[논문]악성코드의 이미지 기반 딥러닝을 위한 전처리 방법 설계 및 개발

박지현; 김태옥; 신유림; 김지연; 최은정

doi:10.9717/kmms.2020.23.5.650

악성코드의 이미지 기반 딥러닝을 위한 전처리 방법 설계 및 개발
Design and Implementation of a Pre-processing Method for Image-based Deep Learning of Malware 원문보기

멀티미디어학회논문지 = Journal of Korea Multimedia Society, v.23 no.5, 2020년, pp.650 - 657

박지현 (Dept. of Information Security, Seoul Women's University) , 김태옥 (Dept. of Information Security, Seoul Women's University) , 신유림 (Dept. of Information Security, Seoul Women's University) , 김지연 (Center for Software Educational Innovation and Right AI with Security & Ethics Research Center, Seoul Women's University) , 최은정 (Dept. of Information Security and Right AI with Security & Ethics Research Center, Seoul Women's University)

Abstract ▼ AI-Helper

The rapid growth of internet users and faster network speed are driving the new ICT services. ICT Technology has improved our way of thinking and style of life, but it has created security problems such as malware, ransomware, and so on. Therefore, we should research against the increase of malware and the emergence of malicious code. For this, it is necessary to accurately and quickly detect and classify malware family. In this paper, we analyzed and classified visualization technology, which is a preprocessing technology used for deep learning-based malware classification. The first method is to convert each byte into one pixel of the image to produce a grayscale image. The second method is to convert 2bytes of the binary to create a pair of coordinates. The third method is the method using LSH. We proposed improving the technique of using the entire existing malicious code file for visualization, extracting only the areas where important information is expected to exist and then visualizing it. As a result of experimenting in the method we proposed, it shows that selecting and visualizing important information and then classifying it, rather than containing all the information in malicious code, can produce better learning results.

주제어

표/그림 (6)

표 Table 1. Various Malware Identification Method Using Visualization
그림 Fig. 1. The process of visualization using '1byte to 1pixel'.
그림 Fig. 2. The process of visualization using '2bytes to a pair of coordinates'.
그림 Fig. 3. The process of malware visualization using specialized section into RGB.
표 Table 2. Output Image of Visualization
표 Table 3. Experiment Result

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문에서는 기존의 악성코드 파일 전체를 시각화에 사용한 기법을 개선하여 중요한 정보가 있을 것이라 예상되는 영역만 추출한 후, 시각화하는 방법을 제시하였다. .
본 논문에서는 악성코드의 이미지 기반 딥러닝을 위한 데이터 전처리 기법을 분석하고, 이를 데이터셋 종류, 변환 이미지 단위 사이즈, 딥러닝 및 머신러닝 모델 유형을 기준으로 분류하는 연구를 수행한다. 이를 통해 악성코드 이진 파일의 주요한 특징을 기반으로 하는 전처리 방식을 제안하고 기존의 방식보다 악성코드 탐지율이 높아지는 것을 실험을 통해 보여 준다.
본 논문에서는 최근 지능화, 다각화되는 악성코드를 효과적으로 탐지하기 위하여 딥러닝 기반의 악성 코드의 이미지화 전처리 기법을 분석하고 공통된 특성을 추출하여 분류하였다. 본 논문에서 언급한 악성 코드 시각화 방법은 크게 세 가지로 나뉜다.

