지난 2월 3일 오전 12시 46분에 노스캐롤라이나(North Carolina)의 한 Windows 7 Pro 사용자가 윈도우 32 이모텟(Win 32 Emotet) 멀웨어 공격의 첫번째 피해자가 되었다. 또 30분 후에 1,000명이 넘는 잠재적 피해자들을 공격하려고 했지만 이들 모두가 윈도우 디펜더 리서치 안티바이러스(Windows Defender Antivirus/AV)에 즉시 자동으로 보호되었다고 한다.
마이크로 소프트의 윈도우 디펜더 리서치(Windows Defender Research)는 14일(현지시각) 이에 대한 블로그 게시글을 통해 클라이언트 및 클라우드 머신러닝 모델의 조합이 새로운 바이러스 감염을 어떻게 탐지하는지를 설명했다.
본지는 데스크톱, 휴대용 컴퓨터 및 서버에 대한 보안 및 맬웨어 방지 관리 기능을 제공하는 윈도우 디펜더 리서치 안티바이러스(AV, Antivirus)가 이번 시작된 공격을 인공지능(AI)을 통해 맬웨어 이모텟(Emotet)을 어떻게 찾아냈으며, 감염을 어떻게 차단했는지 그 내용을 요약 정리해 본다.
클라이언트 머신러닝 모델
그림 1에서 시스템 학습 보호의 첫번째 계층은 컴퓨터에서 로컬로 실행되는 윈도우 디펜더 AV 클라이언트에 바로 내장된 여러개의 가벼운 머신러닝 모델의 배열로 이러한 모델의 대부분은 맬웨어(malware) 작성기, JavaScript, Visual Basic Script 및 Office 매크로 등을 비롯해 악성 프로그램 작성자가 일반적으로 악용하는 파일 형식에 특화되어 있다.
일부 모델은 동작 탐지를 대상으로 하지만 다른 모델은 PE(Portable Executable) 파일(.exe 및 .dll)을 검색하는 것을 목표로 하며, 2월 3일에 발생한 이모뎃 감염 사례에서 윈도우 디펜더 AV는 그래디언트 부스티드 트리(gradient-boosted tree) 앙상블 모델 중 하나를 사용하여 공격을 포착했다. 이 모델은 파일을 에뮬레이션 할 때 어셈블리 opcode 시퀀스의 특징을 기반으로 파일을 분류하므로 시뮬레이션을 통해 파일의 동작을 모델에서 볼 수 있다.
트리 앙상블은 고성능 그래디언트 부스팅(Gradient boosting)에 사용되는 마이크로소프트의 오픈 소스 프레임 워크인 LightGBM(다운받기)을 사용하여 학습되었다 .
클라이언트 기반 기계 학습 모델이 높은 악성 가능성을 예측할 때 풍부한 특징 벡터 세트가 컨텐츠를 설명하기 위해 준비되며, 이러한 특징 벡터는 다음과 같다.
▷API 호출 및 실행 코드와 같은 에뮬레이션 중 동작 ▷유사 퍼지 해시(Similarity fuzzy hashes) ▷머신러닝 모델에서 사용하기 위해 최적화된 내용 기술 플래그의 벡터 ▷연구자 중심의 특성(예 : 난독화에 사용되는 패커 기술) ▷파일 이름 ▷파일 크기 ▷엔트로피 레벨 ▷섹션 수와 같은 파일 속성 ▷정적 및 에뮬레이션 된 콘텐츠의 부분 파일 해시.
이 기능 세트는 윈도우 디펜더 AV 클라우드 보호 서비스로 전송되는 신호를 형성하며, 이 서비스는 실시간으로 복잡한 모델을 다양하게 실행하여 신호를 악성 또는 양성으로 즉시 분류한다.
실시간 클라우드 머신러닝 모델
윈도우 디펜더 AV의 클라우드 기반 실시간 분류 프로그램은 많은 메모리, 디스크 공간 및 컴퓨터 리소스를 사용하는 강력하고 복잡한 머신러닝 모델이다. 또한 신호를 분류하기 위해 마이크로소프트 지능형 보안 그래프의 일부로 글로벌 파일 정보와 마이크로소프트 평판(reputation)을 통합한다. 이러한 복잡한 모델에 대해 클라우드에 의존하면 다음과 같이 세 가지 이점이 있다.
