[논문]은닉형 Vault 안티포렌식 앱 탐색을 위한 XML 기반 특징점 추출 방법론 연구

김대규; 김창수

doi:10.7472/jksii.2022.23.2.61

[국내논문] 은닉형 Vault 안티포렌식 앱 탐색을 위한 XML 기반 특징점 추출 방법론 연구
A Study on the Feature Point Extraction Methodology based on XML for Searching Hidden Vault Anti-Forensics Apps 원문보기

Journal of Internet Computing and Services = 인터넷정보학회논문지, v.23 no.2, 2022년, pp.61 - 70

김대규 (Department of IT Convergence and Application Engineering, Pukyong National University) , 김창수 (Department of IT Convergence and Application Engineering, Pukyong National University)

초록
AI-Helper

스마트폰 앱을 사용하는 일반 사용자들은 개인이 소유하고 있는 사진, 동영상 등 개인정보를 보호하기 위해 Vault 앱을 많이 사용하고 있다. 그러나 범죄자들은 불법 영상들을 은닉하기 위해 Vault 앱 기능을 안티포렌식 용도로 악용하는 사례가 증가하고 있다. 이러한 앱들은 구글 플레이에 정상적으로 등록된 매우 많은 앱들 중 하나이다. 본 연구는 범죄자들이 이용하고 있는 Vault 앱들을 탐색하기 위해 XML 기반의 핵심어 빈도 분석을 통해 특징점을 추출하는 방법론을 제안하며, 특징점 추출을 위해서는 텍스트마이닝 기법을 적용한다. 본 연구에서는 은닉형 Vault 안티포렌식 앱과 비은닉형 Vault 앱 각각 15개를 대상으로 앱에 포함된 strings.xml 파일을 활용하여 XML 구문을 비교 분석하였다. 은닉형 Vault 안티포렌식 앱에서는 불용어처리를 1차, 2차 거듭할수록 더 많은 은닉 관련 단어가 높은 빈도로 발견된다. 본 연구는 공학 기술적인 관점에서 APK 파일을 정적 분석하는 대부분의 기존 방식과는 다르게 인문사회학적인 관점에서 접근하여 안티포렌식 앱을 분류해내는 특징점을 찾아내었다는 것에 의의가 있다. 결론적으로 XML 구문 분석을 통해 텍스트마이닝 기법을 적용하면 은닉형 Vault 안티포렌식 앱을 탐색하기 위한 기초 자료로 활용할 수 있다.

Abstract ▼ AI-Helper

General users who use smartphone apps often use the Vault app to protect personal information such as photos and videos owned by individuals. However, there are increasing cases of criminals using the Vault app function for anti-forensic purposes to hide illegal videos. These apps are one of the apps registered on Google Play. This paper proposes a methodology for extracting feature points through XML-based keyword frequency analysis to explore Vault apps used by criminals, and text mining techniques are applied to extract feature points. In this paper, XML syntax was compared and analyzed using strings.xml files included in the app for 15 hidden Vault anti-forensics apps and non-hidden Vault apps, respectively. In hidden Vault anti-forensics apps, more hidden-related words are found at a higher frequency in the first and second rounds of terminology processing. Unlike most conventional methods of static analysis of APK files from an engineering point of view, this paper is meaningful in that it approached from a humanities and sociological point of view to find a feature of classifying anti-forensics apps. In conclusion, applying text mining techniques through XML parsing can be used as basic data for exploring hidden Vault anti-forensics apps.

주제어

표/그림 (11)

그림 (그림 1) APK 파일 구성 (Figure 1) Structure of APK file
그림 (그림 2) 난독화 된 JAVA 소스코드 예시 (Figure 2) An example of obfuscated JAVA source code
표 (표 1) 은닉형 Vault 안티포렌식 앱 목록 (Table 1) Vault Anti-Forensic Application List
그림 (그림 3) 분석 절차 (Figure 3) Analysis process
그림 (그림 4) JADX로 디컴파일한 strings.xml 예시 (Figure 4) Example strings.xml decompiled with JADX
그림 (그림 5) strings.xml , 문자열 값 (Figure 5) strings.xml , string value
표 (표 2) 1차 불용어 처리 후, Top 20 빈도분석 결과 (Table 2) Top 20 frequency analysis results after primary stopword processing
표 (표 3) 2차 불용어 처리 후, Top 20 빈도분석 결과 (Table 3) Top 20 frequency analysis results after secondary stopword processing
표 (표 4) 2차 불용어 처리 후, Top 20 워드클라우드 (Table 4) Top 20 Word Cloud results after 2nd stopword processing
표 (표 5) 비은닉형 앱(Non-Vault App) 목록 (Table 5) Non-Vault Application List
표 (표 6) 1, 2차 불용어 처리 후, Top 20 빈도분석 결과 (Table 6) Top 20 frequency analysis results after 1st, 2nd stopword processing

