[논문]안드로이드 모바일 정상 및 악성 앱 시스템 콜 이벤트 패턴 분석을 통한 유사도 추출 기법

함유정; 이형우

doi:10.7472/jksii.2013.14.6.125

문제 정의

구체적으로 본 논문에서는 안드로이드 플랫폼 기반 모바일 단말을 대상으로 정상 앱과 악성 앱으로부터 이벤트 패턴을 분석하기 위해 안드로이드 오픈 마켓에서 사용자 이용도가 가장 높은 게임 앱을 대상으로 정상 이벤트 패턴을 분석하였다. 뿐만 아니라 안드로이드 공식 마켓인 구글 플레이 스토어에서 게임 카테고리에 포함된 게임 앱인 경우 정상 앱으로 위장한 악성 앱의 형태가 가장 많이 나타나기 때문에 우선 게임 카테고리 내 상위 80개의 정상 게임 앱을 대상으로 정상 시스템 콜 이벤트 특성을 분석하였다.
따라서 본 논문에서는 안드로이드 기반 모바일 단말에서 사용되는 정상 및 악성 앱으로부터 발생하는 시스템 콜 이벤트를 수집하여 각각의 특성을 분석하는 과정을 수행하였다. 이를 통해 정상 앱과 악성 앱 실행시 발생하는 이벤트 특성을 파악할 수 있으며 이를 통해 정상 및 악성 앱의 유사도를 측정할 수 있다.
본 논문에서는 안드로이드 기반 상용 모바일 단말 환경에서 구글 플레이 스토어 내 게임 카테고리에서 인기 있는 상위 80개의 정상 게임 어플리케이션과 Android MalGenome Project에서 배포받은 1260개의 악성 샘플들을 대상으로 각각 분류하여 정상 및 악성 앱의 특징 및 이벤트를 분석하고 이벤트를 기반으로 해서 악성 앱을 효율적으로 판별하기 위한 기법을 제시하였다. 우선 최신 안드로이드 단말 위협 및 악성 앱의 공격 형태를 분석 하였다.
Update Attack 방식에 포함되는 악성은 AnserverBot, BaseBridge, DroidKungFu Update, Plankton 네 가지로 되어있으며 각 187개, 122개, 1개, 11개의 apk 파일이 포함되어있다. 본 연구에서는 각 악성에 포함된 apk 파일 중 2개를 대상으로 악성 어플리케이션의 이벤트를 분석하였다.
Drive-by Download 방식에 포함되는 악성은 GGTraker, JiFake, Spitmo, Zitmo 네 가지로 되어있으며 각 1개의 apk 파일이 포함되어있다. 본 연구에서는 각 악성에 포함된 apk 파일을 대상으로 악성 어플리케이션의 이벤트를 분석하였다.
또한 안드로이드 커널에서 시스템 콜 이벤트를 수집할 수 있는 Strace 모듈을 이용하여 정상 및 악성 앱에서 각각 발생하는 시스템 콜 이벤트 특성과 이를 비교 분석하였다. 이를 토대로 본 논문에서는 안드로이드 기반 상용 모바일 단말 내 정상 앱과 악성 앱에서 발생한 이벤트에 대한 유사도 분석 알고리즘을 이용하여 악성 앱을 판별할 수 있는 알고리즘을 제시하였다.
결국 이러한 문제점을 해결하기 위해서는 안드로이드 기반 스마트워크 단말에서 실시간으로 구동되는 과정에서 실시간으로 발생하는 내부 시스템 콜 이벤트를 대상으로 정상과 악성 여부를 판별하는 과정이 필요하다는 것을 알 수 있다. 이에 본 논문에서는 실제 모바일 단말을 대상으로 앱 실행시 발생하는 시스템 콜 이벤트 패턴을 수집 및 분석하여 임의의 앱에 대한 악성 여부를 판별하는 방법을 제시하고자 한다.
하지만 상용 모바일 단말을 대상으로보다 정확한 방법으로 정상 앱과 악성 앱을 판별할 수 있는 메커니즘이 개발되어야 한다. 이에 본 논문에서는 우선 안드로이드 기반 모바일 단말의 최신 보안 취약점을 통해 공격 형태를 분석하고 안드로이드 기반 이벤트 분석 도구인 Strace를 통해서 정상 앱과 악성 앱의 이벤트를 추출한 후에 이를 분석하여 정상 앱과 악성 앱의 특징 및 이벤트 패턴의 연관성을 분석하는 방법을 제시하고자 한다. 제시한 방법을 토대로 본 연구에서는 안드로이드 기반 정상 앱과 악성 앱에 대한 판별 기법을 제시하고자 한다.
이에 본 논문에서는 우선 안드로이드 기반 모바일 단말의 최신 보안 취약점을 통해 공격 형태를 분석하고 안드로이드 기반 이벤트 분석 도구인 Strace를 통해서 정상 앱과 악성 앱의 이벤트를 추출한 후에 이를 분석하여 정상 앱과 악성 앱의 특징 및 이벤트 패턴의 연관성을 분석하는 방법을 제시하고자 한다. 제시한 방법을 토대로 본 연구에서는 안드로이드 기반 정상 앱과 악성 앱에 대한 판별 기법을 제시하고자 한다.
이 Standalone은 크게 네 가지 그룹으로 분류할 수 있다. 첫 번째는 어플리케이션 스스로 스파이웨어 앱으로 간주되는 그룹으로, 피해자의 스마트폰에 설치되는 것을 목적으로 한다. 두 번째 그룹은 합법적인 정상 앱인 것처럼 보이지만 사용자 몰래 SMS를 보내거나 사용자의 신원을 보증하는 정보 등을 가로챔으로써 악성 동작을 수행하는 가짜 어플리케이션을 포함하고 있다.

