2025년 제50회 사이버헬퍼 보안 리포트 AI-Based Memory Residency Evasion (AMRE)

 

 

서론
앞으로의 사이버 공격은 파일도, 프로세스도, 네트워크 패턴도 남기지 않는다.
2025년 등장한 AMRE(AI-Based Memory Residency Evasion)는
악성코드가 독립된 메모리 객체로 존재하지 않고,
정상 프로세스의 메모리 구조 속에 완전히 녹아들어
“존재 자체를 식별할 수 없게 만드는” 공격 기법이다.

기존 메모리 기반 공격(Process Injection, Reflective Loading, Shellcode)은
어떤 형태로든 메모리 구조의 불일치가 발생한다.
하지만 AMRE는 AI가 대상 프로세스의 메모리 구조·패턴·라이프사이클을 학습하고
악성 로직을 정상 메모리 흐름 안에서 자연스럽게 ‘공생(reside)’시키는 것이 핵심이다.

이로 인해
EDR/XDR, Memory Scanner, Heuristic Detection, Sandbox 모두 탐지가 사실상 불가능해진다.

1. 왜 AMRE가 지금까지와 다른가

1. 악성코드가 “독립 개체”가 아님
   과거에는 악성 코드가

• DLL

• Thread

• Section

• Shellcode 영역
  등 독립된 메모리 구조를 가졌다.
  그래서 보안 솔루션이 탐지할 수 있었다.

AMRE는 악성 로직을
정상 프로그램의 메모리 블록 외형과 동일하게 맞춘다.

1. 메모리 패턴을 실시간 학습
   AI는 대상 프로세스의 메모리 변화를 실시간 분석한다.

예:

• Heap Fragmentation 패턴

• Stack Frame 크기 변화

• GC(Garbage Collection) 주기

• 메모리 접근 순서

• 스레드 생성/소멸 패턴

이 패턴을 완전히 모방하면
악성 로직이 “정상 메모리 동작”처럼 보인다.

1. 메모리 내에서 자체 최적화
   악성 코드가 스스로

• 압축

• 암호화

• 분산

• 병합
  하여 탐지를 피하는 것이 아니라
  AI가 메모리 변화에 맞춰
  “최적 스텔스 형태”로 실시간 변환한다.

1. AMRE 공격 구조 (6단계)

Step 1. Memory Topology Analysis
AI는 대상 프로세스의 메모리 지도를 완성한다.

• 코드 섹션

• 데이터 섹션

• BSS

• Heap Layer

• Stack Layer

• JIT Code 영역

• Loaded DLL Table

이 구조를 기반으로 어떤 위치가
“가장 정상적으로 보이는가”를 평가한다.

Step 2. Memory Behavior Profiling
프로세스 메모리 사용 패턴을 분석한다.

• 할당/해제 주기

• 스레드 수 변화

• 이벤트 루프 패턴

• 디스크 I/O 연계

• Garbage Collection 타이밍

목표: 악성 로직이 동작해도 노이즈가 증가하지 않게 만드는 것.

Step 3. Shadow Memory Synchronization
악성 로직은 정상 메모리 블록과 동기화(Shadowing) 한다.

예:
정상 함수가 실행될 때
악성 함수도 직후·직전에 동일 패턴으로 메모리를 쓰며
차이가 거의 없도록 만든다.

Step 4. Memory-Internal Dispatch Injection
추가 스레드나 Handle을 만들지 않고
정상 함수 호출 흐름 안에
마치 자연스러운 콜백인 것처럼 악성 로직을 삽입한다.

예:

• 메시지 루프

• 파일 핸들러

• UI Callback

• 네트워크 Completion Routine

이 방식은 Hooking보다 훨씬 탐지 어렵다.

Step 5. Noise-Adaptive Execution
AI는 탐지 회피를 위해
실행 타이밍을 메모리 사용량 그래프에 맞춘다.

예:
CPU 사용량 증가 구간에서만 실행 → 노이즈 상쇄
GC 직후엔 실행하지 않음
Stack Frame 변동이 큰 시간대만 실행

이 때문에 성능 프로파일링 도구에서도 티가 나지 않는다.

Step 6. Memory Residue Suppression
프로세스 종료 시
AI는 잔여 흔적을 정리한다.

• Heap Fragment 회복

• Stack Frame 원래대로 정렬

• JIT 캐시 초기화

• 메모리 보호 플래그 복원

이로 인해 포렌식에서도 흔적이 남지 않는다.

1. 실제 예상 가능한 피해 시나리오

사례 A — 브라우저 프로세스 내 메모리 기생
Chrome 메모리 구조를 그대로 모방하여
악성 로직이 6개월간 존재.
개인정보·쿠키·세션 모두 조용히 탈취.

사례 B — ERP 클라이언트 내부 침투
ERP 프로세스의 화면 렌더링 루프에 숨어서
정상 조회 요청에 소량의 데이터 유출을 섞어 보냄.

사례 C — 개발 IDE 메모리 침투
VSCode 프로세스에 잠복해
Git 작업 시점마다 커밋 메타데이터 수집.

사례 D — 보안 솔루션 자체에 기생
EDR Agent 프로세스에 숨어
EDR이 자신의 존재를 감지하지 못하도록 메모리 동작 패턴을 복제.

1. 기존 보안 기술이 실패하는 이유

1. 독립된 실행 객체가 없으므로 서명 탐지가 불가
   바이너리가 없고
   Shellcode 영역도 없다.

2. 메모리 변조가 “정상 패턴과 동일”
   AI가 정상 패턴과 차이를 없애버리기 때문에
   Heuristic Detection 무력화.

3. 스레드·Handle 증가 없음
   탐지 포인트 제거.

4. 메모리 검사도 “정상 메모리와 구분 불가”
   악성·정상 메모리가 동일 외형을 가짐.

5. 프로세스 종료 시 흔적 제거
   포렌식 데이터 재구성 실패.

1. 대응 전략 (전문가용)

1. Memory Entropy Gradient Analysis
   메모리 블록 내부의 “엔트로피 기울기” 변화를 분석.
   AI가 생성한 Shadow Block은
   엔트로피 분포가 비정상적으로 평탄해지는 특징이 있음.

2. Micro-Level Memory Differential Snapshotting
   정상 메모리와 실시간 스냅샷을 비교하여
   Block-Level Differential을 탐지.

3. Behavior-Linked Memory Correlation
   행동(Behavior)과 메모리 변화의
   “상관관계를” 분석하는 탐지 방식.

4. Memory Execution Deviation Monitoring
   정상 코드 경로를 기반으로
   “실행 분기 편차”를 수학적 모델로 식별.

5. Hardware-Assisted Memory Attestation
   TPM/SGX 기반 프로세스 메모리 검증 구조 도입.

결론
AMRE는 메모리 공격이지만
“메모리에 존재하지 않는 것처럼 행동하는 공격”이다.

AI는 이제 정상 메모리 사용 패턴을
그대로 복제하고 변조하며
자기 자신을 정상 프로세스의 일부처럼 위장한다.

향후 메모리 영역은
악성코드 탐지의 최전선이 아니라
오히려 가장 탐지하기 어려운 은폐 공간이 될 전망이다.

사이버헬퍼는
메모리 엔트로피 기반 탐지 모델과
행동-메모리 상관 구조 분석 기술을 연구 중이며
향후 AMRE 방어 프레임워크 개발을 통해
기업 시스템의 메모리 무결성을 고도화할 예정이다.