RABIS:Ransomware Analysis Based on Information Theory and System Calls

디지털 세계에서 컴퓨터 프로그램이 취하는 모든 행동은 운영체제에 대한 일련의 요청으로 기록됩니다. 프로그램이 파일을 열거나, 문서를 저장하거나, 네트워크에 연결해야 할 때, 프로그램은 컴퓨터의 핵심 소프트웨어에 이를 수행해 달라고 요청해야 합니다. 이러한 요청을 시스템 콜(system calls)이라고 부릅니다. 수십 년 동안 보안 전문가들은 문제를 포착하기 위해 이 요청들을 관찰해 왔습니다. 그 논리는 간단합니다. 워드 프로세서나 웹 브라우저와 같은 일반적인 프로그램은 예측 불가능한 패턴으로 생각하고, 클릭하고, 타이핑하는 인간 사용자의 반응에 따라 복잡하고 다양한 방식으로 행동합니다. 따라서 이들의 요청은 다양하고 불규칙합니다. 그러나 악성 프로그램은 종-종 단 하나의 경직된 목표를 가집니다. 만약 그 목표가 데이터를 훔치거나 파괴하는 것이라면, 해당 프로그램은 수천 개의 파일을 열고, 읽고, 암호화하고, 이름을 바꾸는 동일한 몇 가지 동작을 끊임없이 기계적인 리듬으로 반복하며 수행할 것입니다. 이러한 반복적인 특성은 일상적인 소프트웨어의 혼란스러운 소음과는 다른 뚜렷한 지문을 남깁니다.

인도의 국립법과학대학교(National Forensic Sciences University)와 하이데라바드의 C. R. Rao 수학 연구소의 연구진은 이러한 리듬을 측정함으로써 이러한 악성 프로그램을 잡아내는 새로운 방법을 개발했습니다. 그들은 이 방법을 RABIS라고 부릅니다. 해커들이 쉽게 변경할 수 있는 특정 바이러스의 이름이나 코드를 인식하려고 시도하는 대신, 이 접근 방식은 프로그램 행동의 통계적 패턴을 살펴봅니다. 그들은 시스템 콜의 시퀀스를 데이터 스트림처럼 취급하고 그 안에 얼마나 많은 다양성이 존재하는지를 측정합니다. 그들의 관점에서 건강한 프로그램은 놀라움과 다양성으로 가득 차 있는 반면, 랜섬웨어 프로그램은 지루할 정도로 예측 가능합니다. 이 예측 불가능성의 수준을 나타내는 값을 계산함으로써, 그들은 바이러스가 정확히 무엇이라고 불리거나 어떻게 만들어졌는지 알 필요 없이 위험한 프로그램과 안전한 프로그램을 구분할 수 있습니다.

이 아이디어를 테스트하기 위해 연구팀은 안전한 소프트웨어와 위험한 소프트웨어를 모두 관찰할 수 있는 통제된 환경을 구축했습니다. 그들은 텍스트 에디터, 계산기, 웹 브라우저, 시스템 관리자가 사용하는 커맨드 라인 도구와 같은 150개의 일반적인 일상 프로그램을 수집했습니다. 또한 그들은 Conti, REvil, Monti, SougoLock과 같은 이름으로 알려진 네 가지 뚜렷한 실제 랜섬웨어 샘플을 확보했습니다. 이러한 악성 프로그램들은 사용자의 파일을 잠그고 키를 대가로 돈을 요구하도록 설계되었습니다. 연구진은 실제 사용자의 하드 드라이브를 시뮬레이션하는 대규모 파일 모음이 포함된 컴퓨터 시스템에서 이 프로그램들을 실행했습니다. 각 프로그램이 실행될 때마다 모니터링 도구가 운영체제에 대한 모든 요청을 기록하여 행동에 대한 상세한 로그를 생성했습니다.

