eBPF 기반 지속성(Persistence) 기법

eBPF(extended Berkeley Packet Filter)는 커널을 재컴파일하지 않고도 커널 내부에서 샌드박스된 프로그램을 실행할 수 있게 해주는 리눅스 기능이다. 원래는 네트워킹/트레이싱/모니터링 목적(Wazuh 같은 도구도 이걸 활용한다)이지만, 공격자 입장에서는 커널 레벨에서 프로세스·파일·네트워크를 몰래 조작할 수 있는 강력한 지속성 수단이 된다. BPFDoor 같은 실제 악성코드가 이 방식을 쓴다.

왜 강력한가

• 커널 레벨에서 실행되므로 유저스페이스 도구(ps, netstat 등)로 눈속임이 가능하다 — syscall 결과 자체를 조작할 수 있다
• RAW 소켓 기반이라 일반적인 포트 리스닝 형태가 아니어서, 방화벽/포트 스캔으로는 탐지되지 않는다 (BPFDoor의 매직 패킷 방식)

어떻게 지속성을 얻는가

• kprobe/kretprobe로 특정 커널 함수 호출을 후킹해서 파일·프로세스를 숨기거나 백도어 명령을 실행
• XDP(eXpress Data Path) 훅으로 네트워크 인터페이스에 도달하는 패킷을 커널 초입에서 가로채 매직 바이트를 검사하고, 조건이 맞으면 쉘을 실행

최소 예시 (정상적인 관찰·트레이싱 용도)

# execve 호출을 커널 레벨에서 실시간 관찰
bpftrace -e 'tracepoint:syscalls:sys_enter_execve { printf("%s %s\n", comm, str(args->filename)); }'

실제 공격에 쓰이는 eBPF 프로그램은 이 관찰 능력을 반대로 이용해서, 특정 조건에서 자기 자신의 흔적(프로세스, 소켓, 파일)을 결과에서 제외시키는 방식으로 은폐한다.

탐지와 방어

• 커널은 로드된 eBPF 프로그램을 자체적으로 추적한다 — bpftool prog list로 현재 로드된 모든 eBPF 프로그램을 점검할 수 있다
• 서명되지 않은 eBPF 프로그램 로드를 제한하는 커널 설정(kernel.unprivileged_bpf_disabled)
• BPFDoor 계열 탐지는 RAW 소켓을 여는 프로세스, BPF 필터의 매직 시퀀스, 뮤텍스/락 파일 흔적을 함께 확인해야 한다 (자세한 점검 항목은 BPFDoor 스캐너 프로젝트 글 참고)