[논문]분석기법을 우회하는 악성코드를 분석하기 위한 프로세스 설계

이경률; 이선영; 임강빈

doi:10.22693/niaip.2017.24.4.068

[국내논문] 분석기법을 우회하는 악성코드를 분석하기 위한 프로세스 설계
A Novel Process Design for Analyzing Malicious Codes That Bypass Analysis Techniques 원문보기

정보화 정책 = Informatization policy, v.24 no.4 = no.93, 2017년, pp.68 - 78

이경률 (순천향대학교 보안안전융합기술사업화센터) , 이선영 (순천향대학교 정보보호학과) , 임강빈 (순천향대학교 정보보호학과)

초록
AI-Helper

악성코드는 나날이 복잡해지고 다양화되어 단순한 정보유출에서부터 시스템에 대한 심각한 피해를 유발하는 실정에 이르렀다. 이러한 악성코드를 탐지하기 위해 코드분석에 역공학을 이용하는 많은 연구가 진행되었지만, 악성코드 개발자도 분석방법을 우회하는 다양한 기법을 활용함으로써 코드분석을 어렵게 하였다. 특히, 악성코드의 감염여부조차 판단하기 어려운 루트킷 기법들이 진화하고 있고, 악성코드가 이 기법들을 흡수함으로써 그 문제의 심각성은 더욱 커지고 있다. 따라서 본 논문에서는 분석기법들을 우회하는 악성코드에 재빠르게 대응하기 위한 분석 프로세스를 설계하였다. 설계된 프로세스를 통하여 악성코드의 탐지를 더욱 효율적으로 할 수 있을 것으로 사료된다.

Abstract ▼ AI-Helper

Malicious codes are currently becoming more complex and diversified, causing various problems spanning from simple information exposure to financial or psychologically critical damages. Even though many researches have studied using reverse engineering to detect these malicious codes, malicious code developers also utilize bypassing techniques against the code analysis to cause obscurity in code understanding. Furthermore, rootkit techniques are evolving to utilize such bypassing techniques, making it even more difficult to detect infection. Therefore, in this paper, we design the analysis process as a more agile countermeasure to malicious codes that bypass analysis techniques. The proposed analysis process is expected to be able to detect these malicious codes more efficiently.

Keyword

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

, 2009)을 이용하고 있어 보안전문가들이 악성코드를 탐지하기 위해서는 이들 기술의 분석이 필수적이다. 따라서 본 논문은 분석기법을 우회하는 악성코드를 분석하는 프로세스를 설계하는데 그 목적이 있다. 탐지된 악성코드의 행위를 분석하기 위해 악성코드의 검출, 분석, 검증, 무력화 과정을 통하여 시스템에 침투한, 혹은 침투하는 악성코드를 치료하는 것이 가능하다.
탐지된 악성코드의 행위를 분석하기 위해 악성코드의 검출, 분석, 검증, 무력화 과정을 통하여 시스템에 침투한, 혹은 침투하는 악성코드를 치료하는 것이 가능하다. 본 논문은 분석을 우회하는 기법이 적용된 악성코드를 분석하기 위한 프로세스를 설계하고 검증하며, 이를 위하여 악의적인 행위 자체를 분석하고 행위를 무력화하는 세부적인 과정은 배제하였다. 또한 이러한 악성코드는 역공학 방지 및 패킹, 난독화 기법을 사용하여 자신의 코드를 분석하기 못하도록 방해하므로 이러한 기법이 적용되더라도 악성코드를 분석하기 위한 체계적인 방안이 필요하며, 루트킷 기법을 이용하여 우회하기도 하므로 유저레벨 및 커널레벨, 혹은 복합적으로 구성된 루트킷을 분석하기 위한 절차가 요구된다.
본 논문에서는 과 같이 분석기법을 우회하는 악성코드 분석 프로세스를 설계하였다.
본 논문은 분석기법을 우회하는 악성코드에 보다 재빠르게 대응하기 위한 분석 프로세스를 설계하였다. 본 설계에서는 탐지단계, 무력화단계, 검출단계를 거쳐 악의적인 행위의 분석을 위한 악성코드를 확보한다.