AI 본문요약
AI-Helper

문제 정의

이를 위해 본 논문에서는 ‘은닉형 Vault 안티포렌식 앱 탐색을 위한 XML 기반 특징점 추출 방법론 연구’를 제안하고자 한다. 대상 앱은 구글 플레이스토어에 등록되어있는 앱들이며, 은닉형 Vault 안티포렌식 앱을 분석하여 특징점을 파악하고, 하루에도 수없이 개발 및 배포되는 앱들 중, 은닉 기능을 가지고 있는 앱을 사전 탐지하여 범죄에 이용되었을 경우에 수사기관에서는 신속하게 대응할 수 있도록 정보를 제공하는데 기여하고자 한다.
이를 위해 본 논문에서는 ‘은닉형 Vault 안티포렌식 앱 탐색을 위한 XML 기반 특징점 추출 방법론 연구’를 제안하고자 한다

제안 방법

본 논문에서는 불용어 제거를 위해 먼저 nltk의 english stopwords로 1차로 불용어 제거하고, 단어 길이가 3 이상인 단어만으로 필터링하였다. 단어 길이가 1이면 의미를 부여할 수 없고, 2인 단어는 ‘go’, ‘to’ 등 은닉을 표현하는 단어로서는 의미가 없으므로 제외하였다.
본 논문에서는 은닉형 기능 앱과 비은닉형 기능 앱에 대한 핵심어 빈도분석을 통해 은닉형 기능 앱에서 주로 사용되는 단어(토큰)를 확인하고자 한다.
본 논문에서는 텍스트 정제 단계를 1) 사전 정제(data cleaning), 2) 토근화(tokenization), 3) 정규화(normalization) 4) 불용어(stopwords) 제거 총 4단계로 나누어 진행한다.
그리고 비은닉형 앱과의 비교를 통해 분류 기준으로서 의미가 있는지에 대해서도 추가 연구가 필요하다. 본 논문은 이러한 한계점을 보완한 XML 기반 특징점 추출 방법을 제안한다.
텍스트 분석 단계에는 핵심어 빈도분석, 단어 빈도 분석, 군집분석, 토픽 모델링, 감성 분석, 연관어 분석 등 다양한 방법들이 있는데, 본 논문에서는 텍스트마이닝의 핵심어 빈도분석을 통한 특징점 추출 방법을 연구한다.

대상 데이터

구글 플레이에 등록되어 있는 은닉형 Vault 안티포렌식앱을 스마트폰이나 가상 에뮬레이터(Nox, Bluestacks 등) 에 다운로드 받아 APK 파일을 추출한다. 추출한 APK 파일은 디컴파일(decompile)하여 XML 파일을 추출하고, 태그 내에 있는 문장, 단어 등을 추출한다.
본 논문에서 적용한 2차 불용어 처리까지만을 볼 때 연구 대상 은닉형 Vault 안티포렌식 앱 15개에서 높은 빈도수를 가지는 단어 중 은닉형 앱에서만 사용된 은닉 관련 단어는 'album', 'alternating', 'applock', 'block', 'disguise', 'encrypted', 'fake', 'file', 'gallery', 'gallerylock', 'galleryvault', 'hidden', 'hidephoto', 'hiding', 'hint', 'indicating', 'keeper', 'keepersecurity', 'keepsafe', 'key', 'limit', 'limitation', 'lock', 'locked', 'locker', 'locking', 'passcode', 'pattern', 'piclock', 'picture', 'prevent', 'privacy', 'private', 'protect', 'protection', 'recover', 'recovered', 'recovery', 'restore', 'restricted', 'secret', 'secure', 'stealth', 'storage', 'unhide', 'unhided', 'unlock', 'vault' 'vaulty' 이다.
형태소(morpheme) 분석의 경우 영어는 공백 단위로 쉽게 구분할 수 있지만[19], 한국어는 영어와 달리 형태소가 어절을 이루는 형태이기 때문에 형태소 구분 방법이 복잡하다[20]. 본 논문에서는 글로벌 언어인 영어만을 대상으로 연구를 진행한다.

데이터처리

다음으로 NVA 15개 내에 존재하는 strings.xml을 1차 불용어와 VA 15개 관련 2차 불용어를 모두 불용어 처리한 뒤 빈도분석을 한다. NVA 15개 중에 3개(NVA1 ~ NVA3)만 선정하여 빈도분석(빈도 높은 순 top 20)을 한결 과는 다음 표 6과 같다.
다음으로 특수 기호나 nltk 패키지에서 제공하는 영어 (english) 불용어 외에도 은닉과 관련 없는 단어를 2차 불용어로 추가한 후, 다시 빈도분석을 진행한다. 결과(빈도 높은 순 top 20)는 다음 표 3과 같다.
본 논문에서는 은닉형 Vault 안티포렌식 앱 15개 내에 존재하는 strings.xml 구문 분석을 수행한다.
평가 단계에서는 은닉형 Vault 안티포렌식 앱과 비은닉형 안티포렌식 앱에 대한 핵심어 빈도분석 결과를 비교하여 특징점으로서 활용 가능한지에 대해 평가한다.

성능/효과

결론적으로 본 연구를 통해 strings.xml 파일을 활용해 텍스트마이닝 기법을 적용하면 은닉형 Vault 안티포렌식앱의 특징점으로 활용할 수 있음을 알 수 있다.
APK 파일은 결국 사람이 사용하는 안드로이드 스마트폰에서 작동하도록 개발된 것이므로 사람이 읽을 수 있는 형태의 텍스트가 포함되지 않을 수 없다. 그리고 사람이 읽어야 할 텍스트를 난독화 할 필요는 없기 때문에 해당 텍스트를 추출하여 텍스트마이닝 기법을 적용할 수 있는 것이다.
본 논문은 공학 기술적인 관점에서 APK 파일을 정적분석하는 대부분의 기존 방법과는 다르게 문헌 자료를 분석하는 용도로 사용되는 텍스트마이닝 기법을 활용하여 안티포렌식 앱을 분류해내는 특징점을 찾아내었다는데 의의가 있다. APK 파일은 결국 사람이 사용하는 안드로이드 스마트폰에서 작동하도록 개발된 것이므로 사람이 읽을 수 있는 형태의 텍스트가 포함되지 않을 수 없다.
본 연구의 방법론을 은닉형 Vault 안티포렌식 앱을 탐색하는 기법에 적용하게 되면, APK 파일을 단순히 디컴파일하는 것만으로도 쉽게 특징점을 찾아낼 수 있다는 점, 난독화 되어 있는 소스코드를 공학적으로 분석하여 탐색하는 것보다 더 쉽게 난독화를 우회하여 접근할 수 있는 점 등이 탐색의 효율성을 높일 수 있는 주요 포인트가 된다.
특히, 본 연구 대상 앱들은 ‘구글 플레이’에서 다운로드 가능한 앱들이고 일반 사용자들의 개인정보를 보호할 목적으로 개발된 것이기 때문에 사용자의 편의성을 위해 기능에 알맞은 용어를 사용한다는 점도 분석에 이점을 준다.

후속연구

본 연구는 텍스트마이닝의 기초적인 분석방법인 빈도 분석만을 통해 특징점을 찾아내었고, 더 많은 앱을 대상으로 연구하지 못했다는 한계점이 있다. 향후에는 크롤링 기법을 활용하여 더 많은 앱과 신규 앱들을 수집하고, 머신러닝을 이용하여 좀 더 정확하고 자동화된 은닉형 안티포렌식 앱 분류 기법을 연구할 예정이다.
본 연구는 텍스트마이닝의 기초적인 분석방법인 빈도 분석만을 통해 특징점을 찾아내었고, 더 많은 앱을 대상으로 연구하지 못했다는 한계점이 있다. 향후에는 크롤링 기법을 활용하여 더 많은 앱과 신규 앱들을 수집하고, 머신러닝을 이용하여 좀 더 정확하고 자동화된 은닉형 안티포렌식 앱 분류 기법을 연구할 예정이다.

참고문헌 (25)

"[Police Team 24/7] 'Trickery' that hides the shooting screen... 'Wits war' using big data", [Online]. Available: https://www.sedaily.com/NewsVIew/1VMZQY59CT
Jongman Kim, Sangjin Lee, "Digital forensic framework for illegal footage -Focused On Android Smartphone-", Journal of Digital Forensics, Vol.12, No.3, pp.39-54, 2018. http://doi.org/10.22798/kdfs.2018.12.3.39
"Application Fundamentals", [Online]. Available: https://developer.android.com/guide/components/fundamentals
Soojin Kang, Sumin Shin, Giyoon Kim, Jongsung Kim, "Forensic Analysis of Locking Pictures, Hiding Photos/Video and Safe Gallery/Camera Applications", Journal of Digital Forensics Vol 14, No. 2, pp.125-137, 2020. http://doi.org/10.22798/KDFS.2020.14.2.125
Xiaolu Zhanga, Ibrahim Baggilia, Frank Breitingera, "Breaking into the vault: Privacy, security and forensic analysis of Android vault applications", Computers & Security, Vol 70, pp. 516-531, 2017. http://dx.doi.org/10.1016/j.cose.2017.07.011

상세보기
Jiyong Park, Hyunmoo Lee, Giseop Noh, "Analysis of the impact of the US presidential candidate coverage of the US media on the Korean media: focusing on text mining", Journal of Korean Institute of Intelligent Systems Vol 31, No. 6, pp.510-518, 2021. http://doi.org/10.5391/JKIIS.2021.31.6.510

상세보기
Young-Man Kim and Jin Gu Lee, "Analysis of the Study Trend of Glass Ceiling by Period Using Text Mining", Journal of the Korea Contents Association, Vol 21, No. 8, pp.376-387, 2021. https://doi.org/10.5392/JKCA.2021.21.08.376

원문보기 상세보기
Do-Hee Kim and Min-Jeong Kim, "Analyzing the Trend of False.Exaggerated Advertisement Keywords Using Text-mining Methodology (1990-2019)", Journal of the Korea Contents Association, Vol 21, No. 4, pp.38-49, 2021. https://doi.org/10.5392/JKCA.2021.21.04.038

원문보기 상세보기
Jufri and Musdalifa Thamrin, "Political Influence Analysis Social Media Text Mining for Public Opinion: Case Study Makassar City", 2021 3rd International Conference on Cybernetics and Intelligent System (ICORIS), IEEE Xplore, 2021. https://doi.org/10.1109/ICORIS52787.2021.9649592
Junseok Cheon, Yeoneo Kim, Xiao Liu, Gyun Woo, "Clear: An Efficient Auto App Collector and Lightweight Classification Tool for Android", 2018 IEEE International Conference on Applied System Invention (ICASI), IEEE Xplore, 2021. https://doi.org/10.1109/ICASI.2018.8394390
Konstantinos F. Xylogiannopoulos, Panagiotis Karampelas, Reda Alhajj, "Text Mining for Malware Classification Using Multivariate All Repeated Patterns Detection", 2019 IEEE/ACM International Conference on Advances in Social Networks Analysis and Mining (ASONAM), IEEE Xplore, 2019. http://doi.org/10.1145/3341161.3350841
Daegyu Kim and Changsoo Kim, "A Study on the APK Classification of Hidden Anti-forensics", 2019 Fall Conference on Korea Society For Internet Information, Vol 20, No. 2, pp.63-64, 2019. https://www.cseric.or.kr/literature/ser_view.php?SnxGubunINME&modetotal&searchCateliterature&literatureY&moreY&researchY&guINME020D9&cmdqryview&SnxIndxNum216144&rownum1&totalCnt1&q1_t6rmA64yA6rec&listUrlL2xpdGVyYXR1cmUvcmVzdWx0LnBocD9TbnhHdWJ1bj1JTk1FJm1vZGU9dG90YWwmc2VhcmNoQ2F0ZT1saXRlcmF0dXJlJmxpdGVyYXR1cmU9WSZxMT0lQjElRTglQjQlRUIlQjElRDQmbW9yZT1ZJmYxPU1OJnJlc2VhcmNoPVk&f1MN&q1%B1%E8%B4%EB%B1%D4
"Android (operating system)", [Online]. Available: https://en.wikipedia.org/wiki/Android_(operating_system)
"Android application package", [Online]. Available: https://en.wikipedia.org/wiki/Android_application_package
Android for Developer, Reduce your app size, [Online]. Available: https://developer.android.google.cn/topic/performance/reduce-apk-size
"Proguard", [Online]. Available: https://www.guardsquare.com/proguard
"Android for Developer, Shrink, obfuscate, and optimize your app", [Online]. Available: https://developer.android.com/studio/build/shrink-code #groovy
"Android for Developer, App resources overview", [Online]. Available: https://developer.android.google.cn/guide/topics/resources/providing-resources
Kroeger, Paul R. "Analyzing grammar: An introduction", Cambridge University Press, pp. 12-14, 2005. https://doi.org/10.1017/CBO9780511801679
Shin Jung-ho, Han Young-seok, Park Young-chan, Choi Key-Sun, "An HMM Part-of-Speech Tagger for Korean Based on Wordphrase", Annual Conference on Human and Language Technology, Human and Language Technology, pp.389-394, 1994. https://doi.org/10.1075/cilt.136.37shi
"JADX", [Online]. Available: https://github.com/skylot/jadx
"Python 3.10.1 documentation, The ElementTree XML API", [Online]. Available: https://docs.python.org/3/library/xml.etree.elementtree.html
Min Song, "Text Mining", Chungram, 2017. http://www.kyobobook.co.kr/product/detailViewKor.laf?mallGbKOR&ejkGbKOR&barcode9788959725939
"NLTK Documentation, nltk.tokenize package", [Online]. Available: https://www.nltk.org/api/nltk.tokenize.html
Taeil Yoon, Suan Lee, "Analyzing text with Python", neulbom, 2019. http://www.kyobobook.co.kr/product/detailViewKor.laf?ejkGbKOR&mallGbKOR&barcode9788965550792&orderClickLAG&Kc

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증