제안 방법

이 특징을 가지고 머신러닝을 이용해 안드로이드 악성코드를 탐지하였다. SVM, NB(Nive Bayes), GBC(Gradient Boosting Classifier) 및 Logistic Regression 모델로 98%의 탐지율을 기록하였으며, SVM, GBC 및 GPC(Gaussian Process Classifier) 를 이용하여 악성앱 제품군을 정확도 92%로 식별하였다[6].
data, .rsrc와 같은 다른 영역을 추출하여 서로 다른 색상 코드로 나타낸 뒤 분류를 하여 학습 모델의 정확도를 더 높이려 한다.
[9]의 경우, Microsoft Malware Classification Challenge 발표 이전의 연구로 Anubis [14] 데이터셋을 사용하였고 시각화 샘플은 Fakerean 패밀리를 보여주고 있다. 다양한 악성 코드 분류 연구의 시각화 방식을 1바이트를 1픽셀로 변환하는 방법, 2바이트를 한 쌍의 좌표로 변환하는 방법, 마지막으로 LSH를 이용한 방식의 세 가지로 분류하였다.
exe)의 악성코드 탐지를 위해 파일의 바이트 정보로 딥러닝 모델을 학습시켜 악성코드 탐지를 수행하였다. 딥러닝을 이용한 바이트 정보 학습으로는 합성곱 신경망(CNN)에 2개의 컨벌루션 연산을 수행 하는 게이트 구조를 적용하고, 정상/악성 분류를 위한 구조를 추가하여 학습 및 분류하였다. 그 결과 대량의 악성코드 처리에 적합하며, 탐지 결과에 대한 담당자의 이해를 도울 수 있는 시스템을 구축하였다[21].
1절 방식을 다른 방식과 함께 사용하여 시각화한다. 먼저 악성코드의 파일 구조를 파싱하여 코드 섹션, 데이터 섹션 등으로 각각 나누고 각 섹션의 엔트로피와 상대적 크기를 계산하여 RGB 컬러 이미 지를 만든다. R 채널의 값은 악성코드를 섹션으로 나눈 후 바이트 값의 무질서도, 즉 엔트로피를 0∼255 범위의 값으로 변환하여 계산한다.
두 번째 방법은 악성코드 바이너리 2바이트를 각각 0∼ 255 값을 범위로 하는 값으로 변환하여 한 쌍의 좌표를 만든다. 세 번째 방법은 LSH를 사용하여 바이너리 정보의 문자열이 유사할 경우 출력값도 비슷한 것을 이용하여 이미지 매트릭스에서 유사한 좌표로 매핑한다. 악성코드 탐지를 위한 딥러닝 모델로 대부분 CNN이나 RNN 등이 사용된다.
Kang et al의 연구에서는 Android 정적 분석을 기반으로 추출된 AndroidManifest 권한 특징을 통한 악성코드 탐지에 중점을 둔다. 이 특징을 가지고 머신러닝을 이용해 안드로이드 악성코드를 탐지하였다. SVM, NB(Nive Bayes), GBC(Gradient Boosting Classifier) 및 Logistic Regression 모델로 98%의 탐지율을 기록하였으며, SVM, GBC 및 GPC(Gaussian Process Classifier) 를 이용하여 악성앱 제품군을 정확도 92%로 식별하였다[6].
두 번째 단계에서는 추출한 바이너리파일을 읽어 한 쌍의 좌표값으로 이미지 변환. 추출한 영역이 한가지이므로 RGB값을 모두 동일하게 맞춰 그레이스케일 이미지를 만들었다. 세 번째 단계에서는 변환한 이미지 2760여개 중, 2243개 이미지를 CNN 학습을 위해 사용하였다.

대상 데이터

제공된 데이터셋은 Ramnit, Lolipop, Kelihos_ver3, Vundo, Simda, Tracur, Kelihos_ver1, Obfuscator. ACY, Gatak의 9개의 악성코드 패밀리, 전체 10,868개의 악성코드 샘플을 포함하고 있다.[3]
딥러닝 기반의 악성코드 탐지 및 분류를 위해 사용하는 주된 데이터셋은 대부분 Microsoft에서 Kaggle을 통해 발표한 Microsoft Malware Classification Challenge[5]에 공개된 데이터를 사용하였다. 제공된 데이터셋은 Ramnit, Lolipop, Kelihos_ver3, Vundo, Simda, Tracur, Kelihos_ver1, Obfuscator.
3은 이 과정을 도식화하여 나타낸 것이다. 사용한 데이터셋은 Big2015[5]를 사용하였다.
추출한 영역이 한가지이므로 RGB값을 모두 동일하게 맞춰 그레이스케일 이미지를 만들었다. 세 번째 단계에서는 변환한 이미지 2760여개 중, 2243개 이미지를 CNN 학습을 위해 사용하였다. 최종단계에서는 나머지 520여개의 이미지를 가지고 테스트 진행하였고 실험결과는 Table 2와 같고 평균 99.
딥러닝 기반의 악성코드 탐지 및 분류를 위해 사용하는 주된 데이터셋은 대부분 Microsoft에서 Kaggle을 통해 발표한 Microsoft Malware Classification Challenge[5]에 공개된 데이터를 사용하였다. 제공된 데이터셋은 Ramnit, Lolipop, Kelihos_ver3, Vundo, Simda, Tracur, Kelihos_ver1, Obfuscator. ACY, Gatak의 9개의 악성코드 패밀리, 전체 10,868개의 악성코드 샘플을 포함하고 있다.

이론/모형

기존의 악성코드 데이터의 시각화 기법은 크게 3 가지로 Table 1과 같다. 사용한 데이터셋은 Microsoft Malware Classification Challenge[5]의 데이터셋을 사용하였고 시각화된 샘플은 Ramnit 패밀리를 보여주고 있다. [9]의 경우, Microsoft Malware Classification Challenge 발표 이전의 연구로 Anubis [14] 데이터셋을 사용하였고 시각화 샘플은 Fakerean 패밀리를 보여주고 있다.

성능/효과

.text 영역을 추출하여 시각화 한 후, CNN 모델을 이용하여 실험한 결과 99.43%의 높은 정확도를 보여주었다. 따라서 시각화를 할 경우, 악성코드의 모든 정보를 다 담는 것보다 중요한 정보를 선별하여 시각화를 한 후 분류를 하는 것이 더 좋은 학습 결과를 낼 수 있다는 것을 보여준다.
악성코드 탐지를 위한 딥러닝 모델로 대부분 CNN이나 RNN 등이 사용된다. 각 딥러닝 모델은 악성코드 탐지에 있어 매우 높은 정확도와 성능을 보여주었다.
Bae et al의 연구에서는 악성코드를 의미 있는 정보를 가지는 하나의 명령어 시퀀스로 가정하고, LSTM RNN을 이용하여 악성코드를 탐지하였다. 명령어 트라이그램 시퀀스를 입력으로 사용한 실험 결과 입력 길이 800에서 Skip-Connected LSTM RNN 모델이 정확도 99.71%로 가장 우수한 성능을 보였다[8].
본 논문에서는 악성코드의 이미지 기반 딥러닝을 위한 데이터 전처리 기법을 분석하고, 이를 데이터셋 종류, 변환 이미지 단위 사이즈, 딥러닝 및 머신러닝 모델 유형을 기준으로 분류하는 연구를 수행한다. 이를 통해 악성코드 이진 파일의 주요한 특징을 기반으로 하는 전처리 방식을 제안하고 기존의 방식보다 악성코드 탐지율이 높아지는 것을 실험을 통해 보여 준다.
세 번째 단계에서는 변환한 이미지 2760여개 중, 2243개 이미지를 CNN 학습을 위해 사용하였다. 최종단계에서는 나머지 520여개의 이미지를 가지고 테스트 진행하였고 실험결과는 Table 2와 같고 평균 99.43%의 높은 정확도를 보여주었다.

참고문헌 (21)

McAfee Labs Threats Report, https://www.mcafee.com/enterprise/en-us/assets/reports/rp-quarterly-threats-aug-2019.pdf. (accessed January 6, 2020)
J. Kim, S. Hong, H. Kim, "A StyleGAN Image Detection Model Based on Convolutional Neural Network," Journal of Korea Multimedia Society, Vol. 22, No. 12, pp. 1447-1456, 2019
T. Kim, H. Ji, and E. Im, “Malware Classification Using Machine Learning and Binary Visualization,” Korean Institute of Information Scientists Engineers Transactions on Compution Practices, Vol. 24, No. 4, pp. 198-203, 2018.
K. Han, B. Kang, and E. Im, "Malware Analysis Using Visualized Image Matrices," The Scientific World Journal, Vol. 2014, Article ID. 132713, 2014.

상세보기
Microsoft, Microsoft Malware Classification Challenge, https://www.kaggle.com/c/malwareclassification (accessed November 28, 2019).
S. Kang, N.V. Long, and S. Jung, “Android Malware Detection Using Permission-based Machine Learning Approach,” Journal of the Korea Institute of Information Security and Cryptology, Vol. 28, No. 3, pp. 617-623, 2018.
D. Jo and D. Park, “Real-time Malware Detection Method Using Machine Learning,” The Journal of Korean Institute of Information Technology, Vol. 16, No. 3, pp. 101-113, 2018.

상세보기
J. Bae, C. Lee, S. Choi, and J. Kim, “Malware Detection Model with Skip-connected LSTM RNN,” The Korean Institute of Information Scientists and Engineers, Vol. 45, No. 12, pp. 1233-1239, 2018.
L. Nataraj, S. Karthikeyan, G. Jacob, and B. S. Manjunath, "Malware Images: Visualization and Automatic Classification," Proceedings of the International Symposium on Visualization for Cyber Security, pp. 1-7, 2011.
W. Huang and J.W. Stokes, "MtNet: A Multi-Task Neural Network for Dynamic Malware Classification," Proceedings of Detection of Intrusions and Malware, and Vulnerability Assessment, Vol. 9721, pp. 399-418, 2016.
S. Jeong, H. Kim, Y. Kim, and M. Yoon, “Vgram: Malware Detection Using Opcode Basic Blocks and Deep Learning,” Journal of Korean Institute of Information Scientists and Engineers, Vol. 46, No. 7, pp. 599-605, 2019.
M.S. Charikar, "Similarity Estimation Techniques from Rounding Algorithms," Proceedings of the Thiry-fourth Annual ACM Symposium on Theory of Computing, pp. 380-388, 2002.
H. Kim, S. Han, S. Lee, and J. Lee, “Visualization of Malwares for Classification through Deep Learning,” Journal of Internet Computing and Services, Vol. 19, No. 5, pp. 67-75, 2018.
Anubis: Analyzing Unknown Binaries, https://www.virusbulletin.com/conference/vb 2009/abstracts/anubis-analyzing-unknown-binariesautomatic-way (accessed January 10, 2020).
K. Han, J. Lim, and E. Im, "Malware Analysis Method Using Visualization of Binary Files," Proceedings of the Research in Adaptive and Convergent Systems, pp. 317-321, 2013.
S. Seok and H. Kim, “Visualized Malware Classification Based-on Convolutional Neural Network,” Journal of the Korea Institute of Information Security and Cryptology, Vol. 26, No. 1, pp. 197-208, 2016.

원문보기 상세보기
S. Ni, Q. Qian, and R. Zhang, "Malware Identification Using Visualization Images and Deep Learning," Computers and Security, Vol. 77, pp. 871-885, 2018.

상세보기
J. Fu, J. Xue, Y. Wang, Z. Liu, and C. Shan, "Malware Visualization for Fine-grained Classification," IEEE Access, Vol. 6, pp. 14510-14523, 2018.

상세보기
H. Seo, J. Choi, and P. Chu, “A Study on Windows Malicious Code Classification System,” Journal of the Korea Society for Simulation, Vol. 18, No. 1, pp. 63-70, 2009.
Y. Jeon, J. Oh, I. Kim, and J. Jang, “A Study on Internet Malware Classification Method and Detection Mechanism,” Korea Institute of Information Security and Cryptology Review, Vol. 18, No. 3, pp. 60-73, 2008.
E. Raff, J. Barker, J. Sylvester, R. Brandon, B. Catanzaro, and C. Nicholas, "Malware Detection by Eating a Whole EXE," Proceeding of American Association for Artificial Intelligence Workshop on AI for Cyber Security, pp. 268-276, 2018.

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증