첫째, 컴퓨터의 리소스를 사용하지 않는다. 둘째, 클라우드를 통해 마이크로소프트 지능형 보안 그래프의 글로벌 정보 및 평판 정보를 고려하여 더 나은 결정을 내릴 수 있다. 셋째, 클라우드 기반 모델은 사이버 범죄자들이 회피하기가 더 어렵다.
공격자들은 우리가 모르는 채로 우리의 모델을 하루 종일 테스트할 수 있으나 클라우드 기반의 방어를 테스트하기 위해서는 공격자가 클라우드 서비스에 접근해야 하기 때문에 이 공격자에 실시간으로 대응할 수 있는 것이다.
또한 클라우드 보호 서비스는 매일 윈도우 디펜더 AV 클라이언트에 의해 수십억번씩 쿼리 되어 신호를 분류함으로써 매일 수백만개의 맬웨어 블록을 생성하고 수억명의 사용자에 대한 보호로 전환하고 있다. 현재 윈도우 디펜더 AV 클라우드 보호 서비스에는 병렬로 실행되는 약 30개의 강력한 모델이 있다.
이러한 모델 중 일부는 각각 수백만개의 기능을 포함하고 있으며, 대부분은 빠르게 변화하는 위협 환경에 적응하기 위해 매일 업데이트 된다. 또 컴퓨터에서 검사 중인 콘텐츠에 대한 중요한 정보를 제공하는 다양한 분류를 제공하고 있다.
클라우드 머신러닝 모델의 분류는 앙상블 머신러닝 분류기, 평판 기반 규칙, 허용 목록 규칙 및 마이크로 소프트 지능형 보안 그래프의 데이터와 결합되어 신호에 대한 최종 결정을 내린다. 그런 다음 클라우드 보호 서비스는 신호가 악의적인지 아닌지에 대한 결정을 바탕으로 윈도 디펜더 클라이언트에 응답한다.
이번 북미 지역의 이모텟(Emotet) 감염에서 클라우드 머신러닝 서버 중 하나가 사용자로부터부터 가장 많은 질문이 있었으며, 발병이 시작된 곳과 일치했다. 최소 9 개의 실시간 클라우드 기반 머신러닝 분류기가 해당 파일을 맬웨어로 올바르게 식별했으며, 마이크로소프트 클라우드 보호 서비스는 머신러닝 기반으로 Win32 / Fuerboos.C! cl 및 Trojan : Win32 / Fuery.A! cl 등을 사용하여 윈도우 디펜더 AV 클라이언트가 공격을 차단하도록 지시하는 신호에 응답했다. 또 이 자동화된 프로세스로 인해 사용자는 이모뎃 감염으로부터 실시간으로 보호됐다.
전체 파일 내용에 대한 심층적인 학습
윈도우 디펜더 AV 기능인 자동 샘플 제출 기능을 사용하면 처음 발생한 후 1 분 이내에 맬웨어 파일의 복사본을 백 엔드 시스템에 보냈으며, 머신러닝 모델은 관찰된 전체 파일 내용 및 동작을 기반으로 파일을 즉시 분석했다.
또한 딥 신경 네트워크 모델은 파일을 트로이 목마의 변형임을 식별했으며, 머신러닝 분류기가 처음에는 맬웨어가 차단되었음을 보장했지만 딥러닝 모델은 위협을 올바른 맬웨어 계열과 연결하는데 도움이 되었으며, 공격으로부터 보호된 사용자는 이 정보를 사용하여 맬웨어가 중지되지 않은 경우의 영향을 파악할 수 있다.
또한 딥러닝 모델은 또 다른 보호 계층을 제공하며, 실시간 분류 프로그램이 파일에 대한 결정을 내릴 수 없는 비교적 드문 경우에는 수분 내 딥러닝 모델을 사용할 수 있다. 예를 들어, 배드래빗 랜섬웨어(Bad Rabbit ransomware)가 확산되는 동안 윈도우 디펜더 AV는 첫 번째 탐색 직후 14 분 만에 새로운 랜섬웨어에서 사용자를 보호했다.
이처럼 컴퓨터 학습 및 인공지능(AI)은 윈도우 디펜더 AV에서 제공하는 차세대 실시간 보호의 최전선에 서 있으며, 윈도우 디펜더 AV 지능형 실시간 방어 시스템은 Windows 10의 차세대 보안 기술의 일부로 악성코드의 광범위한 위협으로부터 보호되고 있다.
