[논문]Opcode와 Windows API를 사용한 멀웨어 탐지

안태현; 오상진; 권영만

doi:10.7236/jiibc.2017.17.6.11

Opcode와 Windows API를 사용한 멀웨어 탐지
Malware Detection Method using Opcode and windows API Calls 원문보기

The journal of the institute of internet, broadcasting and communication : JIIBC, v.17 no.6, 2017년, pp.11 - 17

안태현 (을지대학교 의료IT학과) , 오상진 (을지대학교 의료IT학과) , 권영만 (을지대학교 의료IT학과)

초록
AI-Helper

본 논문에서는 멀웨어 탐지 방법으로 Opcode (operation code)와 실행 파일에서 추출한 Windows API Call로 구성된 특징 벡터를 사용하는 방법을 제안한다. 먼저 PE 파일에서 추출한 opcode와 windows API로 특징 벡터를 구성하고 Bernoulli Naïve Bayes과 K-Nearest Neighbor 분류기 알고리즘을 사용하여 성능을 각각 측정하였다. 실험결과, 제안한 방법과 KNN 분류기를 사용하여 분류하면 95.21%의 멀웨어 탐지 정확도를 얻을 수 있었다. 결과적으로 기존의 Opcode 또는 Windows API 호출 중 하나만 사용하는 방법보다 제안한 방법이 멀웨어 탐지 정확도에서 높은 성능을 보인다.

Abstract ▼ AI-Helper

We proposed malware detection method, which use the feature vector that consist of Opcode(operation code) and Windows API Calls extracted from executable files. And, we implemented our feature vector and measured the performance of it by using Bernoulli Naïve Bayes and K-Nearest Neighbor classifier. In experimental result, when using the K-NN classifier with the proposed method, we obtain 95.21% malware detection accuracy. It was better than existing methods using only either Opcode or Windows API Calls.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

Another use clustering method in existing study for spam detection^[14]. The purpose of this paper is to design the feature vector and verify the efficiency of it. So, we will simply use the existing classifier, especially BernoulliNB and K-Nearest Neighbor classifier that is implemented in scikit-learn.

대상 데이터

In this paper, we prepared 1224 files as dataset for experiment. Among that, the 445 files are benign and extracted from the Windows file directory (windows \system32).

성능/효과

In the results, when we use Bernoulli Naïve Bayes and the feature vector is set to windows API calls, it shows the highest accuracy of 93.33%.
Overall, when looking at the accuracy of all classifier, the accuracy of the proposed method is the highest in case of K-NN was used. The result of the proposed method was that TPR is about 95.03%, FPR is about 4.48%, and the accuracy is about 95.21%. The method we proposed could have the highest accuracy results when using the K-NN classifier than the Naive Bayes classifier.

후속연구

Also, In this paper, we used two classifiers such as Bernoulli Naïve Bayes, K-Nearest Neighbor, but future studies should derive better results through more diverse classifiers.

참고문헌 (20)

G. Bala Krishna, V. Radha, K. Venugopala Rao, "Review of Contemporary Literature on Machine Learning based Malware Analysis and Detection Strategies," Global Journal of Computer Science and Technology, vol. 16, Issue. 5, version 1.0, pp 11-16, 2016.
B. Kolosnjaji, A. Zarras, G. Webster, C. Eckert, "Deep Learning for Classification of Malware System Call sequences," in Australasian Joint Conference on Artificial Intelligence, pp 137-149, 2016.
Z. Bu et al., McAfee Threats Report: Second Quarter 2012, McAfee Labs, 2012.
Ye, Yanfang, et al. "A Survey on Malware Detection Using Data Mining Techniques," ACM Computing Surveys (CSUR) vol.50,no.3, 41p, 2017. DOI: http://doi.org/10.1145/3073559

상세보기
analysis method, https://software.intel.com/
Seung-Won Lee, Reversing Important Principles: Malware analyst's reversing talk, Insight, pp 141-143, 2012.
I. Santos, F. Brezo, X. Ugarte-Pedrero, PG. Bringas, "Opcode Sequences as Representation of Executables for data-mining-based unknown malware detection," Information Sciences, vol. 231, pp. 64-82, 2013. DOI: http://doi.org/10.1016/j.ins.2011.08.020

상세보기
M. Alazab, R. Layton, S. Venkataraman, P. Watters, "Malware detection based on structural and behavioural features of api calls", School of Computer and Information Science, Security Research Centre, Edith Cowan University, Perth, Western Australia, 2010.
M. Alazab, S. Venkatraman, P. Watters, M. Alazab, "Zero-day malware detection based on supervised learning algorithms of API call signatures", Proceedings of the Ninth Australasian Data Mining Conference-Volume 121, pp. 171-182, 2011.
Jeong-been Park, Kyoung-Soo Han, Eul-Gyu Im, "Malware Classification Using Worth Opcodes," Proceedings of the Korea Information Science 2014 Korea Computer Conference, pp943-945, Jun, 2014.
Yu-Jin Shim, Eul-Gyu Im, "Malware Detection And Classification System based on API Call Sequence," Ph.D. Thesis. University of Hanyang, Seoul, Republic of Korea 2016.
Python Library, scikit-learn, Bernoulli naive bayes, http://scikit-learn.org/stable/modules/naive_bayes.html.
Galit Shmueli, Nitin R. Patel, Peter C. Bruce, Data Mining for Business Intelligence, E&Bplus, pp 166, 2006.
Kwon, Y. M., Lee, I. R., Kim, M. G., "A Study on Clustering of SNS SPAM using Heuristic Method", The Journal of The Institute of Internet, Broadcasting and Communication, 14.6, pp 7-12, 2014 DOI: http://doi.org/10.7236/JIIBC.2014.14.6.7

원문보기 상세보기
E. Carrera, Pefile, https://github.com/erocarrera/pefile.
Capstone, capstone, http://www.capstone-engine.org.
virusshare, https://virusshare.com.
joxeankoret, http://malwareurls.joxeankoret.com.
malc0de, http://malc0de.com.
malwareblacklist, http://www.malwareblacklist.com.

저자의 다른 논문 :

LOADING...

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증