“‘AWS 람다’ 표적으로 노린 맬웨어가 발견됐다”

새 암호화폐 채굴 맬웨어는 쉽게 배포할 수 있도록 고(Go)로 작성됐으며, AWS의 자체 오픈소스 고 라이브러리를 사용한다. 

맬웨어 개발자는 트렌드를 따라간다. 특히, 공격자는 타깃 조직에서 사용하는 것과 동일한 기술을 채택한다. 최근 카도 시큐리티(Cado Security)의 연구진이 사용자 제공 애플리케이션 코드를 온디맨드로 실행하도록 설계된, 이른바 서버리스 컴퓨팅 플랫폼 ‘AWS 람다(AWS Lambda)’ 내부에서 실행되는 암호화폐 채굴기를 발견했다고 밝혔다. 

연구진은 “이 첫 번째 샘플은 암호화폐 채굴 소프트웨어만 실행한다는 점에서 무해하긴 하지만 공격자가 클라우드 관련 전문 지식을 활용하여 복잡한 클라우드 인프라를 악용하는 방법을 보여주며, 이는 잠재적으로 굉장히 위험한 공격이 될 수 있다”라고 말했다. 
 

‘데노니아(Denonia)’ 
고랭으로 작성된 이 맬웨어는 (공격자가 도메인에 부여한 이름을 따서) ‘데노니아(Denonia)’라고 명명됐으며, 리눅스용 64-bit ELF 실행 파일로 발견됐다. 카도 시큐리티 연구진은 이 맬웨어가 어떻게 배포되는지 정확하게 파악하진 못했지만 손상된 AWS 액세스 자격증명 및 시크릿 키(Secret Keys)가 관련됐을 가능성이 있다고 봤다. 

한편 구글의 고 언어로 작성된 맬웨어가 새로운 것은 아니다. 맬웨어를 크로스 플랫폼 및 독립형으로 만드는 간편한 방법을 제공한다는 점에서 이는 최근 몇 년 동안 점점 더 보편화되고 있는 추세다. 물론 단점도 있다. 바이너리 파일이 크다는 것이다. 운영체제에 이미 존재하는 라이브러리에 동적으로 연결되는 대신, 프로그램이 필요로 하는 모든 라이브러리를 포함해야 하기 때문이다. 

여러 프로그래밍 언어로 된 코드를 지원하도록 설계된 서버리스 컴퓨팅 플랫폼은 코드를 쉽게 배포할 수 있도록 지원한다. AWS 람다는 기본적으로 자바, 고, 파워셸, 노드닷제이에스, C#, 파이썬, 루비를 지원한다. 사용자가 VM을 임대하고 VM과 운영체제를 관리하는 기존 클라우드 컴퓨팅과 달리, 람다 및 이와 유사한 제품을 사용하면 컴퓨팅 인프라(예: 서버 및 운영체제 등) 관리를 걱정할 필요 없이 이벤트에 따라 온디맨드로 실행되는 (여러 프로그래밍 언어로 작성된) 코드를 배포할 수 있다. 

연구진에 따르면 데노니아는 플랫폼과 상호작용하기 위해 AWS에서 자체적으로 만든 서드파티 오픈소스 고 라이브러리(aws-sdk-go, aws-lambda-go)를 포함한다는 점에서 분명 람다를 염두에 두고 개발됐다고 연구진은 전했다. 또 실행 시 LAMBDA_SERVER_PORT and AWS_LAMBDA_RUNTIME_API와 같은 특정 람다 환경 변수를 확인한다는 점도 특징이다. 

카도 시큐리티 연구진은 “아울러 동적 분석 중에 샘플이 람다 환경 외부(예: 바닐라 아마존 리눅스 박스)에서 계속 실행된다는 점을 포착했다”라면서, “이는 내부적으로 리눅스를 사용하는 람다 ‘서버리스’ 환경 때문인 것으로 추정된다. 그래서 맬웨어는 샌드박스에서 실행되고 있음에도 (필요한 환경 변수를 수동으로 설정한 후) 람다에서 실행되는 것처럼 보였다”라고 설명했다. 

까다로운 데노니아 탐지 
맬웨어는 공격자 제어 도메인의 DNS 요청에서 명령 및 제어 트래픽을 숨기고, DoH(DNS-over-HTTPS)를 사용하여 해당 요청을 숨긴다. DoH가 DNS 요청 내용을 암호화하기 때문에 트래픽 검사 메커니즘은 쿼리의 실제 내용이 아닌 cloudflare-dns.com 또는 dns.google.com 등의 HTTPS DNS 해석기로 가는 요청만 보게 된다. 이로 인해 (데노니아) 탐지가 어려워지고, 공격자는 포트 53을 통한 기존 DNS 트래픽을 허용하지 않을 수 있는 람다 환경 설정을 우회할 수 있다. 

이 맬웨어는 기본적으로 (맬웨어 개발자가 자주 쓰는) 오픈소스 암호화폐 채굴 프로그램인 ‘XM리그(XMRig)’의 래퍼(wrapper)다. 물론 람다 고객이 XM리그의 표적이 된 게 처음은 아니다. 하지만 대부분 데노니아와 같은 복잡한 맬웨어가 아니라 간단한 스크립트를 통해서였다. 한편 연구진은 이번 보고서에서 분석한 맬웨어는 2월 말에 등장했지만 바이러스토탈(VirusTotal)에서 1월 업로드된 해당 맬웨어도 발견했다고 밝혔다. 이러한 공격이 몇 달 동안 이뤄지고 있던 셈이다. 

람다 등의 서버리스 플랫폼은 서버 관리 부담이 클라우드 업체에 전가되기 때문에, 클라우드 VM 관리 및 보호 인력이 없는 소규모 기업에 적합한 리소스다. 하지만 (그렇다 하더라도) 여전히 자격증명과 액세스 키를 보호해야 할 책임은 있다. 카도 시큐리티 연구진은 “짧은 런타임 시간, 엄청난 양의 실행, 람다 함수의 동적이고 임시적인 특성으로 인해 잠재적인 손상을 탐지, 조사, 대응하기 어려울 수 있다”라며, “AWS 공동 책임(AWS Shared Responsibility) 모델에 따라 AWS는 기본 람다 실행 환경을 보호하지만 기능 자체를 보호하는 건 고객의 몫이다”라고 말했다. ciokr@idg.co.kr