• Proceedings of the Korea Information Processing Society Conference
• /
• 2010.11a
• /
• pp.1252-1255
• /
• 2010

기존의 단일 시그니쳐를 이용한 악성 코드 침입 탐지 시스템은 자신의 컨텐츠를 변형시키는 변형웜을 잡기에는 적합하지 않다. 변형웜을 탐지하기 위한 노력으로 변형웜에 적합한 시그니쳐를 만들기 위한 노력이 있어왔다. 이 연구는 기존의 변형웜 탐지 시그니쳐 방법들을 분석하고 비교하여, 상호 보완적인 멀티 시그니쳐 방법을 제안한다. 이 방법은 정확도 높은 변형웜 탐지 시스템을 구성하기 위한 근본 기술로 활용될 것으로 기대한다.

• The Journal of the Korea Contents Association
• /
• v.7 no.11
• /
• pp.94-101
• /
• 2007

We introduce the way to detect the mutation worm. We implemented the program that can generate signature using LCSeq(Longest Common Subsequence) technique in Suffix Tree studied as pattern recognition algorithm. We also showed the process to detect the mutation of CodeRed worm and Nimda worm and evaluated signatures generated by snort and LCSeq.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2010.11a
• /
• pp.1458-1461
• /
• 2010

작년 7월 7일에 있었던 DDoS 공격과 같이 악성 코드로 인한 피해의 규모가 해마다 증가하고 있다. 특히 변형 웜(Polymorphic Worm)은 기존의 방법으로 1차 공격에서의 탐지가 어렵기 때문에 그 위험성이 더 크다. 이에 본 연구에서는 바이오 인포매틱스(Bioinformatics) 분야에서 유전자들의 유사성과 특징을 찾기 위한 방법 중 하나인 Local Alignment를 소개하고 이를 변형 웜 탐지에 적용한다. 또한 수행의 병렬화 및 알고리즘 변형을 통하여 기존 알고리즘의 $O(n^4)$수행시간이라는 단점을 극복한다. 병렬화는 NVIDIA사의 GPU를 이용한 CUDA 프로그래밍과 AMD사의 GPU를 사용한 OpenCL 프로그래밍을 통하여 수행되었다. 이로써 각 GPGPU 플랫폼에서의 Local Alignment를 이용한 변형 웜 탐지 알고리즘의 성능을 비교하였다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2006.10c
• /
• pp.515-520
• /
• 2006

다형성 웜은 새로운 감염시도 때마다. 그 형태가 계속 변형되기 때문에 시그너처 기반의 탐지 기법으로는 탐지될 수 없다. 또한 이러한 다형성 웜은 주로 공개된 다형성 엔진을 이용하여 쉽게 자동적으로 생성할 수 있다. 본 연구에서는 네트워크 트래픽에 포함된 실행코드의 명령어 분포를 분석하여, 다형성 웜을 포함한 트래픽을 탐지하는 기법을 제시한다. 또한 제안하는 시스템의 성능을 모의 실험을 통해 평가한 결과, 다형성 엔진으로 생성된 웜은 전부 탐지되고 약 0.0286%의 낮은 오탐지율을 보인다.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.19 no.4
• /
• pp.29-39
• /
• 2009

In order to respond against worms which are malicious programs automatically spreading across communication networks, worm detection approach by generating signatures resulting from analyzing worm-related packets is being mostly used. However, to avoid such signature-based detection techniques, usage of exploits employing mutated polymorphic types are becoming more prevalent. In this paper, we propose a novel static analysis approach for detecting the decryption routine of polymorphic exploit code, Our approach detects a code routine for performing the decryption of the encrypted original code which are contained with the polymorphic exploit code within the network flows. The experiment results show that our approach can detect polymorphic exploit codes in which the static analysis resistant techniques are used. It is also revealed that our approach is more efficient than the emulation-based approach in the processing performance.