제안 방법

또한 이러한 악성코드는 역공학 방지 및 패킹, 난독화 기법을 사용하여 자신의 코드를 분석하기 못하도록 방해하므로 이러한 기법이 적용되더라도 악성코드를 분석하기 위한 체계적인 방안이 필요하며, 루트킷 기법을 이용하여 우회하기도 하므로 유저레벨 및 커널레벨, 혹은 복합적으로 구성된 루트킷을 분석하기 위한 절차가 요구된다. 따라서 상기 분석기법을 우회하는 기술들의 탐지 및 분석, 무력화는 악의적인 행위를 분석하기 위한 준비단계로서 일련의 과정으로 정의될 수 있으므로 이 과정을 분석기법을 우회하는 악성코드를 분석하기 위한 프로세스로 설계하였다.
행동탐지에서는 파일탐지, 레지스트리탐지, 프로세스탐지, 네트워크탐지를 수행하며, 존재탐지에서는 출입문보호, 메모리 스캐닝, 후킹탐지, 실행 추적을 수행한다. 이들 탐지과정을 통하여 악성코드의 존재와 악의적인 행위를 탐지하며, 탐지 결과의 비교 및 분석을 통하여 악성코드 후보들을 추출한다. 이후, 무력화단계, 검출단계를 적용하여 추출된 악성코드를 확보하고, 그 결과를 토대로 악성코드 분석 프로세스 단계를 수행하여 검출한 악성코드의 실제 악의적인 행위에 대한 세밀한 분석을 수행한다.
이들 탐지과정을 통하여 악성코드의 존재와 악의적인 행위를 탐지하며, 탐지 결과의 비교 및 분석을 통하여 악성코드 후보들을 추출한다. 이후, 무력화단계, 검출단계를 적용하여 추출된 악성코드를 확보하고, 그 결과를 토대로 악성코드 분석 프로세스 단계를 수행하여 검출한 악성코드의 실제 악의적인 행위에 대한 세밀한 분석을 수행한다.
악성코드는 악의적인 행위에 대한 명령 전송, 코드 변형 과정, 탈취한 정보의 전송, 공격자와의 연결유지 등의 기능을 수행하기 위해 네트워크에 연결된다. 시스템을 장악한 악성코드는 데이터 유출, 백도어 등의 기능을 수행하기 위해 특정 네트워크로 접속하므로 이를 탐지하기 위해서는 시스템에서 네트워크를 감시한 후, 그 결과를 분석함으로써 악성코드의 특징을 파악한다. 네트워크 감시는 TCPView, TDIMon 등의 도구를 통하여 감시한다.
메모리 스캐닝은 메모리에서 악성코드를 검색하기 위한 기술이다. 상기 출입문보호 기술은 악성코드가 메모리로 로드되는 것을 지속적으로 검사해야만 하는 단점이 존재하므로, 더욱 효율적으로 탐지하기 위하여 주기적으로 메모리를 스캔하여 악성코드를 탐지한다. 하지만 악성코드가 메모리로 로드되는 것은 방지하지 못하며, 메모리에 로드된 악성코드만 탐지할 수 있는 단점이 존재한다.
따라서 후킹되지 않은 상태의 함수들에 대한 정상적인 수치를 수집한 후, 대상 함수를 주기적으로 호출하여 해당 함수가 실행되면서 추가적으로 실행되는 코드가 존재하는지 산정한 기준치와 비교함으로써 후킹여부를 판단한다.
악성코드 후보를 추출하기 위해서는 행동탐지 단계를 통해 탐지한 악성코드와 존재탐지 단계를 통해 탐지한 악성코드의 비교를 통하여 실제 악성코드인지 정상적인 응용 프로그램인지 판단해야 한다. 즉, 행동탐지와 존재탐지 결과를 비교함으로써 분석기법을 우회하는 악성코드 후보들을 추출한다.
선행 조사의 결과를 기반으로 악성코드가 은닉을 위하여 활용하는 루트킷기법을 무력화하는 단계를 수행한다. 유저레벨과 커널레벨로 나누어진 이 단계는 각 단계를 순차적, 혹은 역으로 분석하거나 그 반대, 또는 두 가지 모두를 분석한다.
유저레벨과 커널레벨로 나누어진 이 단계는 각 단계를 순차적, 혹은 역으로 분석하거나 그 반대, 또는 두 가지 모두를 분석한다. 분석을 위한 탐지방법은 DLL 인젝션 탐지, 유저레벨 루트킷탐지, 커널레벨 루트킷탐지 방법으로 분류된다.
검출단계에서는 상기 탐지단계에서 추출한 후보 악성코드와 무력화단계에서 확보한 결과를 비교함으로써 악성코드를 검출한다. 악성코드가 사용하는 기법은 악성코드만이 사용하는 것은 아니므로 비교/분석을 통해 악성코드인지 정상적인 프로그램인지를 판단할 필요성이 있다.
본 논문은 분석기법을 우회하는 악성코드에 보다 재빠르게 대응하기 위한 분석 프로세스를 설계하였다. 본 설계에서는 탐지단계, 무력화단계, 검출단계를 거쳐 악의적인 행위의 분석을 위한 악성코드를 확보한다. 탐지단계는 행동탐지, 존재탐지 과정을 통해 악성코드 후보들을 추출하며, 무력화단계에서는 역공학 방지기법, 패킹기법, 난독화기법으로 이루어진 자기방어기법을 무력화하고, DLL 인젝션, 유저/커널레벨 루트킷으로 이루어진 루트킷기법을 무력화하여 악성코드를 추출한다.
윈도우즈가 부팅되면서 사용자 로그인, 응용 프로그램의 실행과 관리 등의 모든 작업들이 레지스트리를 통하여 이루어진다. 따라서 악성코드에 감염된 시스템은 악의적인 행위를 수행하기 위하여 레지스트리의 추가 및 수정, 삭제 행위를 수행한다. 악성코드의 경우에는 자신이 반드시 실행되어야 하므로 부팅 시 자동으로 실행되도록 설정하는 경우가 많으며, 이러한 설정은 안티 바이러스 프로그램의 탐지를 우회하기 위해 사용되기도 한다.

