$\require{mediawiki-texvc}$

연합인증

연합인증 가입 기관의 연구자들은 소속기관의 인증정보(ID와 암호)를 이용해 다른 대학, 연구기관, 서비스 공급자의 다양한 온라인 자원과 연구 데이터를 이용할 수 있습니다.

이는 여행자가 자국에서 발행 받은 여권으로 세계 각국을 자유롭게 여행할 수 있는 것과 같습니다.

연합인증으로 이용이 가능한 서비스는 NTIS, DataON, Edison, Kafe, Webinar 등이 있습니다.

한번의 인증절차만으로 연합인증 가입 서비스에 추가 로그인 없이 이용이 가능합니다.

다만, 연합인증을 위해서는 최초 1회만 인증 절차가 필요합니다. (회원이 아닐 경우 회원 가입이 필요합니다.)

연합인증 절차는 다음과 같습니다.

최초이용시에는
ScienceON에 로그인 → 연합인증 서비스 접속 → 로그인 (본인 확인 또는 회원가입) → 서비스 이용

그 이후에는
ScienceON 로그인 → 연합인증 서비스 접속 → 서비스 이용

연합인증을 활용하시면 KISTI가 제공하는 다양한 서비스를 편리하게 이용하실 수 있습니다.

[국내논문] 코드은닉을 이용한 역공학 방지 악성코드 분석방법 연구
A New Analysis Method for Packed Malicious Codes 원문보기

한국항행학회논문지 = Journal of advanced navigation technology, v.16 no.3 = no.54, 2012년, pp.488 - 494  

이경률 (순천향대학교 정보보호학과) ,  임강빈 (순천향대학교 정보보호학과)

초록
AI-Helper 아이콘AI-Helper

본 논문은 악성코드가 사용하는 자기방어기법을 방식에 따라 분류하고, 악의적인 코드를 보호하는 방법의 일종인 패킹에 대해 소개하였으며, 패킹을 이용하는 악성코드를 보다 빠르게 분석할 수 있는 방안을 제시하였다. 패킹기법은 악의적인 코드를 은닉하고 실행 시에 복원하는 기술로서 패킹된 악성코드를 분석하기 위해서는 복원 후의 진입점을 찾는 것이 필요하다. 기존에는 진입점 수집을 위하여 악성코드의 패킹 관련 코드를 자세히 분석하여야만 했다. 그러나 본 논문에서는 이를 대신하여 악성코드를 생성한 표준 라이브러리 코드 일부를 탐색하는 방법을 제시하였다. 제시한 방안을 실제로 구현하여 보다 신속히 분석할 수 있음을 증명하였다.

Abstract ▼ AI-Helper 아이콘AI-Helper

This paper classifies the self-defense techniques used by the malicious software based on their approaches, introduces the packing technique as one of the code protection methods and proposes a way to quickly analyze the packed malicious codes. Packing technique hides a malicious code and restore it...

Keyword

#self-defence techniques   #packing   #entry point   #startup code  

AI 본문요약
AI-Helper 아이콘 AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

  • 이는 상기의 역공학 방지기법을 우회해야 함을 의미하며 악성코드 분석에서 시간 소모가 매우 큰 작업 중의 하나이다. 따라서 본 논문에서는 악의적인 코드를 보호하는 패킹된 악성코드를 분석하기 위한 방법을 제시하였다.
  • 코드를 분석하기 위해서는 프로그램의 시작 위치를 알아야 하지만 패킹된 프로그램은 이미 패커에 의해 NT 헤더에 포함된 EP가 언패킹 루틴으로 변경되어 있기 때문에 변경 전의 EP를 찾기 위해서 언패킹 루틴을 정확히 분석해 내는 데에 많은 시간이 소모된다. 따라서 본 논문에서는 패킹된 악성코드를 분석하는 경우 언패킹 루틴을 분석하지 않고서도 효율적으로 변경 전 EP를 추출할수 있는 방안을 제안하고자 한다.
  • 상기 실험은 패킹되지 않은 프로그램을 이용하여 제안한 방법이 옳은지 증명하기 위한 것이다. 따라서 실제 실험에서는 패킹된 프로그램을 이용하여 결과를 도출해야 할 것이며, 컴파일러마다 Startup Code가다르기 때문에 컴파일러 별 결과를 도출해야 하며, Syntax를 다양하게 구성하여 EP 검출이 최적화된 Syntax를 찾는 실험도 필요하다.
  • 본 논문에서는 악성코드가 사용하는 자기방어기법 중 가장 널리 사용되며 일관적인 해결책이 없는 패킹 기술에 대해 소개하였다. 소개된 내용을 토대로 패킹 기술이 가지는 취약점에 대해 분석하였으며, 취약점을 이용하여 악성코드를 보다 빠르게 분석할 수있는 방안을 제시하였다.
본문요약 정보가 도움이 되었나요?

