[논문]악성 스크립트 패턴 분석을 통한 악성코드 탐지 기법

이용준; 이창범

doi:10.5762/kais.2019.20.7.613

악성 스크립트 패턴 분석을 통한 악성코드 탐지 기법
A Malware Detection Method using Analysis of Malicious Script Patterns 원문보기

한국산학기술학회논문지 = Journal of the Korea Academia-Industrial cooperation Society, v.20 no.7, 2019년, pp.613 - 621

이용준 (국방보안연구소) , 이창범 (한국교통안전공단)

초록
AI-Helper

최근 IoT, 클라우드 컴퓨팅 기술이 발전하면서 IoT 디바이스를 감염시키는 악성코드와 클라우드 서버에 랜섬웨어를 유포하는 신종 악성코드가 등장하여 보안 위협이 증가하고 있다. 본 연구에서는 기존의 시그니처 기반의 탐지 방식과 행위기반의 탐지 방식의 단점을 보완할 수 있도록 난독화된 스크립트 패턴을 분석하여 점검하는 탐지 기법을 제안한다. 제안하는 탐지 기법은 웹사이트 통해 유포되는 악성 스크립트 유형을 분석하여 유포패턴을 도출한 후, 도출된 유포패턴을 등록하여 점검함으로써 기존의 탐지룰 기반의 탐지속도를 유지하면서도 제로데이 공격에 대한 탐지가 가능한 악성 스크립트 패턴분석 기반의 악성코드 탐지 기법이다. 제안한 기법의 성능을 검증하기 위해 프로토타입 시스템을 개발하였으며, 이를 통해 총 390개의 악성 웹사이트를 수집, 분석에 의해 도출된 10개의 주요 악성 스크립트 유포패턴을 실험한 결과, 전체 항목 평균 약 86%의 높은 탐지율을 보였으며, 기존의 탐지룰 기반의 점검속도를 유지하면서도 제로데이 공격까지도 탐지가 가능한 것을 실험으로 입증하였다.

Abstract ▼ AI-Helper

Recently, with the development of the Internet of Things (IoT) and cloud computing technologies, security threats have increased as malicious codes infect IoT devices, and new malware spreads ransomware to cloud servers. In this study, we propose a threat-detection technique that checks obfuscated script patterns to compensate for the shortcomings of conventional signature-based and behavior-based detection methods. Proposed is a malicious code-detection technique that is based on malicious script-pattern analysis that can detect zero-day attacks while maintaining the existing detection rate by registering and checking derived distribution patterns after analyzing the types of malicious scripts distributed through websites. To verify the performance of the proposed technique, a prototype system was developed to collect a total of 390 malicious websites and experiment with 10 major malicious script-distribution patterns derived from analysis. The technique showed an average detection rate of about 86% of all items, while maintaining the existing detection speed based on the detection rule and also detecting zero-day attacks.

주제어

표/그림 (10)

표 Table 1. OWASP Top 10 Vulnerabilities
그림 Fig. 1. Path of distribution of malicious code
그림 Fig. 2. Process for collecting and analyzing patterns of malicious code distribution
표 Table 2. Results of analysis on the distribution patterns of malicious scripts
표 Table 3. Malicious script detection items by distribution Pattern
그림 Fig. 3. Process of performance experiment using detection prototype system
그림 Fig. 4. DLL information setting of prototype system developed for experiment
그림 Fig. 5. Analysis result view of prototype system developed for experiment
그림 Fig. 6. Search source view of prototype system developed for experiment
표 Table 4. Detection rate by diffusion pattern detection items

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

따라서 본 연구에서는 기존의 탐지룰 기반의 탐지 방식과 행위기반의 탐지 방식의 단점을 보완할 수 있는 난독화된 스크립트를 패턴분석으로 점검하는 탐지 기법을 제안한다.
본 연구에서는 악성코드 탐지를 위해 기존의 시그니처 기반의 탐지 방식과 행위기반의 탐지 방식의 단점을 보완할 수 있는 악성 스크립트 패턴분석을 이용한 악성코드 탐지 기법을 제안하였다.

제안 방법

패턴분석에 의해 도출된 악성 스크립트 탐지룰은 정상적인 웹페이지에서도 탐지될 수 있기 때문에 악성 스크립트 유포패턴이 탐지되어도 악성코드 경유지/유포지로 완전히 단정할 수는 없다. 따라서 실험에서는 악성 스크립트 유포패턴이 탐지된 웹페이지는 의심스러운 웹페이지로 1차 분류를 한 후, 정확성을 높이기 위해 중요도를 산정한다.
시스템은 점검대상 웹사이트의 수집정보와 유포패턴을 매칭하여 악성코드 유포지와 경유지를 탐지하며, 신규 유포패턴은 분석을 통해 악성 스크립트 패턴분석으로 지속적으로 포함시켜서 제로데이 공격에 대응하도록 개발 하였다. 시스템 프로토타입에 의한 성능 실험의 프로세스는 Fig.
악성코드의 유포 패턴을 분석하기 위해 정보보안기관이 공개한 국내외 악성코드 유포지로 확인된 500개의 웹사이트를 크롤링하여 수집한 후, 악성 스크립트 패턴분 석을 수행하였다. Fig.
우선 악성코드 유포지의 스크립트 패턴을 분석하여 공통적인 특징을 분석과 분류를 통해 유포 패턴을 도출하였으며, 도출된 유포 패턴을 점검 항목으로 하여 웹사이트의 악성 스크립트를 탐지할 수 있도록 악성코드 유포 패턴 탐지 시스템 프로토타입을 개발하였다.
웹사이트 정보 수집 단계에서 의심 웹사이트와 정상 웹사이트를 수집한 후 악성 스크립트 유포 패턴 매칭단계에서 악성 스크립트 유포 패턴과 매칭되는 악성 스크립트를 탐지하고, 신규 유포 패턴 분석 단계에서 악성코드 유포지와 경유지를 분석하여 그 분석 결과를 악성 스크립트 탐지룰 DB에 저장하여 관리한다.
제안하는 탐지 기법은 웹사이트를 통해 유포되는 악성코드의 스크립트 유형을 분석하여 유포패턴을 도출한 후, 도출된 유포패턴을 탐지룰에 등록하여 점검함으로써 기존의 시그니처 기반의 탐지속도를 유지하면서도 제로데이 공격까지 탐지가 가능한 악성 스크립트 유포패턴 분석기반의 악성코드 탐지 기법이다.
제안한 악성코드 유포 패턴 분석 기반 탐지에 대한 성능 검증을 하기 위해 유포패턴 탐지 시스템을 프로토타입으로 개발하였다.
제안한 탐지 기법은 웹사이트를 통해 유포되는 악성스크립트 유형을 분석하여 유포패턴을 도출한 후, 도출된 유포패턴을 탐지룰에 등록하여 점검하는 방식으로 기존의 시그니처 기반의 탐지속도를 유지하면서도 제로데이 공격에 대한 탐지가 가능한 장점이 있다.