후속연구

검출단계에서는 탐지단계와 무력화단계를 통해 추출된 후보 악성코드들의 분석결과를 비교하여 최종적인 판단을 함으로써 악성코드를 검출한다. 검출한 악성코드는 별도의 악성코드 분석 프로세스를 통해 세부적인 동작을 분석하여 방지 및 치료를 위해 활용하며, 본 논문에서 제안한 분석 프로세스를 통해 분석기법을 우회하는 악성코드에 대한 대응을 민첩하게 할 수 있을 것으로 판단된다.

질의응답

핵심어	질문	논문에서 추출한 답변
	분석기법을 우회하는 악성코드를 탐지하기 위해서는 어떤 탐지를 통하여 후보를 추출하는가?	분석기법을 우회하는 악성코드를 탐지하기 위한 단계에서는 행동탐지, 존재탐지를 통하여 악성코드 후보를 추출한다. 행동탐지에서는 파일탐지, 레지스트리탐지, 프로세스탐지, 네트워크탐지를 수행하며, 존재탐지에서는 출입문보호, 메모리 스캐닝, 후킹탐지, 실행 추적을 수행한다.
	악성코드가 악의적인 행위를 위하여 주로 활용하는 레지스트리를 조사하고 분석하여 악성코드를 탐지 또는 추출하고 있는 이유는 무엇인가?	따라서 악성코드에 감염된 시스템은 악의적인 행위를 수행하기 위하여 레지스트리의 추가 및 수정, 삭제 행위를 수행한다. 악성코드의 경우에는 자신이 반드시 실행되어야 하므로 부팅 시 자동으로 실행되도록 설정하는 경우가 많으며, 이러한 설정은 안티 바이러스 프로그램의 탐지를 우회하기 위해 사용되기도 한다. 이러한 이유로 악성코드가 악의적인 행위를 위하여 주로 활용하는 레지스트리를 조사하고 분석하여 악성코드를 탐지하고 추출할 수 있으며, 이를 위한 도구로는 RegMon, RegShot, Regedit 등이 있다.
	현재의 악성코드가 과거의 악성코드에 비해 발생시키는 문제가 커진 이유는 무엇인가?	과거에는 악성코드의 전파속도가 느리고 감염되는 경로가 한정적이었으며, 전파기술 또한 단순한 구조였기 때문에 이에 대응하는 방안을 연구하기에 충분한 시간적 여유가 있었다. 하지만 현재의 악성코드들은 은닉기술과 자가변형 등의 기술을 흡수하면서 매우 지능화되어, 최근 가장 문제가 되고 있는 분산서비스거부공격(DDoS)을 비롯한 스팸발송 및 개인정보 탈취 등의 문제를 야기하고 있다(김지연 외, 2009; 이경률 외, 2017; Yu, et al., 2011).

참고문헌 (31)

국가보안기술연구소 (2005). 코드 난독화를 이용한 악성 코드 분석 기법에 관한 연구. 대전: 국가보안기술연구소.
김정일.이은주 (2011). "제어 흐름 난독화를 효과적으로 수행하기 위한 전략." 한국컴퓨터정보학회 논문지, 16(6): 41-50.
김지연.이주리.박은지.장은영.김형종 (2009). "DDoS 공격 피해 규모 및 대응기법 비용분석을 위한 모델링 및 시뮬레이션 기술 연구.", 한국시뮬레이션학회논문지, 18(4): 39-47.

원문보기 상세보기
석재혁.김성훈.이동훈 (2013). "가상화 난독화 기법이 적용된 실행 파일 분석 및 자동화 분석 도구 구현.", 한국정보보호학회논문지, 23(4): 709-720.
안철수연구소 (2010). "해커스 드림 2010." http://www.ahnlab.com/kr/site/securityinfo/secunews/secuNewsView.do?cmdprint&seq17027&menu_dist1 (Retrieved on November 9, 2017).
안철수연구소 (2017). "월간보안보고서." http://www.ahnlab.com/kr/site/securityinfo/asec/asecReportView.do?groupCodeVNI001 (Retrieved on November 9, 2017).
이경률.임강빈 (2012). "코드은닉을 이용한 역공학 방지 악성코드 분석방법 연구." 한국항행학회논문지, 16(3): 488-494.