조사의 핵심은 이 긴 로그들을 세 개의 요청씩 겹치는 작은 그룹으로 나누는 것이었습니다. 그런 다음 각 특정 그룹의 세 개가 얼마나 자주 나타나는지 계산했습니다. 일반 프로그램의 경우, 로그는 특정 패턴이 너무 자주 반복되지 않는 다양한 그룹의 혼합을 보여주었습니다. 그러나 악성 프로그램은 매우 다른 모습을 보였습니다. 랜섬웨어는 파일을 처리할 때 동일한 방식으로 파일 하나하나를 처리해야 하므로, 정확히 동일한 요청 시퀀스를 계속 반복했습니다. 연구진은 이 차이를 정량화하기 위해 엔트로피(entropy)라는 수학적 개념을 사용했습니다. 간단히 말해, 엔트로피는 데이터 세트에 얼마나 많은 무질서나 무작위성이 존재하는지를 측정합니다. 높은 엔트로피는 데이터가 다양하고 예측하기 어렵다는 것을 의미하며, 이는 그들이 안전한 프로그램에서 본 것입니다. 낮은 엔트로피는 데이터가 반복적이고 예측 가능하다는 것을 의미하며, 이것이 바로 그들이 랜섬웨어에서 발견한 것입니다.

결과는 놀라웠습니다. 연구팀이 이 방법을 적용했을 때, 악성 프로그램들은 군중 속에서 명확하게 눈에 띄었습니다. 네 가지 랜섬웨어 샘플 모두 매우 낮은 엔트로피 값을 보여 그 반복적이고 기계적인 본성을 확인시켜 주었습니다. 150개의 안전한 프로그램은 훨씬 높은 값을 나타내어 그들의 복잡하고 다양한 행동을 반영했습니다. 시스템은 모든 랜섬웨어 샘플을 위험한 것으로 정확히 식별했습니다. 다만, 특정 반복 작업을 수행하는 백업 도구나 많은 파일을 스캔하는 안티바이러스 소프트웨어와 같이 자연스럽게 반복적인 작업을 수행하는 일부 안전한 프로그램들을 위협으로 오분류했습니다. 그러나 전체적인 정확도는 98.05%에 달했습니다. 연구진은 랜섬웨어가 암호화하려는 파일의 모음이 클수록 그 반복적인 패턴이 더 명확해져서 탐지하기가 더욱 쉬워진다는 것을 발견했습니다.

이러한 접근 방식은 복잡한 인공지능 모델이나 방대한 알려진 바이러스 시그니처 데이터베이스에 의존하는 기존 방식에 비해 상당한 이점을 제공합니다. 그러한 구식 시스템은 느리고 많은 컴퓨팅 파워를 필요로 하며, 해커가 바이러스를 약간 수정하여 새로운 것처럼 보이게 만들 때 종종 실패합니다. RABIS 방식은 패턴을 세고 다양성을 측정하는 것만으로 작동하기 때문에 가볍고 빠릅니다. 이 방식은 작동하기 위해 수천 개의 악성 코드 사례에 대해 학습될 필요가 없습니다. 단지 인간이 주도하는 프로그램의 혼란스러운 행동과 기계가 주도하는 공격의 경직되고 반복적인 행동 사이의 차이를 이해하기만 하면 됩니다. 연구진은 소프트웨어가 컴퓨터와 대화하는 근본적인 리듬에 집중함으로써, 바이러스가 이전에 본 적 없는 것이라도 발생하는 즉시 랜섬웨어 공격을 감지할 수 있음을 입증했습니다.

이 방법이 매우 효과적이기는 하지만, 연구진은 이것이 완벽하지는 않다고 인정합니다. 위협으로 분류된 몇몇 안전한 프로그램들은 공격자의 행동을 모방할 수 있는 반복적인 파일 작업을 자연스럽게 수행하는 것들이었습니다. 이를 처리하기 위해 연구팀은 향-후 버전의 시스템이 얼마나 많은 파일이 다뤄지는지 또는 프로세스가 얼마나 빨리 실행되는지와 같은 활동의 맥락을 살펴봄으로써 이러한 오경보를 줄일 수 있다고 제안합니다. 또한 그들은 이 시스템을 테스트된 특정 운영체제뿐만 아니라 다양한 유형의 컴퓨터에서 작동하도록 확장할 계획입니다. 현재로서는, 이 연구는 소프트웨어가 행동하는 방식에 대한 단순한 통계적 관찰이 가장 파괴적인 형태의 사이버 범죄에 대한 강력한 방패가 될 수 있음을 증명하며, 상상력의 결여를 통해 위협을 찾아내는 방법을 제시하고 있습니다.