이 있는 (Unstripped) 바이너리 간에 상호 최근접 이웃 (Mutual Nearest-Neighbor) 매칭을 수행합니다.
   • 기하학적 거리 기반의 검색 창 (Search Window) 을 사용하여 높은 신뢰도의 '앵커 (Anchor)'를 생성하고, 이를 통해 스트립된 함수와 레이블을 연결합니다.

3. 역사적 진화 프로토타입 (Historical Evolution Prototypes):

   • 과거 버전의 매칭된 함수들을 집계하여 '프로토타입'을 생성합니다. 이는 버전 간 드리프트 (Drift) 가 발생했을 때 검색의 안정성을 높이는 역할을 합니다.

4. 진화 인식 검색 점수화 (Evolution-Aware Retrieval Scoring):

   • 최종 점수는 다음 세 가지 요소의 가중 합으로 계산됩니다:
     • 기하학적 유사성 (70%): 로컬 함수 구조의 일치도 (가장 중요).
     • 다중 뷰 융합 유사성 (10%): 의미론적 (Semantic) 모호성 해결.
     • 프로토타입 유사성 (20%): 버전 진화 신호를 통한 재순위화.

5. 패치 상태 프로파일링 (Patch-State Profiling):

   • 바이너리 전체 통계 (파일 크기, 심볼 수, 디버그 섹션 등) 를 기반으로 취약한지 패치되었는지를 분류하는 경량 프록시 (Proxy) 를 구축합니다.

3. 주요 기여 (Key Contributions)

1. 대규모 BusyBox 벤치마크 구축: 57 개의 역사적 버전, 5 가지 아키텍처 (AArch64, ARM, MIPS, MIPSEL, x86_64), 270 개의 언스트립드 및 285 개의 스트립드 바이너리, 130 개의 소스 릴레이를 포함하는 데이터셋을 공개했습니다. 이는 스트립/언스트립 대응 관계와 버전 진화를 동시에 다루는 유일한 데이터셋입니다.
2. EvoPatch-IoT 프레임워크 개발: 스트립된 바이너리 환경에서도 작동하며, 기하학적 우선순위, 다중 뷰 특징, 역사적 프로토타입을 통합한 검색 알고리즘을 제안했습니다.
3. 재현 가능한 알고리즘 및 수식: 익명 정렬, 다중 뷰 특징 융합, 진화 인식 검색에 대한 명시적인 알고리즘과 수학적 공식을 제시하여 워크플로우의 재현성을 보장합니다.
4. 광범위한 실험 및 검증: 57 개 버전, 1,020 개의 교차 아키텍처 쌍, 128,084 개의 쿼리 함수에 대한 실험을 수행하고, CVE-2021-42386 (AWK 취약점) 사례 연구를 통해 패치 상태 추론 능력을 입증했습니다.

4. 실험 결과 (Results)

• 검색 성능: 57 개 버전과 1,020 개의 아키텍처 쌍에서 Weighted Hit@1 34.56%, **Hit@10 56.24%**를 기록했습니다. 이는 가장 강력한 베이스라인 (Array 2025) 보다 Hit@1 에서 16.04%, Hit@10 에서 26.85% 더 높은 성능을 보였습니다.
• 수동 검사 공간 감소: 평균적으로 분석가가 검사해야 하는 후보 함수 수를 98.98% 감소시켜 (Mean Inspected@10: 6.20), 역공학 비용을 획기적으로 절감했습니다.
• 버전 진화 강건성: 57 개 버전 중 56 개 버전에서 최상의 성능을 보였으며, 특히 최신 버전 (버전 드리프트가 큰 경우) 에서 프로토타입의 효과가 두드러졌습니다.
• 패치 상태 분류: CVE-2021-42386 사례 연구에서 held-out 아키텍처에 대해 82.44% 정확도와 88.47% F1 점수를 달성하여 패치 여부를 효과적으로 식별했습니다.
• 교차 아키텍처 성능: MIPS↔MIPSEL 간에는 거의 완벽한 검색 (Hit@10 ~0.99) 을 보였으며, AArch64↔x86_64 등 이질적인 아키텍처 간에서도 유의미한 성능 향상을 보였습니다.

5. 의의 및 결론 (Significance)

• 실용적 가치: EvoPatch-IoT 는 IoT 펌웨어 감사 워크플로우에서 수동 역공학의 필요성을 줄이고, 취약점 위치를 빠르게 특정할 수 있는 실용적인 기반을 제공합니다.
• 기하학적 특징의 재평가: 스트립된 바이너리에서도 함수의 기하학적 위치 (크기, 주소 순서 등) 가 강력한 검색 기반이 될 수 있음을 입증하고, 이를 진화 신호와 결합하여 성능을 극대화했습니다.
• 확장성: BusyBox 에 국한되었으나, 이 프레임워크는 다양한 IoT 펌웨어 구성 요소에 대한 확장 가능한 취약점 감사 및 패치 관리 시스템의 토대가 될 수 있습니다.

결론적으로, EvoPatch-IoT 는 스트립된 바이너리 환경에서 심볼 정보 없이도 버전 진화 신호를 활용하여 정확한 취약점 함수를 식별하고 패치 상태를 판단할 수 있는 새로운 표준을 제시한 연구입니다.