원문보기 상세보기
이경률.이선영.임강빈 (2017). "인터넷 뱅킹 서비스에서의 보안위협 분류 및 분석." 정보화정책 저널, 24(2): 20-42.
이동휘.이상호.김귀남 (2005). "허니닛 기반의 사이버위협 조기탐지기법 연구." 한국사이버테러정보전학회 정보보증논문지, 5(4): 67-72.
이승원 (2010a). "리버싱 관점에서 애플리케이션의 기능 추가 방법 : DLL Loading by PE Patch." 마이크로소프트웨어, 319: 204-211.

상세보기
이승원 (2010b). "리버싱 관점에서 애플리케이션의 기능 추가 방법, 2 : Inline Code Patch." 마이크로소프트웨어, 320: 200-205.

상세보기
이승원 (2010c). "리버싱 관점에서 애플리케이션의 기능 추가 방법, 3 : DLL Injection." 마이크로소프트웨어, 321: 200-207.

상세보기
이재휘.한재혁.이민욱.최재문.백현우.이상진 (2017). "Themida의 API 난독화 분석과 복구방안 연구." 한국정보보호학회논문지, 27(1): 67-77.
이찬희.정윤식.조성제 (2013). "안드로이드 애플리케이션에 대한 역공학 방지 기법." 보안공학연구논문지, 10(1): 41-50.
이태헌 (2016). "텍스트 마이닝을 이용한 정보보호인식 분석 및 강화 방안 모색." 정보화정책, 23(4): 76- 94.

원문보기 상세보기
정진혁.이정현 (2013). "프로가드 난독화 도구 구조 및 기능 분석." 한국통신학회논문지, 38B(8): 654-662.
한국인터넷진흥원 (2009). 악성코드 유형에 따른 자동화 분석 방법론 연구. 서울: 한국인터넷진흥원.
한국인터넷진흥원 (2010). 분석기법 우회 악성코드 분석방법 연구. 서울: 한국인터넷진흥원.
홍수화 (2016). "Pin을 이용한 안티디버깅 우회 설계 및 구현" 인터넷정보학회논문지, 17(5): 33-42.
Bayer, U., Habibi, I., Balzarotti, D., Kirda, E. & Kruegel, C. (2009). "A View on Current Malware Behaviors." Usenix Workshop on Large-scale Exploits and Emergent Threats(LEET), http://static.usenix.org/event/leet09/tech/full_papers/bayer/bayer_html/ (Retrieved on November 9, 2017).
Balakrishnan, A. & Schulze C. (2005). "Code Obfuscation Literature Survey," http://pages.cs.wisc.edu/-arinib/writeup.pdf (Retrieved on November 9, 2017).
CodeEngn (2017). "CodeEngn Conference.", http://www.codeengn.com (Retrieved on November 9, 2017).
Gregio, A.R.A., Filho, D.S.F., Afonso, V.M., Santos, R.D.C., Jino, M. & de Geus, P.L. (2011). "Behavioral analysis of malicious code through network traffic and system call monitoring." Proceedings of the SPIE .
Hoglund, G. & Butler, J. (2005). Rootkits: Subverting the Windows Kernel. Addison-Wesley Professional.
Kim, S., Park, J., Lee, K., You, I. & Yim, K. (2012). "A Brief Survey on Rootkit Techniques in Malicious Codes." The journal of Internet Services and Information Security , 2(3/4): 134-147.
Lee, K., You, I. & Yim, K. (2010). "A Hint to the Analysis of the Packed Malicious Codes," Proceedings of the WISA .
Russinovich, M. & Solomon, D. (2009). Windows Internals. Microsoft.
Woei-Jiunn T., Yuh-Chen C. & Being-Yu T. (2009). "A New Windows Driver-Hidden Rootkit Based on Direct Kernel Object Manipulation." The journal of Lecture notes in computer science, 5574: 202-213.
Yason, M. (2007). "The Art of Unpacking," https://www.blackhat.com/presentations/bh-usa-07/Yason/Whitepaper/bh-usa-07-yason-WP.pdf (Retrieved on November 9, 2017).
You, I. & Yim, K. (2010). "Malware Obfuscation Techniques: A Brief Survey," International Conference on Broadband Wireless Computing, Communication and Applications, 297-300.
Yu, S., Zhou, W., Doss, R. & Jia, W. (2011). "Traceback of DDoS Attacks Using Entropy Variations." IEEE transactions on parallel and distributed systems; a publication of the IEEE Computer Society, 22(3): 412-425.

상세보기

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증