267. 프로세스·지속성 — 리소스 이상 프로세스(암호화폐 채굴 등) 탐지

시스템 보안 · 취약점 › F. 비정상 프로세스 · 지속성 징후 · 17/50편 (전체 267/450)
학습 단계: 비정상 프로세스 징후
실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」이며, IP·계정·호스트명은 가상의 값입니다.

선행 학습

• 266. 프로세스·지속성 — 비정상 네트워크 연결 프로세스 탐지
• 256. 실행 경로·명령줄·해시 기반 분석 축

1. 개념

일부 악성코드는 은밀함보다 자원 남용이 목적입니다. 암호화폐 채굴(cryptojacking)은 CPU/GPU를, DDoS 봇은 네트워크를 대량 소비합니다. 지속적 고자원 프로세스는 자원 패턴으로 탐지됩니다.

리소스 이상 프로세스
 채굴(cryptojacking): CPU/GPU 100% 지속, 마이닝 풀 연결
   xmrig·minerd 등, 위장 이름 흔함
 DDoS 봇: 대량 아웃바운드 연결·패킷
 자원 고갈 공격: 메모리·디스크 대량 소비

특징: 지속적 고자원 + 외부 연결(풀·C2) + 위장

채굴은 CPU 100%를 지속하면서 마이닝 풀에 연결합니다. 고자원+특정 외부 연결+위장 이름이 핵심 지표입니다.

2. 왜 중요한가

• 채굴·DDoS 봇은 자원 남용이 목적이라 지속적 고자원이 명확한 지표입니다.
• 채굴은 마이닝 풀(특정 도메인·포트) 연결로 네트워크에서도 식별됩니다.
• 공격자는 이름을 위장(F10)하므로 자원+연결+계보를 결합해 판정합니다.

3. 핵심 명령어 / 설정

리소스 이상	신호	위험
CPU/GPU 100% 지속	채굴	높음
마이닝 풀 연결	cryptojacking	높음
대량 아웃바운드	DDoS 봇	높음
메모리·디스크 고갈	자원 공격	중간
일시적 고부하	정상 배치	정상

4. 실습 (실습 예시)

# 리소스 이상 프로세스 탐지 (분석 방법)
# 고CPU 프로세스(지속 확인)
ps -eo pid,user,%cpu,%mem,comm --sort=-%cpu | head
# 마이닝 풀·채굴 연결(비표준 포트·풀 도메인)
ss -tnp 2>/dev/null | grep -E ':3333|:4444|:5555|:7777|pool|xmr'
# 채굴 바이너리 흔적(위장 포함)
sudo ausearch -k proc_exec -i --start recent 2>/dev/null | grep -iE 'xmrig|minerd|cpuminer|stratum'

5. 정상 상태

$ (고CPU 프로세스) 정상 서비스·배치의 일시적 부하만
$ (마이닝 연결) (없음)

CPU 사용이 정상 서비스·일시적 배치 수준이고, 마이닝 풀 연결·채굴 바이너리가 없는 상태가 정상입니다.

6. 이상 상태

$ (고CPU 프로세스)
3300 www-data 99.8 2.1 [kworker/8]  (위장 채굴 프로세스)
$ (마이닝 연결)
[kworker/8] → pool.example:3333 (stratum 마이닝 풀)

• CPU 99.8% 지속 + [kworker] 위장 이름 → 위장 채굴 프로세스(F10)
• stratum 마이닝 풀(3333 포트) 연결 → cryptojacking 확정
• 고자원+풀 연결+위장 → 채굴 악성코드 → 정탐

7. 로그 분석 (분석 방법)

리소스 이상(채굴) 분석입니다(가상의 예시).

[채굴 프로세스]
comm="[kworker/8]" (위장) CPU 99.8% 지속
   ↓ 연결
pool.example:3333 (stratum 프로토콜, 마이닝 풀)
   ↓ 계보
cron → [kworker/8] (스케줄 지속성)
 = 위장 + 고CPU + 풀 연결 + 지속성 = cryptojacking

지표	해석
CPU 99.8% 지속	채굴 부하
[kworker] 위장	은닉(F10)
:3333 풀 연결	stratum
cron 계보	지속성

자원+연결+위장+계보가 모두 채굴을 가리킵니다.

8. SOC 관제 포인트

• 리소스 이상 프로세스(채굴·DDoS 봇)는 지속적 고자원이 핵심 지표입니다.
• 채굴은 마이닝 풀(stratum·특정 포트) 연결로 네트워크에서도 식별됩니다.
• 이름 위장이 흔하므로 자원+연결+계보를 결합해 판정합니다.

9. 탐지 규칙

<!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 -->
<group name="local,syssec_f,process,">
  <!-- 채굴 바이너리·마이닝 풀 연결 -->
  <rule id="105160" level="12">
    <if_sid>105010,105150</if_sid>
    <field name="audit.proctitle" type="pcre2">(xmrig|minerd|cpuminer|stratum\+tcp|--donate-level|pool\.)</field>
    <description>암호화폐 채굴(cryptojacking) 프로세스·풀 연결</description>
    <mitre><id>T1496</id></mitre>
  </rule>
</group>

지속적 고CPU는 모니터링(메트릭)으로, 풀 연결은 네트워크 로그로 보완합니다. 위장 이름은 F10 탐지와 결합합니다.

10. 대응 방법

1. 초기 확인 — 고자원 프로세스·자원 사용 지속성·위장 이름을 확인합니다.
2. 범위 확인 — 마이닝 풀 연결·stratum 프로토콜·계보(지속성)를 확인합니다.
3. 증거 확보 — 리소스 이상 프로세스·연결·계보 정보를 보존합니다.
4. 차단/조치 — 채굴·봇 정탐이면 프로세스 종료·풀 차단·지속성 제거를 진행합니다.
5. 재발 방지 — 자원+연결+위장 결합 리소스 이상 탐지를 운영합니다.

11. 핵심 정리

리소스 이상	신호
CPU/GPU 100% 지속	채굴
마이닝 풀 연결	cryptojacking
대량 아웃바운드	DDoS 봇
일시적 고부하	정상 배치
면접 포인트	"채굴은 고자원+풀 연결+위장 — 자원만 아니라 연결·계보 결합 판정"

12. 다음 편 예고

다음 편 268. 프로세스·지속성 — 비정상 프로세스 징후 종합 분석 에서는 비정상 프로세스 2단계를 마무리하는 비정상 프로세스 징후 종합 분석을 다룹니다.

---

이전 편: 266. 프로세스·지속성 — 비정상 네트워크 연결 프로세스 탐지
📚 시리즈 전체 보기: 시스템 보안 · 취약점