Linux 악성코드 C2 'RedXOR' - 탐지 예시

이 패키지는 Zeek를 사용하여 Linux 백도어 "redXOR"를 상태 기반 방식으로 탐지하는 방법을 보여주는 데모입니다.

참고 자료:

• Corelight 블로그
• https://www.intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/

기존 IOC(예: C2 IP, 도메인, URI)보다 낮은 수준에서 위협을 탐지하면 훨씬 더 견고한 탐지가 가능합니다. 공격자는 도메인/IP/URI 등의 기존 요소를 자주 그리고 쉽게 변경할 수 있기 때문에 단순한 IOC 기반 탐지는 실패하기 쉽다는 점에서 이는 중요합니다. 또한 (이 패키지에서 제공하는) 낮은 수준의 행동 기반 탐지 로직을 사용하면 오탐(False Positive)에 훨씬 덜 노출된다는 장점이 있습니다.

이 데모에서 사용하는 탐지 로직은 연속적인 Cookie 트랜잭션 패턴을 찾는 것입니다. 이를 위해서는 상태 유지(stateful) 접근 방식이 필요하며, 이는 Zeek의 이벤트 기반 탐지 엔진에 매우 적합합니다.

Zeek로 이 악성코드를 탐지하는 방법은 다양합니다. 이 스크립트는 그러한 기법 중 하나를 튜토리얼 형식으로 보여주기 위해 준비되었습니다. Zeek의 상태 저장 기능이 현대 C2 악성코드를 탐지하는 데 상당히 직관적이고 실용적인 방식으로 사용될 수 있다는 점을 강조하는 기법입니다.
RedXOR에 대한 연구는 Intezer 덕분입니다. 이 악성코드의 저수준 설명은 다음 글을 참조하세요. https://www.intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/

이 스크립트는 실제 pcap의 _추상화_를 기반으로 작성되었습니다. 원본 pcap에는 민감한 정보가 포함되어 있어 원래 형식으로 공유할 수 없었습니다. 이 추상화는 Intezer Research 팀이 준비했으며 이 데모를 작성할 목적으로 Corelight Labs와 공유되었습니다.

아래 다이어그램의 빨간색 표시는 스크립트가 사용하는 상태 기반 탐지 로직을 높은 수준에서 보여줍니다. 또한 스크립트 자체에 상세한 주석이 달려 있어 더 기술적인 측면들의 이유와 배경을 설명합니다.

(원본 Wireshark 스크린샷 제공: Intezer)