Living-off-the-Land Binaries(LOLBin)

개요

Living-off-the-Land Binaries(LOLBin)은 운영체제(OS)나 정식 소프트웨어에 기본적으로 설치된 합법적 바이너리(예: PowerShell, rundll32, certutil 등)를 악용하여 보안 탐지를 회피하고 악성 활동을 수행하는 공격 기법을 의미합니다. 이 기법은 파일리스(Fileless) 공격, 권한 상승, 데이터 유출, 지속성 유지 등 다양한 위협 시나리오에 활용되며, LOLBin 대응은 현대 엔드포인트 및 클라우드 보안 전략의 핵심 과제가 되었습니다.

---

1. 개념 및 정의

항목	설명
정의	시스템에 기본 내장된 정상 바이너리를 악성 행위에 재활용하여 공격하는 사이버 공격 전술
목적	안티바이러스, EDR 등 전통적 보안 솔루션의 탐지 우회 및 공격 성공률 증가
필요성	'신뢰할 수 있는' 프로세스를 통한 은폐 공격 증가에 따른 대응 필수성 부각

LOLBin은 APT 공격, 랜섬웨어, 사이버스파이 활동에서 광범위하게 사용됩니다.

---

2. 주요 특징

특징	설명	비교
탐지 회피성 극대화	백신, EDR 우회 가능성 높음	악성 EXE, 스크립트 파일 직접 실행 대비 은폐력 우수
파일리스 공격 연계	디스크 흔적 없이 메모리 내 공격 수행 가능	전통적 파일 기반 탐지 회피 가능
권한 상승 및 지속성 확보 용이	OS 수준 프로세스 권한을 악용 가능	외부 도구 추가 설치 없이 공격 심화 가능

특히 MITRE ATT&CK Framework에서는 LOLBin 악용 사례를 전술(Tactics)별로 상세 분류하고 있습니다.

---

3. 대표적인 LOLBin 예시

바이너리	설명	악용 시나리오
PowerShell.exe	윈도우 자동화 스크립트 실행 도구	악성 명령 실행, 파일 다운로드, C2 통신
Rundll32.exe	DLL 파일을 호출하여 코드 실행	악성 DLL 로딩 및 실행
Certutil.exe	인증서 관리 유틸리티	외부 파일 다운로드, 데이터 인코딩 및 전송
Mshta.exe	HTML Application 실행 도구	원격 스크립트 실행 통한 공격 지속성 확보
WMIC.exe	WMI 명령줄 도구	원격 시스템 정보 수집, 파일 실행

리눅스, macOS 환경에서도 bash, curl, wget, python 등이 LOLBin으로 악용될 수 있습니다.

---

4. LOLBin Mitigation 주요 전략

전략	설명	적용 방법
애플리케이션 컨트롤(Application Control)	신뢰된 바이너리만 허용, 실행 제어	AppLocker, Windows Defender Application Control (WDAC) 활용
명령어/매개변수 분석 및 모니터링	바이너리 호출 시 이상한 인수 탐지	EDR, XDR 솔루션에 커스텀 룰 설정
프로세스 체인 추적(Process Ancestry Tracking)	비정상 부모-자식 프로세스 관계 식별	공격 플로우 흐름 분석 강화
스크립트 차단 및 정책 설정	PowerShell Constrained Language Mode 적용	원격 스크립트 실행 제한
Threat Intelligence 연계 룰 업데이트	최신 LOLBin 악용 TTPs 기반 탐지 규칙 적용	MITRE, CISA 등 위협 인텔리전스 적극 활용

특히 CIS Controls v8에서도 LOLBin 대응을 위한 Application Control 강화가 권장되고 있습니다.

---

5. 장점 및 이점

장점	설명	효과
탐지 회피 공격 사전 차단	정상 바이너리 악용 시나리오 실시간 식별	Fileless Malware 대응 강화
위협 헌팅 효율성 증대	프로세스 행위 기반 위협 탐지 가능	기존 시그니처 기반 탐지 보완
엔드포인트 방어력 향상	파일형 악성코드 + 파일리스 공격 모두 대응 가능	엔드포인트 보안 체계 전반 강화

LOLBin 탐지는 Zero Trust Endpoint Protection 전략과도 밀접하게 연계됩니다.

---

6. 주요 활용 사례 및 고려사항

사례	설명	고려사항
금융권 엔드포인트 보안 강화	LOLBin 활용 랜섬웨어 초기 침입 차단	정상 업무 프로세스 차단 최소화 필요
클라우드 워크로드 보호	컨테이너, VM 내 기본 툴 악용 시도 탐지	경량화된 에이전트 운영 및 성능 영향 최소화 고려
Critical Infrastructure 위협 탐지	ICS/SCADA 시스템 내 LOLBin 기반 공격 식별	운영 안정성 고려한 탐지 민감도 조정 필요

구축 시 False Positive 최소화, 실제 사용 패턴 이해, Threat Modeling 연계가 중요합니다.

---

7. 결론

Living-off-the-Land Binaries(LOLBin) 공격은 점점 더 정교해지고 있으며, 이에 대응하기 위해서는 프로세스 행동 기반 탐지, 최소 권한 실행 정책, Threat Intelligence 통합 탐지 전략을 결합한 입체적 접근이 필수입니다. 앞으로 보안팀은 LOLBin 전용 탐지-대응 체계 구축을 통해 파일리스 공격 시대를 선제적으로 대비해야 합니다.