대상 데이터

정보보안기관이 공개한 국내외 악성코드 유포지로 확인된 총 390개의 웹사이트를 분석에 의해 도출된 악성 스크립트 유포패턴 탐지 항목으로 모두 점검하였으며, 본탐지성능 실험에서는 계산된 위험점수가 60점 이상인 경우를 탐지로 설정하였다. 점검을 통해 도출된 각 점검 항목별 탐지 결과는 Table 4와 같다.

성능/효과

Table 4에 나타나듯이 점검 항목 중 단순 문자열 반복, 쉘 스크립트, img 태그의 비정상 width, height 값항목에 있어서 매우 높은 탐지율을 보였고, 전체 항목 평균 약 86%의 높은 탐지율을 보였다. Important degree 는 제안하는 위험점수 계산식을 통해 부여된 점수로 패턴 항목에 대한 보안위협 수준을 나타낸다.
수집한 500개의 악성코드 유포지를 분석한 결과, 전체 악성코드 유포지 중의 95%는 악성 스크립트 형태였 으며, 5%는 멀티미디어 파일 내 스크립트를 삽입하는 방식이었다. 분석한 악성 스크립트 유포패턴 분석 결과는 Table 2와 같다.
악성코드 유포지는 시그니처 기반으로 탐지가 가능하기 때문에 공격자는 스크립트 코드를 난독화하거나 문자열로 변환하여 은닉시키며 난독화는 63% 로 분석되었다.
제안한 기법의 성능을 검증하기 위해 개발된 프로토타입 시스템으로 총 390개의 악성 웹사이트를 대상으로 악성 스크립트 탐지 항목을 실험한 결과, 전체 항목 평균약 86%의 높은 탐지율을 보였다.

후속연구

기존에는 악성코드 은닉 웹사이트를 분석자에 의해 수동적으로 분석을 수행하였으나 본 연구에서 제안한 기법을 활용하면 보다 자동화된 악성코드 은닉 웹사이트를 탐지 성능이 향상될 것으로 기대한다.

질의응답

핵심어	질문	논문에서 추출한 답변
	웹사이트에 은닉된 악성코드를 탐지하는 방법은 어떻게 구분되는가?	웹사이트에 은닉된 악성코드를 탐지하는 방법에는 시그니처 기반 방식과 행위 기반 방식으로 구분된다. 시그니처 기반 탐지는 점검하는 웹사이트 소스코드 내에 악성코드 유포지가 삽입되었는지 검색하는 방식으로, 탐지 속도는 빠른 장점이 있지만, 제로데이 공격(zero day attack)에 대한 탐지성능이 낮은 단점이 있다[14].
	웹사이트에 은닉된 악성코드를 탐지하는 방법 중 시그니처 기반 방식의 장점과 단점은?	웹사이트에 은닉된 악성코드를 탐지하는 방법에는 시그니처 기반 방식과 행위 기반 방식으로 구분된다. 시그니처 기반 탐지는 점검하는 웹사이트 소스코드 내에 악성코드 유포지가 삽입되었는지 검색하는 방식으로, 탐지 속도는 빠른 장점이 있지만, 제로데이 공격(zero day attack)에 대한 탐지성능이 낮은 단점이 있다[14]. 행위 기반 탐지는 웹사이트에 가상으로 접속시켜 방문자 PC 의 파일변조, 악성코드 실행 등의 상태변화를 추적을 통해 탐지하기 때문에 탐지속도가 느린 단점이 있지만, 제로데이 공격에 대한 탐지 성능이 높은 장점이 있다[15].
	행위 기반 탐지란?	시그니처 기반 탐지는 점검하는 웹사이트 소스코드 내에 악성코드 유포지가 삽입되었는지 검색하는 방식으로, 탐지 속도는 빠른 장점이 있지만, 제로데이 공격(zero day attack)에 대한 탐지성능이 낮은 단점이 있다[14]. 행위 기반 탐지는 웹사이트에 가상으로 접속시켜 방문자 PC 의 파일변조, 악성코드 실행 등의 상태변화를 추적을 통해 탐지하기 때문에 탐지속도가 느린 단점이 있지만, 제로데이 공격에 대한 탐지 성능이 높은 장점이 있다[15].

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증