제안 방법

본 논문의 구성은 다음과 같다. 2장에서 기존에 존재하는 안드로이드 관련 최신 보안 취약점에 대해 분석하였다. 3장 및 4장에서는 정상 앱과 악성 앱에 대한 이벤트 패턴을 각각 분석하였다.
Android MalGenome Project는 1260개의 악성 앱 샘플 들을 특징에 따라서 크게 Malware Installation, Activation, Malicious Payloads, Permission Uses로 분류하고 있으며[9] 본 논문에서는 Malware Installation에 관한 내용을 분석하였다. Malware Installation는 Repacking, Update-Attack, Drive-by Download, Standalone으로 분류된다.
안드로이드 공식 마켓인 구글 플레이 스토어에서 게임 카테고리에 포함된 앱인 경우 정상 앱으로 위장한 악성 앱의 형태가 가장 많이 나타나기 때문에 우선 게임 카테고리 내 상위 80개의 정상 게임 앱을 대상으로 정상 시스템 콜 이벤트 특성을 분석하였다. 구체적으로 게임 카테고리 내 세부 7개 일부 항목을 분석하였고 이를 대상으로 이벤트 분석, 퍼미션 중심 분류 등을 수행하였고 이를 통해 정상 어플리케이션의 시스템 콜 이벤트 특징에 대해서 분석할 수 있었다.
우선 정상 게임 어플리케이션을 카테고리 중심으로 분석하였다. 그 다음 정상 게임 어플리케이션 내 분류된 7가지 카테고리를 대상으로 정상 게임 어플리케이션 실행 시 발생하는 시스템 콜 이벤트와 특징을 분석하였다.
뿐만 아니라 안드로이드 공식 마켓인 구글 플레이 스토어에서 게임 카테고리에 포함된 게임 앱인 경우 정상 앱으로 위장한 악성 앱의 형태가 가장 많이 나타나기 때문에 우선 게임 카테고리 내 상위 80개의 정상 게임 앱을 대상으로 정상 시스템 콜 이벤트 특성을 분석하였다. 또한 Android MalGenome Project에서 배포하고 있는 1,260개의 악성 샘플들 중에서 게임 앱 형태에 해당하는 악성 앱과 유사 악성 앱 등을 대상으로 악성 이벤트 패턴을 분석하였다.
우선 최신 안드로이드 단말 위협 및 악성 앱의 공격 형태를 분석 하였다. 또한 안드로이드 커널에서 시스템 콜 이벤트를 수집할 수 있는 Strace 모듈을 이용하여 정상 및 악성 앱에서 각각 발생하는 시스템 콜 이벤트 특성과 이를 비교 분석하였다. 이를 토대로 본 논문에서는 안드로이드 기반 상용 모바일 단말 내 정상 앱과 악성 앱에서 발생한 이벤트에 대한 유사도 분석 알고리즘을 이용하여 악성 앱을 판별할 수 있는 알고리즘을 제시하였다.
정상 이벤트 집합은 clock_gettime, epoll_wait, getcwd, poll 등 32개로 앞서 살펴봤던 정상 앱에서만 나타나는 이벤트들과 정상과 악성 앱에서 모두 발생하는 이벤트 중 상대적으로 정상 앱에서 더 많이 나타나는 이벤트로 되어있다. 반면 악성 이벤트 집합은 bind, pwrite, rename, unlink 등 36개로 마찬가지로 앞서 살펴봤던 악성 앱에서만 존재하는 이벤트들과 정상과 악성 앱에서 모두 발생하는 이벤트 중 상대적으로 악성 앱에서 더 많이 나타나는 이벤트로 분류하였다.
본 논문에서는 32개의 정상 이벤트 집합과 36개의 악성 이벤트 집합을 대상으로 정상 앱과 악성 앱에서 분석했던 앱을 각 5개씩 임의로 선택하여 정상 이벤트 집합과 일치하는 정상 앱의 이벤트 및 악성 앱의 이벤트, 악성 이벤트 집합과 일치하는 정상 앱의 이벤트 및 악성 앱의 이벤트를 분류하였다. 이를 통해 #(정상 유사도) 및 #(악성 유사도)의 특성을 시스템 콜 이벤트 정보를 중심으로 도출할 수 있었고 #의 수식으로 정상 및 악성 앱의 최종 판별 결과를 제시한다.
본 장에서는 Android MalGenome Project에서 1260개의 악성 샘플을 배포받아 분석한 내용을 제시하였으며 Android MalGenome Project에서 작성한 관련 연구[9]를 토대로 악성 앱 분류 및 이벤트 분석과 악성 어플리케이션의 이벤트 특징에 대해서 제시한다.
본 절에서는 앞서 살펴본 Repacking, Update Attack, Drive-by Download, Standalone 네 가지의 작동 방식으로 분류한 것 중 모바일 백신에 상대적으로 검출되기 쉬운 Repacking이나 Standalone 대신에 상대적으로 탐지하기 어려운 Update-Attack과 Drive-by Download 방식을 대상으로 Strace를 통해 1260개의 악성 샘플들을 분석하였다.
안드로이드 공식 마켓인 구글 플레이 스토어 내에는 정상 앱으로 위장한 악성 앱들이 많이 분포하고 있다. 본 절에서는 이러한 악성 앱들에서 나타나는 악성 유사 퍼미션들을 분류하고 각 해당되는 퍼미션들을 포함하고 있는 정상 게임 어플리케이션 실행 시 발생하는 이벤트와 특징을 분석하였다.
구체적으로 본 논문에서는 안드로이드 플랫폼 기반 모바일 단말을 대상으로 정상 앱과 악성 앱으로부터 이벤트 패턴을 분석하기 위해 안드로이드 오픈 마켓에서 사용자 이용도가 가장 높은 게임 앱을 대상으로 정상 이벤트 패턴을 분석하였다. 뿐만 아니라 안드로이드 공식 마켓인 구글 플레이 스토어에서 게임 카테고리에 포함된 게임 앱인 경우 정상 앱으로 위장한 악성 앱의 형태가 가장 많이 나타나기 때문에 우선 게임 카테고리 내 상위 80개의 정상 게임 앱을 대상으로 정상 시스템 콜 이벤트 특성을 분석하였다. 또한 Android MalGenome Project에서 배포하고 있는 1,260개의 악성 샘플들 중에서 게임 앱 형태에 해당하는 악성 앱과 유사 악성 앱 등을 대상으로 악성 이벤트 패턴을 분석하였다.
안드로이드 공식 마켓인 구글 플레이 스토어에서 게임 카테고리에 포함된 앱인 경우 정상 앱으로 위장한 악성 앱의 형태가 가장 많이 나타나기 때문에 우선 게임 카테고리 내 상위 80개의 정상 게임 앱을 대상으로 정상 시스템 콜 이벤트 특성을 분석하였다. 구체적으로 게임 카테고리 내 세부 7개 일부 항목을 분석하였고 이를 대상으로 이벤트 분석, 퍼미션 중심 분류 등을 수행하였고 이를 통해 정상 어플리케이션의 시스템 콜 이벤트 특징에 대해서 분석할 수 있었다.
앞서 4가지의 퍼미션 카테고리로 정상 게임 어플리케이션을 분류한 결과를 바탕으로 각 카테고리에 포함되어 있는 정상 게임 어플리케이션들의 이벤트를 분석하였다.
앞서 분류한 7가지의 카테고리의 정상 게임 어플리케이션을 바탕으로 각 카테고리에 있는 정상 게임 어플리케이션들의 이벤트를 기존 [8] 기법과 달리 Strace를 통해 분석하였다.
앞에서 제시한 바와 같이 안드로이드 플렛폼에서 구동되는 정상 및 악성 앱에 대한 판별을 위해서 본 논문에 서는 단말내에서 실시간으로 앱을 구동하여 실행되는 시스템 콜 이벤트를 수집 및 분석하는 방법을 사용하였다. 이제 임의의 앱을 대상으로 정상 앱인지 아니면 악성 앱인지를 판별하는 과정을 구조화하면 다음 그림 16과 같다.
우선 정상 게임 어플리케이션을 카테고리 중심으로 분석하였다. 그 다음 정상 게임 어플리케이션 내 분류된 7가지 카테고리를 대상으로 정상 게임 어플리케이션 실행 시 발생하는 시스템 콜 이벤트와 특징을 분석하였다.
이와 같이 안드로이드 기반 모바일 단말에서 정상 앱과 악성 앱을 대상으로 리눅스 기반 시스템 콜 추출 도구인 Strace를 이용해 정상 앱과 악성 앱의 이벤트를 추출하는 실험을 수행하였다. 우선 정상 앱 및 악성 앱이 각각 실행되었을 때 발생하는 이벤트를 수집하여 각각의 이벤트 집합에 대한 연관성 분석 과정을 수행하였다. 이러한 과정을 통해 정상 앱과 악성 앱 각각에 대한 이벤트 발생 특징 및 패턴과 분포도를 분석하여 이벤트 유사도를 측정할 수 있었으며 이를 통해 악성 앱 여부를 판별하는 과정을 수행하였다.
본 논문에서는 안드로이드 기반 상용 모바일 단말 환경에서 구글 플레이 스토어 내 게임 카테고리에서 인기 있는 상위 80개의 정상 게임 어플리케이션과 Android MalGenome Project에서 배포받은 1260개의 악성 샘플들을 대상으로 각각 분류하여 정상 및 악성 앱의 특징 및 이벤트를 분석하고 이벤트를 기반으로 해서 악성 앱을 효율적으로 판별하기 위한 기법을 제시하였다. 우선 최신 안드로이드 단말 위협 및 악성 앱의 공격 형태를 분석 하였다. 또한 안드로이드 커널에서 시스템 콜 이벤트를 수집할 수 있는 Strace 모듈을 이용하여 정상 및 악성 앱에서 각각 발생하는 시스템 콜 이벤트 특성과 이를 비교 분석하였다.
우선 정상 앱 및 악성 앱이 각각 실행되었을 때 발생하는 이벤트를 수집하여 각각의 이벤트 집합에 대한 연관성 분석 과정을 수행하였다. 이러한 과정을 통해 정상 앱과 악성 앱 각각에 대한 이벤트 발생 특징 및 패턴과 분포도를 분석하여 이벤트 유사도를 측정할 수 있었으며 이를 통해 악성 앱 여부를 판별하는 과정을 수행하였다.
그리고 모두의 마블 for Kakao 등 약 30개의 어플리케이션과 같이 캐주얼 게임 카테고리에 포함되는 어플리케이션 및 애니팡 for Kakao 등 약 11개의 어플리케이션이 포함된 두뇌게임 및 퍼즐 카테고리를 대상으로 이벤트 특성을 분석하였다. 이밖에도 자동차 경주, 스포츠 게임, 엔터테인먼트, 카드 게임 카테고리에 포함되는 앱으로 부터 정상 이벤트 패턴 및 특성을 분석하였다.
이와 같이 안드로이드 기반 모바일 단말에서 정상 앱과 악성 앱을 대상으로 리눅스 기반 시스템 콜 추출 도구인 Strace를 이용해 정상 앱과 악성 앱의 이벤트를 추출하는 실험을 수행하였다. 우선 정상 앱 및 악성 앱이 각각 실행되었을 때 발생하는 이벤트를 수집하여 각각의 이벤트 집합에 대한 연관성 분석 과정을 수행하였다.
이제 전처리 과정으로 두 집합에 속한 앱을 단말에서 실행하여 각각 정상/악성 이벤트 집합 DB를 구축한다. 이제 마지막 유사도 분석 및 추출 단계로 임의의 앱 실행시 발생하는 이벤트 집합과의 유사도 측정 과정을 수행하여 해당 앱에 대한 악성 여부를 판별하게 된다.
우선 안드로이드 마켓을 통해 다수의 정상 앱과 악성 앱 집합을 구축한다. 이제 전처리 과정으로 두 집합에 속한 앱을 단말에서 실행하여 각각 정상/악성 이벤트 집합 DB를 구축한다. 이제 마지막 유사도 분석 및 추출 단계로 임의의 앱 실행시 발생하는 이벤트 집합과의 유사도 측정 과정을 수행하여 해당 앱에 대한 악성 여부를 판별하게 된다.
임의의 앱을 설치한 후 해당 앱에 포함된 퍼미션을 획득한 뒤 Strace를 통해 이벤트를 추출해서 정상 이벤트 집합과 악성 이벤트 집합과의 유사도를 각각 도출한다. 이때 정상 이벤트 집합과 악성 이벤트 집합은 매 번 변경될 수 있다.
3장과 4장에서 각 정상 어플리케이션과 악성 어플리케이션의 이벤트 분석한 결과를 토대로 본 장에서는 정상 및 악성 어플리케이션의 이벤트를 비교분석한 결과를 제시한다. 정상 어플리케이션과 악성 어플리케이션에서 각각 나타나는 이벤트를 자세히 구분하기 위해 수식을 통해서 분석하였다.
지금까지 분석한 정상 및 악성 유사도를 통해 악성 앱을 판별하는 유사도를 도출하기 위해 악성 이벤트 집합 중에서 악의적인 기능을 갖는 chmod, unlink, fchown32 등 14개의 이벤트에 k의 가중치를 부여해서 유사도 수식을 통해 임의의 정상 및 악성 앱에 대해서 악성 앱 판별을할 수 있도록 제시하였다. 그림 15에서는 악성 이벤트의 집합을 많이 포함하고 있는 악성 앱의 이벤트가 정상 앱의 이벤트보다 더 많기 때문에 k만큼의 가중치를 곱한 #는 상대적으로 #보다 훨씬 큰 값을 갖게 된다.

대상 데이터

Update Attack 방식에 포함되는 악성은 AnserverBot, BaseBridge, DroidKungFu Update, Plankton 네 가지로 되어있으며 각 187개, 122개, 1개, 11개의 apk 파일이 포함되어있다. 본 연구에서는 각 악성에 포함된 apk 파일 중 2개를 대상으로 악성 어플리케이션의 이벤트를 분석하였다.
우선 말달리자 for Kakao 등 약 25개의 어플리케이션과 같이 아케이드 카테고리에 포함되는 모바일 게임 어플리케이션을 대상으로 이벤트를 분석하였다. 그리고 모두의 마블 for Kakao 등 약 30개의 어플리케이션과 같이 캐주얼 게임 카테고리에 포함되는 어플리케이션 및 애니팡 for Kakao 등 약 11개의 어플리케이션이 포함된 두뇌게임 및 퍼즐 카테고리를 대상으로 이벤트 특성을 분석하였다. 이밖에도 자동차 경주, 스포츠 게임, 엔터테인먼트, 카드 게임 카테고리에 포함되는 앱으로 부터 정상 이벤트 패턴 및 특성을 분석하였다.
구글 플레이 스토어 내 게임 카테고리는 세부적으로 7가지로 분류되어 있는데 일반적으로 많이 사용되고 있는 상위 80개의 정상 게임 앱을 대상으로 분류하면 다음 표 3과 같다. 우선 말달리자 for Kakao 등 약 25개의 어플리케이션과 같이 아케이드 카테고리에 포함되는 모바일 게임 어플리케이션을 대상으로 이벤트를 분석하였다. 그리고 모두의 마블 for Kakao 등 약 30개의 어플리케이션과 같이 캐주얼 게임 카테고리에 포함되는 어플리케이션 및 애니팡 for Kakao 등 약 11개의 어플리케이션이 포함된 두뇌게임 및 퍼즐 카테고리를 대상으로 이벤트 특성을 분석하였다.

성능/효과

SYSTEM에 포함되는 정상 게임 어플리케이션에서는 clock_gettime, epoll_wait, futex, getpid, getuid32, ioctl, mprotect, read, SYS_292, syscall_983042 등 10개의 시스템 콜 이벤트에 카운트가 많이 분포되어있으며, 디렉토리를 읽는데 사용되는 시스템 콜 이벤트인 getdents64, 최근 작업 디렉토리를 가져오는 시스템 콜 이벤트인 getcwd 등 시스템과 관련된 시스템 콜 이벤트들이 상대적으로 발생한 것을 확인할 수 있었다.
결국 정상과 악성 앱을 대상으로 안드로이드 플랫폼을 대상으로 실시간으로 구동하였을 경우 추출되는 시스템 콜 이벤트는 정상과 악성을 구분 지을 수 있는 특성을 포함하고 있다는 것을 확인할 수 있었다.
지금까지 분석한 80개의 정상 게임 어플리케이션과 10개의 악성 어플리케이션의 이벤트에는 악성 어플리케이션에만 발생하는 이벤트와 악성 어플리케이션과 정상 어플리케이션 모두 발생하는 이벤트, 정상 어플리케이션 에만 발생하는 이벤트들이 존재했다. 그림 13과 같이 악성 어플리케이션에서만 발생한 시스템 콜 이벤트는 bind, brk, connect, fdatasync, mkdir, msgget, pwrite, recv, recvfrom, rename, rt_sigreturn, semget, semop, setsockopt, socket, statfs64, SYS_224, SYS_248 등 18개이며, 정상 어플리케이션에서만 발생한 시스템 콜 이벤트는 chdir, flock, getcwd, nanosleep, poll, prctl, rt_sigreturn, sigaction, SYS_281, SYS_283 등 11개라는 것을 알 수 있었다. 또한 정상 앱과 악성 앱에서 모두 발생한 시스템 콜 이벤트는 access, chmod, clock_gettime 등 40개인 것을 확인할 수 있다.
첫째, 원래 존재하는 어플리케이션에 사용자가 업데이트를 하는 방식이다. 두 번째, 안드로이드의 DexClassLoader 클래스를 사용해서 컴파일된 안드로이드 코드를 동적으로 로딩하는 것과 어플리케이션의 일부 설치되지 않은 코드의 실행을 허용하는 방식이다. 세 번째, Java의 Runtime 클래스를 사용함으로써 실행되어질 수 있는 네이티브 코드를 포함하는 실행 가능한 코드 또는 .
두뇌게임 및 퍼즐 카테고리 내 11개의 정상 게임 어플리케이션들을 대상으로 이벤트 분포를 분석하면 앞서 제시한 두 카테고리의 앱에서와 유사한 부분도 있지만 futex, ioctl, gettimeofday, SYS_290 등과 같은 4개의 이벤트가 상대적으로 많이 발생한 것을 알 수 있다. 특히 두뇌게임 및 퍼즐 카테고리 내 어플리케이션들에서는 아케이드나 캐주얼 게임 카테고리 내 어플리케이션들과는 달리 gettimeofday, SYS_290 같은 시스템 콜 이벤트가 발생한 것을 알 수 있었다.
또한 그림 12와 같이 서로 다른 악성 앱 다섯 가지에서 발생하는 시스템 콜 이벤트 패턴을 보면 전체적으로 매우 유사한 형태인 것을 확인할 수 있었다. 이와 함께 유사 기능을 포함하고 있는 서로 다른 악성 앱을 구동하였을 경우 발생하는 시스템 콜 이벤트 패턴 역시 유사도가 높게 나타나는 것을 확인할 수 있었다.
그림 13과 같이 악성 어플리케이션에서만 발생한 시스템 콜 이벤트는 bind, brk, connect, fdatasync, mkdir, msgget, pwrite, recv, recvfrom, rename, rt_sigreturn, semget, semop, setsockopt, socket, statfs64, SYS_224, SYS_248 등 18개이며, 정상 어플리케이션에서만 발생한 시스템 콜 이벤트는 chdir, flock, getcwd, nanosleep, poll, prctl, rt_sigreturn, sigaction, SYS_281, SYS_283 등 11개라는 것을 알 수 있었다. 또한 정상 앱과 악성 앱에서 모두 발생한 시스템 콜 이벤트는 access, chmod, clock_gettime 등 40개인 것을 확인할 수 있다.
뿐만 아니라 이러한 기법을 이용할 경우 임의의 모바일 앱에 대해 악성 여부를 판단하는 방법에 적용될 수 있다. 또한, 악성 앱 판별 유사도 식을 통해 사용자가 임의의 앱을 설치하였을 때 해당 앱이 악성인지 아닌지를 효율적으로 판별할 수 있는 기준을 제시하였다.
본 연구에서 제시한 기법은 정상 앱과 악성 앱에서 Strace를 통해 추출한 시스템 콜 이벤트를 바탕으로 시퀀스 분석을 통해 악성 앱에서는 공통적으로 존재하면서 빈도수가 높고 상대적으로 정상 앱에서는 빈도수가 낮은 시스템 함수를 분류해서 이벤트 기반의 악성 앱 판별 유사도를 나타내는 기법으로 이를 통해 정상 앱과 악성 앱 실행 시 발생하는 시스템 콜 이벤트의 특징과 일정한 패턴의 시스템 콜 함수 시퀀스가 존재하는 것을 확인할 수 있었다. 뿐만 아니라 이러한 기법을 이용할 경우 임의의 모바일 앱에 대해 악성 여부를 판단하는 방법에 적용될 수 있다.
자동차 경주. 스포츠 게임, 엔터테인먼트, 카드 게임 내 정상 게임 어플리케이션의 시스템 콜 이벤트들의 분포도 다른 카테고리 내 어플리케이션의 시스템 콜 이벤트 분포와 같이 주로 clock_gettime, epoll_wait, ioctl, getuid32, mprotect 등의 시스템 콜 이벤트가 주로 나타나는 것을 알 수 있었다.
아케이드 카테고리 내 25개의 정상 게임 어플리케이션들을 대상으로 이벤트 분포를 분석한 결과 clock_gettime, epoll_wait, futex, getpid, ioctl, mprotect, read, SYS_292 등과 같은 8개의 이벤트가 다른 이벤트에 비해 상대적으로 많이 발생한 것을 확인할 수 있었다.
앞서 Update Attack와 Drive-by Download에 포함된 악성 apk의 이벤트를 분석하면 다음과 같다. 악성 앱인 경우 정상 어플리케이션에서 주로 나타나는 clock_gettime, epoll_wait, futex, getpid, getuid32, ioctl, mprotect, read, SYS_292, write 등의 시스템 콜 이벤트가 발생하면서 동시에 정상 어플리케이션에서는 발생하지 않는 bind, brk, connect, fchown32, fdatasync, fsync, mkdir, msgget, recv, recvfrom, rmdir, select, semget, semop, setsockopt, statfs64, umask 등 17개의 시스템 콜 이벤트들이 나타나는 것을 확인할 수 있었다. 이를 통해 어플리케이션 내 위와 같이 17개의 시스템 콜 이벤트가 발생하면 해당 어플리케이션은 악성일 가능성이 있다고 추측할 수 있었다.
악성 앱인 경우 정상 어플리케이션에서 주로 나타나는 clock_gettime, epoll_wait, futex, getpid, getuid32, ioctl, mprotect, read, SYS_292, write 등의 시스템 콜 이벤트가 발생하면서 동시에 정상 어플리케이션에서는 발생하지 않는 bind, brk, connect, fchown32, fdatasync, fsync, mkdir, msgget, recv, recvfrom, rmdir, select, semget, semop, setsockopt, statfs64, umask 등 17개의 시스템 콜 이벤트들이 나타나는 것을 확인할 수 있었다. 이를 통해 어플리케이션 내 위와 같이 17개의 시스템 콜 이벤트가 발생하면 해당 어플리케이션은 악성일 가능성이 있다고 추측할 수 있었다.
또한 그림 12와 같이 서로 다른 악성 앱 다섯 가지에서 발생하는 시스템 콜 이벤트 패턴을 보면 전체적으로 매우 유사한 형태인 것을 확인할 수 있었다. 이와 함께 유사 기능을 포함하고 있는 서로 다른 악성 앱을 구동하였을 경우 발생하는 시스템 콜 이벤트 패턴 역시 유사도가 높게 나타나는 것을 확인할 수 있었다.
자동차 경주와 스포츠 게임 앱인 경우 유사한 형태의 이벤트가 발생하는 것을 확인할 수 있었으며 카드 게임과 엔터테이먼트 관련 앱 역시 유시한 패턴을 보이는 것을 확인할 수 있었다.
정상 게임 어플리케이션의 시스템 콜 이벤트 그래프는 다음과 같다. 정상게임 어플리케이션에는 clock_gettime, clone, close, epoll_wait, futex, getpid, gettid, gettimeofday, getuid32, ioctl, madvise, mmap2, munmap, read, SYS_292, syscall_983042, write, writev 등의 이벤트가 존재하는 것을 확인할 수 있었다. 이를 통해 정상 어플리케이션에는 주로 위와 같이 약 18개의 이벤트들이 주기적으로 나타난다고 추측할 수 있다.
캐주얼 게임 카테고리 내 30개의 정상 게임 어플리케이션들을 대상으로 이벤트 분포를 분석한 결과 아케이드 카테고리에서 발생한 이벤트와 유사하게 clock_gettime, epoll_wait, futex, getpid, ioctl, mprotect, read, SYS_292, write 등과 같은 9개의 이벤트가 상대적으로 많이 발생한 것을 확인할 수 있었다. 이는 캐주얼 게임 카테고리에 포함된 앱과 아케이드 형태의 게임 앱이 유사한 작동 구조를 포함하고 있기 때문에 유사한 형태의 이벤트가 많이 발생한 것으로 생각된다.

