[논문]은닉형 악성코드 분석을 위한 행위 추출연구 동향

황호; 문대성; 김익균

은닉형 악성코드 분석을 위한 행위 추출연구 동향
A Study of Research Issue about Behavior Extraction Technique for Evasive Malware 원문보기

황호 (과학기술연합대학원대학교) , 문대성 (과학기술연합대학원대학교) , 김익균 (한국전자통신연구원)

오늘날의 백신은 일반적으로 시그니처 기반 탐지법을 이용한다. 시그니처 탐지기법은 악성코드의 특정한 패턴을 비교하여 효율적이고 오탐율이 낮은 기법이다. 하지만 알려지지 않은 악성코드와 난독화 기법이 적용된 악성코드를 분석하는데 한계가 있다. 악성코드를 실행하여 나타나는 행위를 분석하는 동적분석 방법은 특정한 조건에서만 악성행위를 나타내는 은닉형 악성코드(Evasive Malware)를 탐지하는 데 한계를 지닌다. 본 논문에서는 은닉형 악성코드에 적용된 기법에 관하여 소개하고 나아가 이를 탐지하기 위한 방법에 관한 기술동향을 소개한다.

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문에서는 은닉형 악성코드에 대해 알아보고 악성행위를 추출하기 위한 노력을 소개한다. 2장에서는 은닉형 악성코드와 분석환경에 대해 소개한다.
본 논문은 은닉형 악성코드를 탐지하는 방법을 3가지로 나눠서 소개한다. 사용자의 입력을 모방하는 방법과 다양한 환경을 구성하는 방법, 그리고 Taint analysis를 이용한 방법이다.
난독화가 적용된 악성코드의 증가에 대응하기 위해 악성행위를 추출하는 범용적인 기법이 필요하다. 이에 본 논문은 악성행위를 추출하기 위한 기존의 연구에 대해 소개했다. 다양한 환경을 구성하는 방법과 사용자의 이벤트를 기록하고 모방하는 방법은 악성코드 제작자가 정의 할 모든 조건을 대비할 수 없다는 한계를 가진다.

제안 방법

Kirat[8]은 2장의 3가지 방법(에뮬레이션, 가상화, 하이퍼바이저)과 어떠한 분석도구로 설치하지 않은 실제 환경(bare metal)으로 나눠 악성코드를 실행하였다. 다른 분석환경에서 disk와 network의 변화를 판단하여 악성행위의 추출여부를 판단했다. Lindorfer[9]는 운영체제 이미지와 모니터링 방식을 조합한 악성행위 추출법을 제안했다.
첫째는 프로세스, 레지스트리, 드라이버의 존재를 확인하거나 IDT(Interrupt Descriptor Table)과 GDT(Global Descriptor Table)와 같은 주소와 같이 실제 환경과 분석환경의 구성의 차이를 확인한다. 둘째는 RDTSC(Read Time Stamp Counter) 명령어과 같이 실제 환경과 가상환경의 성능 차이를 비교한다. 셋째는 동적 분석의 자동화를 고려하여 마우스 이벤트와 같이 사용자의 입력을 기다리는 방법이 있다.
Peng과 Hwang은 정보의 흐름을 추적하는 taint analysis 기법을 이용하여 악성행위를 추출하는 방법을 제안했다[10-11]. 악성코드가 받은 입력을 추적하여 조건문에 도달하였을 때 실행경로들을 모두 탐색하기 위해 forced execution을 이용했고 메모리 충돌(memory corruption)이 발생했을 때 즉시 복구해주는 기법을 사용했다. 이 방법은 사용자의 입력을 모방하는 방법과 다양한 환경을 구성하는 방법이 환경을 사전에 모두 준비할 수 없는 단점을 해결할 수 있다.
Lindorfer[9]는 운영체제 이미지와 모니터링 방식을 조합한 악성행위 추출법을 제안했다. 언어와 설치 소프트웨어를 다르게 한 운영체제 이미지와 anubis나 driver와 같이 악성코드의 행위를 기록하는 방법을 조합하였다.
은닉형 악성코드가 분석환경에서 실행여부를 판단하는 조건을 크게 세 종류로 나뉜다 [5-6]. 첫째는 프로세스, 레지스트리, 드라이버의 존재를 확인하거나 IDT(Interrupt Descriptor Table)과 GDT(Global Descriptor Table)와 같은 주소와 같이 실제 환경과 분석환경의 구성의 차이를 확인한다. 둘째는 RDTSC(Read Time Stamp Counter) 명령어과 같이 실제 환경과 가상환경의 성능 차이를 비교한다.

성능/효과

첫째, 분석환경에 준비한 조건이 악성행위의 동작과 관련이 없을 가능성이 높다. 둘째, 사전에 악성코드에 대한 정보를 모르는 상태에서 현실적으로 악성코드 제작가가 사용한 모든 조건을 준비할 수 없다. 다양한 조건을 준비하면 할수록 하나의 악성코드의 분석에 필요한 분석환경의 수가 증가하여 자원의 낭비를 초래한다.
사용자의 입력을 모방하는 방법과 다양한 환경을 구성하는 방법은 두 가지 문제를 가진다. 첫째, 분석환경에 준비한 조건이 악성행위의 동작과 관련이 없을 가능성이 높다. 둘째, 사전에 악성코드에 대한 정보를 모르는 상태에서 현실적으로 악성코드 제작가가 사용한 모든 조건을 준비할 수 없다.

후속연구

뿐만 아니라 taint analysis을 이용한 악성행위 추출법은 프로그램의 크기나 실행경로의 수에 따라 추적해야 하는 정보의 양이 급속하게 증가하는 문제도 가진다. 앞으로 위 두 문제가 해결되어 실용적이고 범용적인 악성행위 추출법에 관한 연구가 진행되길 기대한다.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

은닉형 악성코드 분석을 위한 행위 추출연구 동향
A Study of Research Issue about Behavior Extraction Technique for Evasive Malware 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper

문제 정의

제안 방법

성능/효과

후속연구

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

은닉형 악성코드 분석을 위한 행위 추출연구 동향 A Study of Research Issue about Behavior Extraction Technique for Evasive Malware 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

성능/효과

후속연구

이 논문을 인용한 문헌

관련 콘텐츠

원문 보기

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

은닉형 악성코드 분석을 위한 행위 추출연구 동향
A Study of Research Issue about Behavior Extraction Technique for Evasive Malware 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper