"Living Off the Land Binaries"의 약자인 LOLBin은 사이버 보안에서 위협 행위자가 악의적인 활동을 수행하기 위해 악용할 수 있는 Windows 운영 체제에 있는 합법적인 실행 파일, 도구 또는 스크립트를 가리키는 데 사용되는 용어입니다. 이러한 바이너리는 시스템에 기본적으로 포함되어 있으며 일반적으로 사이버 범죄자가 기존 보안 조치를 우회하는 데 사용합니다. 공격자는 사전 설치된 바이너리를 활용하여 탐지를 피하고 보안 도구가 합법적인 활동과 악의적인 활동을 식별하는 것을 어렵게 만들 수 있습니다.
LOLBin의 유래와 최초 언급의 역사
LOLBins의 개념은 보안 연구원들이 악의적인 목적으로 합법적인 시스템 유틸리티를 활용하는 파일리스 공격과 기술의 증가를 관찰하기 시작한 2014년경 사이버 보안 커뮤니티에서 두각을 나타냈습니다. LOLBins에 대한 첫 번째 언급은 2014년 Casey Smith가 작성한 "Living off the Land and EvadingDetection - A Survey of Common Practices"라는 제목의 연구 논문에서였습니다. 이 문서는 공격자가 기본 제공 Windows 바이너리를 악용하여 자신의 활동을 은폐하고 보안을 유지하는 방법을 조명했습니다. 탐지를 회피하다
LOLBin에 대한 자세한 정보: LOLBin 주제 확장
LOLBins는 사이버 공격자가 레이더를 피해 이동하기 위해 사용하는 영리한 전략을 나타냅니다. 이러한 사전 설치된 바이너리는 공격자에게 피해자의 컴퓨터에 추가 악성 파일을 드롭할 필요 없이 다양한 명령을 실행하고, 시스템과 상호 작용하고, 정찰을 수행할 수 있는 광범위한 무기고를 제공합니다. 이는 일반적으로 공격이 메모리에서만 발생하고 하드 드라이브에 흔적을 거의 남기지 않는 파일리스 공격에 사용됩니다.
LOLBins의 사용은 종종 토지 활용 전술, PowerShell 스크립팅 및 WMI(Windows Management Instrumentation)와 같은 다른 기술과 결합되어 효율성을 극대화합니다. LOLBins는 공격자가 합법적인 시스템 활동에 혼합될 수 있도록 하여 보안 분석가가 정상적인 동작과 악의적인 동작을 구별하기 어렵게 만들기 때문에 악용 후 시나리오에서 특히 효과적입니다.
LOLBin의 내부 구조: LOLBin의 작동 방식
LOLBins는 운영 체제에 사전 설치되어 제공되는 기본 Windows 바이너리입니다. 이는 합법적인 기능을 갖고 있으며 다양한 관리 작업, 시스템 유지 관리 및 문제 해결을 지원하도록 설계되었습니다. 공격자는 의심을 불러일으키지 않고 악의적인 목표를 달성하기 위해 이러한 바이너리를 조작합니다. LOLBin의 내부 구조는 일반 시스템 바이너리의 구조와 동일하므로 보안 솔루션이 눈치채지 못하게 작동할 수 있습니다.
이 프로세스에는 일반적으로 명령줄 인수를 사용하여 특정 기능을 호출하거나 PowerShell 명령을 실행하거나 중요한 시스템 리소스에 액세스하는 작업이 포함됩니다. 공격자는 LOLBins를 이용하여 코드 실행, 파일 생성 또는 수정, 시스템 레지스트리 쿼리, 네트워크를 통한 통신 및 목표 달성에 필요한 기타 활동을 수행할 수 있습니다.
LOLBin의 주요 기능 분석
LOLBins는 위협 행위자에게 매력적인 몇 가지 주요 기능을 제공합니다.
-
합법적인 모습: LOLBins에는 유효한 디지털 서명이 있으며 일반적으로 Microsoft에서 서명하므로 신뢰할 수 있는 것처럼 보이고 보안 검사를 우회합니다.
-
투명화: LOLBins는 기본 시스템 바이너리이므로 위험 신호를 발생시키거나 보안 솔루션의 경고를 트리거하지 않고도 악성 코드를 실행할 수 있습니다.
-
악성 코드 삭제가 필요하지 않음: LOLBins는 공격자가 피해자 시스템에 추가 파일을 드롭하도록 요구하지 않으므로 탐지 가능성이 줄어듭니다.
-
신뢰할 수 있는 도구의 남용: 공격자는 이미 화이트리스트에 등록되어 안전하다고 간주되는 도구를 활용하므로 보안 도구가 합법적인 사용과 악의적인 사용을 구별하기 어렵습니다.
-
파일 없는 실행: LOLBins는 파일리스 공격을 가능하게 하여 디지털 공간을 줄이고 포렌식 조사의 복잡성을 높입니다.
LOLBin의 종류
| LOLBin 유형 | 설명 |
|---|---|
| 파워셸 스크립트 | Windows의 강력한 스크립트 언어인 PowerShell을 활용하여 악의적인 활동을 수행합니다. |
| WMI(Windows 관리 계측) | WMI를 활용하여 대상 시스템에서 스크립트와 명령을 원격으로 실행합니다. |
| Windows 명령 프롬프트(cmd.exe) | 기본 Windows 명령줄 해석기를 활용하여 명령과 스크립트를 실행합니다. |
| Windows 스크립트 호스트(wscript.exe, cscript.exe) | VBScript 또는 JScript로 작성된 스크립트를 실행합니다. |
LOLBin을 사용하는 방법
-
권한 승격: LOLBins는 손상된 시스템에 대한 권한을 높이고 민감한 정보 및 리소스에 대한 액세스 권한을 얻는 데 사용될 수 있습니다.
-
정보 수집: 위협 행위자는 LOLBins를 활용하여 설치된 소프트웨어, 네트워크 구성, 사용자 계정 등 대상 시스템에 대한 정보를 수집합니다.
-
측면 운동: 공격자는 LOLBins를 사용하여 네트워크 내에서 측면으로 이동하고 한 시스템에서 다른 시스템으로 도약하는 동시에 은밀한 상태를 유지합니다.
-
고집: LOLBins를 사용하면 공격자가 손상된 시스템에 지속성을 설정하여 장기간 액세스를 유지할 수 있습니다.
LOLBins의 사용은 사이버 보안 전문가에게 심각한 과제를 안겨줍니다. 일부 문제는 다음과 같습니다.
-
발각: 기존의 서명 기반 보안 도구는 합법적인 특성과 알려진 악성 코드 패턴의 부족으로 인해 LOLBins를 탐지하는 데 어려움을 겪을 수 있습니다.
-
시계: LOLBins은 합법적인 시스템 프로세스 내에서 작동하기 때문에 행동 분석 기반 탐지를 회피하는 경우가 많습니다.
-
화이트리스트: 공격자는 알려진 바이너리가 제한 없이 실행되도록 허용하는 화이트리스트 메커니즘을 남용할 수 있습니다.
-
완화: LOLBins는 필수 시스템 기능을 수행하므로 완전히 비활성화하거나 차단하는 것은 불가능합니다.
이러한 과제를 해결하려면 조직은 다음을 포함하는 다계층 보안 접근 방식을 채택해야 합니다.
- 행동 분석: 행동 기반 탐지 방법을 사용하여 합법적인 바이너리 내에서도 비정상적인 활동을 식별합니다.
- 이상 탐지: 이상 감지를 활용하여 정상적인 시스템 동작에서 벗어난 부분을 찾아냅니다.
- 엔드포인트 보호: 파일리스 공격과 메모리 기반 공격을 탐지할 수 있는 고급 엔드포인트 보호 도구에 투자하세요.
- 사용자 교육: LOLBin 기반 공격을 전달하는 일반적인 벡터인 피싱 및 사회 공학의 위험에 대해 사용자를 교육합니다.
주요 특징 및 기타 유사 용어와의 비교
| 용어 | 설명 |
|---|---|
| 롤빈 | 악의적인 목적으로 악용되는 합법적인 시스템 바이너리입니다. |
| 파일리스 공격 | 대상 시스템에 파일을 삭제하지 않고 메모리에서만 작동하는 공격입니다. |
| 파워셸 제국 | 공격적인 작업을 위해 PowerShell을 활용하는 악용 후 프레임워크입니다. |
| 토지 전술에서 생활하기 | 악의적인 활동을 위해 내장된 도구를 활용합니다. |
기술이 발전함에 따라 공격자와 방어자 모두가 사용하는 기술도 발전할 것입니다. LOLBins의 미래와 대응책은 다음과 같습니다.
-
AI 기반 탐지: AI 기반 보안 솔루션은 방대한 양의 데이터를 분석하고 악의적인 행위를 나타내는 패턴을 식별하여 LOLBin 기반 공격에 대한 탐지 및 예방 기능을 향상시킵니다.
-
행동 분석 개선 사항: 행동 기반 탐지 메커니즘은 더욱 정교해지고 합법적인 활동과 악의적인 활동을 더 잘 식별할 수 있습니다.
-
제로 트러스트 아키텍처: 조직은 제로 트러스트 원칙을 채택하여 실행을 허용하기 전에 각 작업을 확인함으로써 LOLBins의 영향을 줄일 수 있습니다.
-
하드웨어 보안: 하드웨어 기반 보안 기능은 더 강력한 격리 및 무결성 검사를 시행하여 LOLBin 공격을 막는 데 도움이 될 수 있습니다.
프록시 서버를 사용하거나 LOLBin과 연결하는 방법
프록시 서버는 LOLBin 기반 공격을 방어하는 데 중요한 역할을 합니다. 다음과 같은 방법으로 사용할 수 있습니다.
-
교통 점검: 프록시 서버는 일반적으로 LOLBins와 관련된 통신을 포함하여 의심스러운 패턴에 대해 네트워크 트래픽을 검사할 수 있습니다.
-
악성 콘텐츠 필터링: 프록시는 LOLBin 운영자가 사용하는 알려진 악성 도메인 및 IP 주소에 대한 액세스를 차단할 수 있습니다.
-
SSL/TLS 복호화: 프록시는 암호화된 트래픽을 해독하고 검사하여 LOLBins를 통해 전달되는 악성 페이로드를 탐지하고 차단할 수 있습니다.
-
익명화 탐지: 프록시는 익명화 기술을 사용하여 LOLBin 트래픽을 숨기려는 시도를 식별하고 차단할 수 있습니다.
관련된 링크들
LOLBins 및 사이버 보안 모범 사례에 대한 자세한 내용은 다음 리소스를 참조하세요.
- 토지에서 생활하고 탐지 회피 – 일반적인 관행에 대한 조사 – Casey Smith의 연구 논문, 2014.
- MITRE ATT&CK – 롤빈스 – MITRE ATT&CK 프레임워크의 LOLBins에 대한 정보.
- LOLBAS에 대한 방어 – Living Off the Land 바이너리 및 스크립트 방어에 관한 백서.
LOLBins는 끊임없이 진화하는 사이버 보안 환경에서 중요한 과제를 제시합니다. 이러한 교활한 위협으로부터 시스템과 데이터를 보호하려면 해당 기술을 이해하고 사전 방어 전략을 채택하는 것이 중요합니다.
