[논문]Office Open XML 문서 기반 악성코드 분석 및 탐지 방법에 대한 연구

이덕규; 이상진

doi:10.13089/jkiisc.2020.30.3.429

초록
AI-Helper

최근 침해사고에서 오피스 문서를 통한 공격 비중이 높아지고 있다. 오피스 문서 어플리케이션의 보안이 점차 강화되어왔음에도 불구하고 공격기술의 고도화, 사회공학 기법의 복합적 사용으로 현재도 오피스 문서를 통한 공격이 유효하다. 본 논문에서는 악성 OOXML(Office Open XML) 문서 탐지 방법과 탐지를 위한 프레임워크를 제안한다. 이를 위해 공격에 사용된 악성파일과 정상파일을 악성코드 저장소와 검색엔진에서 수집하였다. 수집한 파일들의 악성코드 유형을 분석하여 문서 내 악성 여부를 판단하는데 유의미한 의심 개체요소 6가지를 구분하였으며, 악성코드 유형별 개체요소 탐지 방법을 제안한다. 또한, 탐지 방법을 바탕으로 OOXML 문서 기반 악성코드 탐지 프레임워크를 구현하여 수집된 파일을 분류한 결과 악성 파일셋 중 98.45%에 대해 탐지함을 확인하였다.

Abstract ▼ AI-Helper

The proportion of attacks via office documents is increasing in recent incidents. Although the security of office applications has been strengthened gradually, the attacks through the office documents are still effective due to the sophisticated use of social engineering techniques and advanced atta...

The proportion of attacks via office documents is increasing in recent incidents. Although the security of office applications has been strengthened gradually, the attacks through the office documents are still effective due to the sophisticated use of social engineering techniques and advanced attack techniques. In this paper, we propose a method for detecting malicious OOXML(Office Open XML) documents and a framework for detection. To do this, malicious files used in the attack and benign files were collected from the malicious code repository and the search engine. By analyzing the malicious code types of collected files, we identified six "suspicious object" elements that are meaningful in determining whether they are malicious in a document. In addition, we implemented an OOXML document-based malware detection framework based on the detection method to classify the collected files and found that 98.45% of malicious filesets were detected.

주제어

표/그림 (21)

그림 Fig. 1. Distribution of exploits used in cyber attacks, by type of application attacked
그림 Fig. 2. Common format of OOXML Microsoft Office
표 Table 1. The Source of Our Data-Set
표 Table 2. Class of Data-Set
표 Table 3. Classification of Office Files by Malicious Object Type
표 Table 4. Vulnerability Files Classification
그림 Fig. 3. OLE Object with Equation Editor
그림 Fig. 4. OLE Object with JAR
그림 Fig. 5. OLE Object with VBS
그림 Fig. 6. External referral warning Messages
그림 Fig. 7. DDE edit selected formula example
그림 Fig. 8. DDEAUTO keyword code
그림 Fig. 9. DDE Service with powershell
그림 Fig. 10. ActiveX Control Object
그림 Fig. 11. EPS binary included script
그림 Fig. 12. EPS obfuscated script
그림 Fig. 13. External OLE Object
그림 Fig. 14. Model of OOXML document detection framework
그림 Fig. 15. Detection Process of Malicious OOXML Document
표 Table 5. Comparison between the Anti-Virus and the suggested method
표 Table 6. CVE-Files Detection Result

질의응답

핵심어	질문	논문에서 추출한 답변
	DDE 기능의 목적은 무엇인가?	일반적으로 “DDE” 또는 “DDEAUTO” 키워드를 사용하여 해당 기능을 호출한다. DDE 기능은 원격지에 있는 제3자에게 정보가 공유되도록 하거나 프로그램 간 편의성 있는 통신을 목적으로 한다. 이를 통해 공격자는 임의의 코드 실행 또는 외부 개체를 참조하여 코드 또는 바이너리를 실행할 수 있다.
	OOXML 문서에는 어떤 형태가 있는가?	OOXML(Office Open XML) 문서는 구조적으로 오피스 내의 기능을 이용한 형태와 파일 내부에 포함 가능한 외부개체를 이용한 형태, 실행 시 동적으로 참조되어 다운로드되는 개체를 이용한 형태가 있다. 본 논문에서는 이에 발생할 수 있는 문제점에 대해서 다루고, 악성 OOXML 문서 파일을 분석하여 공격을 위해 포함된 개체에 따라 사용된 공격 기법을 분류하여 해당 악성 개체를 기반으로 한 탐지방법 및 탐지 프레임워크를 제안한다.
	Office Open XML 문서 규격은 무엇을 포함하고 있는가?	Office Open XML은 XML을 기반으로 한 파일포맷으로서, Microsoft가 추진하여 ECMA-376[9], ISO/IEC 29500[10]으로 승인된 표준 포맷이다. 이 문서 규격은 Word processing documents, Presentation, Spreadsheet를 포함하고 있다. 확장자는 기존의 확장자에서 “x”의 postfix가 추가된 형태로 .

참고문헌 (15)

Kaspersky, "Kaspersky Security Bulletin STATISTICS 2016-2019", https://securelist.com, March. 2020.
J. Hurtuk, M. Chovanec, M. Kicina and R. Billik, "Case Study of Ransomware Malware Hiding Using Obfuscation Methods," International Conference on Emerging eLearning Technologies and Applications, pp. 216-217, 2018.
Bora Park, Jungheum Park and Sangjin Lee, "Data concealment and detection in Microsoft Office 2007 files," Digital Investigation, vol. 5(3-4), pp. 149-152, 2009.
Muhammad Ali Raffay et al. "Data Hiding and Detection in Office Open XML (OOXML) Documents," University of Ontario Institute of Technology, pp. 52-57, 2011.
Fu Z., Sun X., Zhou L. and Shu J. "New Forensic Methods for OOXML Format Documents," Digital-Forensics and Watermarking, IWDW, pp. 507-511, 2013.
SungHye Cho and SangJin Lee, "A Research of Anomaly Detection Method in MS Office Document," KIPS Transactions on Computer and Communication Systems, 6(2), pp. 87-94, Feb. 2017.

원문보기 상세보기
M. Li, Y. Liu, M. Yu, G. Li, Y. Wang and C. Liu, "FEPDF: A Robust Feature Extractor for Malicious PDF Detection," IEEE Trustcom/BigDataSE/ICESS, NSW, pp. 218-224, 2017.
N. Nissim, A. Cohen and Y. Elovici, "ALDOCX: Detection of Unknown Malicious Microsoft Office Documents Using Designated Active Learning Methods Based on New Structural Feature Extraction Methodology," IEEE Transactions on Information Forensics and Security, vol. 12, no. 3, pp 631-646, 2017.

상세보기
ECMA-376, "Office Open XML File Formats", https://www.ecma-international.org/publications/standards/Ecma-376.htm, Feb. 2020.
ISO/IEC 29500, "Office Open XML File Formats", https://www.iso.org/standard/71691.html, Feb. 2020.
Australian Cyber Security Centre(ACSC), "Microsoft Office Macro Security" Security Report, https://www.cyber.gov.au/publications/microsoft-office-macro-security, Oct, 2019.
Australian Cyber Security Centre(ACSC), "Hardening Microsoft Office 365 ProPlus, Office 2019 and Office 2016" Security Report, https://www.cyber.gov.au/publications/hardening-microsoft-office-365-proplus-office-2019-and-office-2016, Oct, 2019.
GreyHatHacker.NET, "Detecting Malicious Microsoft Office Macro Documents", www.greyhathacker.net/?p872, Oct, 2019.
GreyHatHacker.NET, "Running Macros via ActiveX Controls", www.greyhathacker.net/?p948, Oct, 2019.
Microsoft Open Specifications, "2.1.839 Part 1 Section 18.14.4, ddeLink (DDE Connection)", https://docs.microsoft.com/en-us/dotnet/api/documentformat.openxml.spreadsheet.ddelink?viewopenxml-2.8.1, Oct, 2019.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

[국내논문] Office Open XML 문서 기반 악성코드 분석 및 탐지 방법에 대한 연구
A Study of Office Open XML Document-Based Malicious Code Analysis and Detection Methods 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

주제어

표/그림 (21)

표/그림 (21)

질의응답

참고문헌 (15)

이 논문을 인용한 문헌

저자의 다른 논문 :

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

[국내논문] Office Open XML 문서 기반 악성코드 분석 및 탐지 방법에 대한 연구 A Study of Office Open XML Document-Based Malicious Code Analysis and Detection Methods 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

주제어

표/그림 (21) 모든 표/그림 보기

표/그림 (21) 슬라이드로 보기

질의응답

참고문헌 (15)

이 논문을 인용한 문헌

저자의 다른 논문 :

이상진 (213)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

[국내논문] Office Open XML 문서 기반 악성코드 분석 및 탐지 방법에 대한 연구
A Study of Office Open XML Document-Based Malicious Code Analysis and Detection Methods 원문보기

초록
AI-Helper

표/그림 (21)

표/그림 (21)