질의응답

핵심어 질문 논문에서 추출한 답변
패킹은 어떤 목적으로 이용되고 있나? 상기에서 분석했듯이 공격자가 악성코드를 보호하기 위한 방법으로 패킹을 이용하곤 하는데, 원래 패킹이란 실행압축을 의미하는 말로 실행파일에서 불필요한 부분을 제거하거나 코드와 데이터를 압축해서 새로운 이미지를 생성하는 것을 의미한다. 이는 과거 실행파일의 크기를 줄여 전송속도 및 저장효율을 높이기 위한 용도로 사용되었지만 추가적으로 코드를 보호하기 위해 자기방어기법과 융합되면서 현재는 역공학을 이용한 코드 분석을 어렵게 만드는 목적으로 이용되고 있다. 따라서 공격자는 악성코드를 패킹함으로써 악의적인 목적을 가진 코드를 보호하여 분석가로부터 분석을 어렵게 하는 변형된 악성코드를 생산할 수 있다.
악성코드의 정의는? 하지만 그 기술의 역기능으로 공격자에 의한 피해가 드러나기 시작하였으며, 공격 유형은 과거 바이러스부터 웜, DoS [1], DDoS 등으로 이어져 더욱 다양하고 복잡하게 변 화하고 있다 [2]. 공격자에 의해 피해자 컴퓨터에 설치되어 피해를 발생시키는 프로그램을 일반적으로 악성코드라 부른다. 최근 7.
패킹된 프로그램을 분석하기 위한 근본적인 해결책은? 패커에 의해 패킹된 프로그램을 분석하기 위해서는 원본 EP 필드가 가리키는 주소를 추출하는 것이 가장 근본적인 해결책이라 할 수 있으며, 이미 많은 연구 결과로 수동적, 자동적으로 추출하는 방법이 알려져 있다. 하지만 패커마다 각기 다른 방법으로 접근해야 하며, 일관적인 방법이 아니므로 패커가 약간의 변형을 한다면 새로운 추출 방안을 연구해야 하기 때문에 매우 소모적이라 할 수 있다.
질의응답 정보가 도움이 되었나요?

참고문헌 (11)

  1. 천재홍, 박대우. "VoIP의 DoS 공격 차단을 위한 IPS의 동적 업데이트엔진" 한국컴퓨터정보학회논문지, 제10권 제5호, pp.317-226, 2006년 12월 

  2. 안철수연구소, "악성코드 동향 연간 보고서", ASEC, 2009년 

  3. 배성훈, "'7.7 DDoS 사고' 대응의 문제점과 재발방지 방안", 국회입법조사처, 현안보고서 제48호, 2009 

  4. Mark Vincent Yanson, "The Art of Unpacking", IBM Internet Security Systems 

  5. Christian Collberg, Clark Thomborson and Duglas Low, "A Taxonomy of Obfuscating Transformations", Department of Computer Science, The University of Auckland, Thechnical Report #148, 1997 

  6. J. Bergeron, M. Debbabi, J. Desharnais, M. M. Erhioui, Y. Lavoie and N. Tawbi, "Static Detection of Malicious Code in Executable Programs", International Journal of Req. Eng., 2001 

  7. Mihai Christodorescu, Somesh Jha, Sanjit A. Seshia, Dawn Song, Randal E. Bryant, "Semantic-Aware Malware Detection", In the Proceedings of the IEEE Symposium on Security and Privacy, pp.32-46, May 2005 

  8. Gogu Balakrishnan, Thomas Reps., "Analyzing Memory Accesses in x86 Executables", In Proceedings of Compiler Construction(LNCS 2985), pp.5-23, April 2004 

  9. Arun, Lakhotia and Eric Uday Kumar, "Abstracting Stack to Detect Obfuscated Calls in Binaries", IEEE International Workshop on Source Code Analysis and Manipulation, pp.17-26, 2004 

  10. Virus Bullentin Conference, 2007 

  11. "Microsoft Portable Executable and Common Object File Format Specification", Microsoft, 2008 

저자의 다른 논문 :

관련 콘텐츠

오픈액세스(OA) 유형

FREE

Free Access. 출판사/학술단체 등이 허락한 무료 공개 사이트를 통해 자유로운 이용이 가능한 논문

저작권 관리 안내
섹션별 컨텐츠 바로가기

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

AI-Helper 아이콘
AI-Helper
안녕하세요, AI-Helper입니다. 좌측 "선택된 텍스트"에서 텍스트를 선택하여 요약, 번역, 용어설명을 실행하세요.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.

선택된 텍스트

맨위로