후속연구

향후 연구 과제로는 본 연구에서 제시한 기법을 보다 많은 형태의 모바일 앱에 적용하여 임의의 앱에 대한 악성 여부 판별의 정확성을 높이는 것이며 이를 통해 보다 안전한 상용 모바일 단말 사용자 환경을 제공하는 것이다.

핵심어	질문	논문에서 추출한 답변
	안드로이드 플랫폼을 대상으로 보안 위협이 증가하는 이유는 무엇인가?	안드로이드 플랫폼을 대상으로 한 보안 위협이 증가하고 있는 이유는 안드로이드 플랫폼이 개방성, 휴대성, 저성능 및 접근성의 기능을 제공하기 때문에 최근 공격 유형이 발생하고 있다. 결국 안드로이드 플랫폼의 보안 취약성으로 인해 다양한 형태의 공격이 발생하고 있으며 이를 해결하기 위해서는 사용자 중심의 능동적인 취약성 진단 과정과 개인정보에 대한 외부 유출 방지를 위한 보안성 강화 방안이 제시되어야 한다.
	Repacking은 어떤 방식인가?	먼저 Repacking은 앱을 재포장하는 방법으로써, 악성 개발자가 안드로이드 공식 마켓 등에 등록한 앱을 다운받아 apk 또는 .jar 파일을 재수정해서 악성코드를 삽입한 다음 재배포하는 방식으로 정상 앱처럼 위장해서 사용자들의 개인정보 및 금융정보를 유출하는 사례가 빈번히 발생하고 있다.
	악성코드를 검출하기 위한 모바일 백신 프로그램들에는 무엇이 있고 어떤 기능을 가지는가?	이와 같은 악성코드를 검출하기 위해 모바일 백신 프로그램들이 개발되고 있다. AhnLab에서 개발된 ‘V3 Mobile’ 백신과 이스트소프트 알약은 악성 앱에 대한 스미싱 공격을 탐지 및 차단하는 기능을 제공한다. 또한 Kaspersky Mobile Security는 악성 코드 및 바이러스 차단 기능, 실시간 검사 및 예약 검사 기능을 제공하며 통화 및 SMS 서비스에 대한 필터링 기능을 제공한다.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

안드로이드 모바일 정상 및 악성 앱 시스템 콜 이벤트 패턴 분석을 통한 유사도 추출 기법
Normal and Malicious Application Pattern Analysis using System Call Event on Android Mobile Devices for Similarity Extraction 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약
AI-Helper

문제 정의

제안 방법

대상 데이터

성능/효과

후속연구

질의응답

참고문헌 (10)

이 논문을 인용한 문헌

저자의 다른 논문 :

연구과제 타임라인

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

연관된 기능

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

안드로이드 모바일 정상 및 악성 앱 시스템 콜 이벤트 패턴 분석을 통한 유사도 추출 기법 Normal and Malicious Application Pattern Analysis using System Call Event on Android Mobile Devices for Similarity Extraction 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

대상 데이터

성능/효과

후속연구

질의응답

참고문헌 (10)

이 논문을 인용한 문헌

저자의 다른 논문 :

함유정 (3) 이형우 (78)

연구과제 타임라인

전체(0) 논문(0) 특허(0) 보고서(0)

전체(0) 논문(0) 특허(0) 보고서(0)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

연관된 기능

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

안드로이드 모바일 정상 및 악성 앱 시스템 콜 이벤트 패턴 분석을 통한 유사도 추출 기법
Normal and Malicious Application Pattern Analysis using System Call Event on Android Mobile Devices for Similarity Extraction 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper