초록

일 실시예에 따른 IAT(Import Address Table) 후킹 탐지 방법은, IAT를 사용하여 라이브러리를 임포트함에 따라 타겟 프로그램(Target Program)에서 사용되는 함수를 추출하는 단계; 상기 함수의 주소 값이 상기 IAT 내에 포함된 함수에 대응하는 주소 영역에 존재하는지 여부를 판단하는 단계; 및 상기 함수의 주소 값이 상기 주소 영역에 존재하는지 여부를 판단함에 따라 악성 행위를 수행하는 루트킷을 탐지하는 단계를 포함할 수 있다.

대표청구항 ▼

추출부, 판단부 및 탐지부를 포함하는 IAT 후킹 탐지 장치에서 수행되는 IAT(Import Address Table) 후킹 탐지 방법에 있어서,상기 추출부에서, IAT를 사용하여 라이브러리를 임포트함에 따라 타겟 프로그램(Target Program)에서 사용되는 함수를 추출하는 단계;상기 판단부에서, 상기 함수의 주소 값이 상기 IAT 내에 포함된 함수에 대응하는 주소 영역에 존재하는지 여부를 판단하는 단계; 및상기 탐지부에서, 상기 함수의 주소 값이 상기 주소 영역에 존재하는지 여부를 판단함에 따라 악성 행위를 수행하는 루트킷을

추출부, 판단부 및 탐지부를 포함하는 IAT 후킹 탐지 장치에서 수행되는 IAT(Import Address Table) 후킹 탐지 방법에 있어서,상기 추출부에서, IAT를 사용하여 라이브러리를 임포트함에 따라 타겟 프로그램(Target Program)에서 사용되는 함수를 추출하는 단계;상기 판단부에서, 상기 함수의 주소 값이 상기 IAT 내에 포함된 함수에 대응하는 주소 영역에 존재하는지 여부를 판단하는 단계; 및상기 탐지부에서, 상기 함수의 주소 값이 상기 주소 영역에 존재하는지 여부를 판단함에 따라 악성 행위를 수행하는 루트킷을 탐지하는 단계를 포함하고, 상기 판단부에서, 상기 함수의 주소 값이 상기 IAT 내에 포함된 함수에 대응하는 주소 영역에 존재하는지 여부를 판단하는 단계는,상기 IAT 내에 포함된 함수에 대응하는 주소 영역에 기반하여 상기 함수의 주소 값을 비교함에 따라 상기 IAT 내에 포함된 함수에 대응하는 주소 영역에 상기 함수의 주소 값이 포함되는지 여부를 판단하는 단계를 포함하고, 상기 탐지부에서, 상기 함수의 주소 값이 상기 주소 영역에 존재하는지 여부를 판단함에 따라 악성 행위를 수행하는 루트킷을 탐지하는 단계는,상기 함수의 주소 값이 상기 주소 영역에 존재하지 않을 경우, 상기 함수가 후킹된 것으로 판단하는 단계를 포함하는 IAT 후킹 탐지 방법.