[논문]API 호출 빈도를 이용한 악성코드 패밀리 탐지 및 분류 방법

조우진; 김형식

doi:10.13089/jkiisc.2021.31.4.605

API 호출 빈도를 이용한 악성코드 패밀리 탐지 및 분류 방법
Malware Family Detection and Classification Method Using API Call Frequency 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.31 no.4, 2021년, pp.605 - 616

초록
AI-Helper

악성코드는 임의의 프로그램을 대상으로 정확하게 식별할 수 있어야 하지만, 분류 기법을 이용하는 기존 연구들은 제한된 샘플에만 적용할 수 있다는 한계가 있다. 본 논문은 임의의 프로그램으로부터 악성코드 패밀리를 탐지하고 분류하기 위해 API 호출 빈도를 이용하는 방법을 제안한다. 제안 방법은 특정 API에 대한 호출 빈도가 임계값을 넘는지 검사하는 규칙을 정의하고, 해당하는 규칙에 의한 비율 정보를 활용하여 특정 패밀리를 식별하는 것이다. 본 논문에서는 결정트리 알고리즘을 응용하여 학습셋으로부터 특정 패밀리를 가장 잘 식별할 수 있는 값으로 임계값을 결정하였다. 4,443개의 샘플을 이용해 학습셋과 시험셋을 나눠 성능을 측정한 결과 패밀리 탐지의 경우 85.1%의 정밀도와 91.3%의 재현율을 보이고, 분류의 경우 97.7%의 정밀도와 98.1%의 재현율을 보여 악성코드 패밀리를 효과적으로 식별할 수 있음을 확인하였다.

Abstract ▼ AI-Helper

While malwares must be accurately identifiable from arbitrary programs, existing studies using classification techniques have limitations that they can only be applied to limited samples. In this work, we propose a method to utilize API call frequency to detect and classify malware families from arbitrary programs. Our proposed method defines a rule that checks whether the call frequency of a particular API exceeds the threshold, and identifies a specific family by utilizing the rate information on the corresponding rules. In this paper, decision tree algorithm is applied to define the optimal threshold that can accurately identify a particular family from the training set. The performance measurements using 4,443 samples showed 85.1% precision and 91.3% recall rate for family detection, 97.7% precision and 98.1% reproduction rate for classification, which confirms that our method works to distinguish malware families effectively.

주제어

표/그림 (10)

표 Table 1. API frequency of 'archsms' family
표 Table 2. API frequency of 'amonetize' family
표 Table 3. Number of samples per family
그림 Fig. 1. Silhouette mean per threshold for arbitrary samples
그림 Fig. 2. F1 score per threshold for arbitrary families
표 Table 4. Performance of detection and classification
표 Table 5. Performance comparison for classification
표 Table 6. Performance comparison for detection
그림 Fig. 3. F1 score per threshold for 10 families
그림 Fig. 4. Performance per threshold for arbitrary families

AI 본문요약
AI-Helper

문제 정의

본 논문에서는 API 호출 빈도를 이용한 악성코드 패밀리 탐지 및 분류 방법을 제안했다. 제안 방법은 특정 API에 대한 호출 빈도가 임계값을 넘는지 검사하는 규칙을 정의하고, 해당하는 규칙의 비율에 기반하여 특정 패밀리를 식별하기 위한 것이다.
본 연구에서는 이러한 문제점들을 극복하기 위해 API 호출 빈도를 이용한 악성코드 패밀리 탐지 및 분류 방법을 제안한다. 제안 방법은 특정 API에 대한 호출 빈도가 임계값을 넘는지 검사하는 규칙을 정의하고, 해당하는 규칙의 비율에 기반하여 특정 패밀리를 식별하는 것이다.

제안 방법

기존 연구에서는 악성코드가 양성이고, 정상코드 를 음성으로 간주하여 성능을 측정했지만, 본 연구에서는 특정 패밀리를 탐지하는 것이 목표이므로 10개의 패밀리에 해당하면 양성, 나머지는 모두 음성으로 간주하여 성능을 측정했다. 즉, 시험셋 1,778개 샘플 중에서 10개의 패밀리에 해당하는 650개의 샘플은 양성, 나머지 1,128개의 샘플은 음성으로 간주하고 측정했다.
본 논문에서는 API 호출 빈도를 이용한 악성코드 패밀리 탐지 및 분류 방법을 제안한다. 제안 방법은 특정 API에 대한 호출 빈도가 임계값을 넘는지 검사하는 규칙을 정의하고, 해당하는 규칙의 비율에 기반하여 특정 패밀리를 식별하는 것이다.
본 논문에서는 식별된 프로그램이 그룹에 포함될 수 있는지 검사하기 위해 API 개수를 이용한다. 많은 행위를 수행하는 프로그램의 경우 API 개수가 상대적으로 많을 것이기 때문에 그룹에 포함되기 위해 가질 수 있는 API 개수의 최댓값을 정의하면 효과적으로 제거할 수 있다.
위와 같은 과정을 통해 하나의 그룹으로부터 다수의 규칙을 정의할 수 있다. 본 연구에서는 하나의 그룹에서 정의된 규칙을 모두 포함하는 규칙 집합을 생성하여 패밀리를 식별하는 데 활용한다. 이때, 하나의 패밀리에는 여러 그룹이 존재하므로 그룹별로 규칙 집합이 생성되고, 각 규칙 집합은 독립적으로 악성코드 패밀리를 식별하는 데 활용된다.
제안 방법은 특정 API에 대한 호출 빈도가 임계값을 넘는지 검사하는 규칙을 정의하고, 해당하는 규칙의 비율에 기반하여 특정 패밀리를 식별하기 위한 것이다. 이때, 임계값을 결정하는 과정에서 결정트리 알고리즘을 응용하여 학습셋으로부터 특정 패밀리를 가장 잘 식별할 수 있는 값을 결정하도록 고안했다.
이를 위해 본 연구에서는 기계학습 기법을 이용해 학습셋으로부터 특정 패밀리를 가장 잘 식별할 수 있는 임계값을 결정한다. 이는 결정트리 알고리즘을 응용한 것으로 특정 패밀리의 샘플들이 호출한 빈도를 후보 임계값으로 하여 성능을 측정하고, 가장 높은 성능을 보이는 빈도를 임계값으로 선택하는 것이다.
본 논문에서는 API 호출 빈도를 이용한 악성코드 패밀리 탐지 및 분류 방법을 제안했다. 제안 방법은 특정 API에 대한 호출 빈도가 임계값을 넘는지 검사하는 규칙을 정의하고, 해당하는 규칙의 비율에 기반하여 특정 패밀리를 식별하기 위한 것이다. 이때, 임계값을 결정하는 과정에서 결정트리 알고리즘을 응용하여 학습셋으로부터 특정 패밀리를 가장 잘 식별할 수 있는 값을 결정하도록 고안했다.
본 연구에서는 이러한 문제점들을 극복하기 위해 API 호출 빈도를 이용한 악성코드 패밀리 탐지 및 분류 방법을 제안한다. 제안 방법은 특정 API에 대한 호출 빈도가 임계값을 넘는지 검사하는 규칙을 정의하고, 해당하는 규칙의 비율에 기반하여 특정 패밀리를 식별하는 것이다. 이때, 임계값은 결정트리 알고리즘을 응용하여 학습셋으로부터 특정 패밀리를 가장 잘 식별할 수 있는 값으로 결정한다.

대상 데이터

에서 선정한 패밀리를 제외하고, 10개 이상의 샘플이 존재하는 86개의 패밀리를 선정했다. 그리고, 전체 4,443개의 샘플을 6:4의 비율로 나눠 학습셋(2,665개)과 시험셋(1,778개)으로 설정했으며, 학습셋으로부터 86개의 패밀리에 대한 규칙 집합을 추출했다. 그리고, 추출된 규칙 집합을 시험셋에 적용하여 탐지 성능을 측정했는데, 규칙 집합의 일치율 임계값을 0%부터 100%까지 1%씩 증가시켜 101번의 탐지를 수행하여 Fig.
본 연구에서는 4,443개의 악성코드 중에서 샘플의 수가 가장 많은 10개 패밀리를 선정하고, 10개 패밀리에 대한 탐지 및 분류를 수행한다. 각 패밀리에 대한 샘플의 수와 타입은 Table 3.
우리는 유의미한 결과를 얻기 위해 전체 4,443개 샘플 중에서 유사도가 100%인 샘플 쌍을 제거하고 1,182개 샘플에 대해서 실험을 진행했다. 그리고, 적절한 임계값을 정의하기 위해 유사도를 0%부터 100%까지 1%씩 증가시켜 101번의 클러스터링을 수행했고, 전체 샘플의 실루엣 계수를 평균해서 Fig.
우리는 임의의 패밀리를 선정하기 위해 863개의 패밀리 중에서 Table 3.에서 선정한 패밀리를 제외하고, 10개 이상의 샘플이 존재하는 86개의 패밀리를 선정했다. 그리고, 전체 4,443개의 샘플을 6:4의 비율로 나눠 학습셋(2,665개)과 시험셋(1,778개)으로 설정했으며, 학습셋으로부터 86개의 패밀리에 대한 규칙 집합을 추출했다.
기존 연구에서는 악성코드가 양성이고, 정상코드 를 음성으로 간주하여 성능을 측정했지만, 본 연구에서는 특정 패밀리를 탐지하는 것이 목표이므로 10개의 패밀리에 해당하면 양성, 나머지는 모두 음성으로 간주하여 성능을 측정했다. 즉, 시험셋 1,778개 샘플 중에서 10개의 패밀리에 해당하는 650개의 샘플은 양성, 나머지 1,128개의 샘플은 음성으로 간주하고 측정했다. 이때, 하나의 샘플이 여러 패밀리에 탐지되면 가장 높은 일치율을 보이는 패밀리로 탐지한다.
패밀리 탐지의 경우 전체 악성코드 샘플 4,443개를 모두 이용하고, 패밀리 분류의 경우 4,443개 샘플 중에서 분류하고자 하는 10개 패밀리에 해당하는 샘플 1,582개만 이용해 성능을 측정한다. 두 실험 모두 데이터 셋을 6:4의 비율로 학습셋과 시험셋으로 나누고 학습셋에서 추출된 규칙 집합을 시험셋에 적용했으며, 총 5번의 반복 실험을 진행하여 평균 성능을 측정했다.

데이터처리

우리는 유의미한 결과를 얻기 위해 전체 4,443개 샘플 중에서 유사도가 100%인 샘플 쌍을 제거하고 1,182개 샘플에 대해서 실험을 진행했다. 그리고, 적절한 임계값을 정의하기 위해 유사도를 0%부터 100%까지 1%씩 증가시켜 101번의 클러스터링을 수행했고, 전체 샘플의 실루엣 계수를 평균해서 Fig. 1.
패밀리 분류의 경우 분류하고자 하는 패밀리의 샘플로만 데이터 셋을 구성하기 때문에 데이터 셋에 패밀리의 수와 전체 샘플의 수를 기입했다. 기존 연구들은 F1 score를 이용해 성능을 측정했기에 본 연구에서도 평균 정밀도와 재현율에 대해서 F1 score를 이용해 성능을 측정했다.
그렇지만, 패밀리별로 임계값을 정의하는 것은 많은 비용이 들기 때문에 대부분의 패밀리에 적용할 수 있으면서 최적의 값에 근접한 임계값을 정의할 필요가 있다. 두 번째 실험에서는 이를 위해 임의의 패밀리를 대상으로 규칙 집합 일치율에 따른 오탐과 미탐의 발생 비율을 분석하고, 최적의 임계값을 정의한다.
패밀리 탐지의 경우 전체 악성코드 샘플 4,443개를 모두 이용하고, 패밀리 분류의 경우 4,443개 샘플 중에서 분류하고자 하는 10개 패밀리에 해당하는 샘플 1,582개만 이용해 성능을 측정한다. 두 실험 모두 데이터 셋을 6:4의 비율로 학습셋과 시험셋으로 나누고 학습셋에서 추출된 규칙 집합을 시험셋에 적용했으며, 총 5번의 반복 실험을 진행하여 평균 성능을 측정했다. 이때, 패밀리 탐지와 분류 모두 식별해야 할 샘플은 1,582개 중 40%인 650개로 동일하다.
마지막으로, 정의된 임계값을 이용해 악성코드 패밀리 탐지 및 분류 작업을 수행하여 기존 연구와 성능을 비교한다.

성능/효과

F1 score는 재현율과 정밀도의 조화 평균이기 때문에 오탐과 미탐을 절충한 정도를 측정한 척도가 될 수 있다. 따라서, 규칙 집합을 적용하기 위한 일치율 임계값은 가장 높은 F1 score를 보이는 85%로 설정하는 것이 타당하다.
본 연구를 기존 연구와 비교한 결과 패밀리 분류의 경우 기존 연구보다 성능이 높았지만, 패밀리 탐지의 경우 기존 연구보다 성능이 떨어지는 것을 확인할 수 있었다. 그렇지만, 본 연구의 경우 기존 연구와 달리 패밀리 정보까지 알 수 있어 활용도가 더 뛰어나다.

후속연구

본 논문에서 제안된 방법은 기존 연구보다 악성코드 패밀리 분류에 대해서는 높은 성능을 보였지만, 탐지에 대해서는 기존 연구에 미치지 못하는 한계가 있었다. 그렇지만, 악성코드 여부만 판단하는 기존 연구와 달리 본 연구는 패밀리 정보를 식별할 수 있다는 점에서 보안 솔루션으로써의 활용도는 더 뛰어나다.
본 논문에서 제안된 방법은 기존 연구보다 악성코드 패밀리 분류에 대해서는 높은 성능을 보였지만, 탐지에 대해서는 기존 연구에 미치지 못하는 한계가 있었다. 그렇지만, 악성코드 여부만 판단하는 기존 연구와 달리 본 연구는 패밀리 정보를 식별할 수 있다는 점에서 보안 솔루션으로써의 활용도는 더 뛰어나다.
악성코드 패밀리 탐지 과정에서 특정 패밀리에 대해서만 정밀도가 낮은 경우가 있었는데, 이를 보완 하기 위해서 API 호출 빈도 외에 추가적인 정보를 결합하기 위한 방안을 연구할 필요가 있다.
패밀리 탐지 및 분류 성능을 정밀도와 재현율이라는 척도를 이용해 분석했지만, 본 연구의 우수성을 입증하기 위해서는 기존 연구와 동일한 척도를 이용해 성능을 비교할 필요가 있다. 먼저, 패밀리 분류에 관해서 기존 연구와 비교한 결과는 Table 5.

참고문헌 (16)

ranCert, "Ransomware", https://www.rancert.com/bbs/bbs.php?modeview&id679&bbs_idnews&page8&part&keyword, Apr. 2021.
wikipedia, "Ransomeware", https://en.wikipedia.org/wiki/Ransomware, Apr. 2021.
Uppal, Dolly, et al. "Malware detection and classification based on extraction of API sequences." 2014 International conference on advances in computing, communications and informatics (ICACCI). IEEE, pp. 2337-2342, Sept. 2014.
Garg, Vidhi, and Rajesh Kumar Yadav. "Malware Detection based on API Calls Frequency." 2019 4th International Conference on Information Systems and Computer Networks (ISCON). IEEE, pp. 400-404, Nov. 2019.
Hansen, Steven Strandlund, et al. "An approach for detection and family classification of malware based on behavioral analysis." 2016 International conference on computing, networking and communications (ICNC). IEEE, pp. 1-5, March. 2016.
VirusTotal, "Virustotal" https://support.virustotal.com/hc/en-us/articles/115002126889-How-it-works, Apr. 2021.
Sebastian, Marcos, et al. "Avclass: A tool for massive malware labeling." International symposium on research in attacks, intrusions, and defenses. Springer, Cham, pp. 230-253, Sept. 2016.
wikipedia, "Hierarchical clustering", https://en.wikipedia.org/wiki/Hierarchical_clustering, Apr. 2021.
Cuckoo Sandbox, "Cuckoo Sandbox", https://cuckoosandbox.org/, Apr. 2021.
CrowdStrike, "Malware Type", https://www.crowdstrike.com/cybersecurity-101/malware/types-of-malware/, Apr. 2021.
wikipedia, "Silhouette", https://en.wikipedia.org/wiki/Silhouette_(clustering), Apr. 2021.
Pang-Ning Tan, Introduction to Data Mining, Pearson Education, pp 588, 2019.
Alsulami, Bander, and Spiros Mancoridis. "Behavioral malware classification using convolutional recurrent neural networks." 2018 13th International Conference on Malicious and Unwanted Software (MALWARE). IEEE, pp. 103-111, March. 2018.
Kumar, Nitish, and Toshanlal Meenpal. "Texture-Based Malware Family Classification." 2019 10th International Conference on Computing, Communication and Networking Technologies (ICCCNT). IEEE, pp. 1-6, July. 2019.
Saxe, Joshua, and Konstantin Berlin. "Deep neural network based malware detection using two dimensional binary program features." 2015 10th International Conference on Malicious and Unwanted Software (MALWARE). IEEE, pp. 11-20, Oct. 2015.
Yuxin, Ding, and Zhu Siyi. "Malware detection based on deep learning algorithm." Neural Computing and Applications 31.2 (2019) pp. 461-472, July. 2017.

상세보기

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증