• 융합정보논문지
• /
• 제11권6호
• /
• pp.24-32
• /
• 2021

최근 랜섬웨어(ransomware) 공격은 이메일, 피싱(phishing), 디바이스(Device) 해킹 등 다양한 경로를 통해 감염되어 피해 규모가 급증하는 추세이다. 그러나 기존 알려진 악성코드(정적/동적) 분석 엔진은 APT(Aadvanced Persistent Threat)공격처럼 발전된 신종 랜섬웨어에 대한 탐지/차단이 매우 어렵다. 본 연구는 그래프 데이터베이스를 기반으로 랜섬웨어 악성 행위를 모델링(Modeling)하고 랜섬웨어에 대한 새로운 다중 복합 악성 행위를 탐지하는 방법을 제안한다. 연구 결과 기존 관계형 데이터베이스와 다른 새로운 그래프 데이터 베이스 환경에서 랜섬웨어의 패턴 탐지가 가능함을 확인하였다. 또한, 그래프 이론의 연관 관계 분석 기법이 랜섬웨어 분석 성능에 크게 효율적임을 증명하였다.

• 정보보호학회논문지
• /
• 제21권2호
• /
• pp.37-47
• /
• 2011

네트워크 및 컴퓨터의 발전에 따라 악성코드 역시 폭발적인 증가 추이를 보이고 있으며, 새로운 악성코드의 출현과 더불어 기존의 악성코드를 이용한 변종 역시 큰 몫을 차지하고 있다. 특히 실행압축 기술과 코드 난독화를 이용한 변종들은 제작이 쉬울 뿐만 아니라, 자신의 시그너쳐 혹은 구문적 특징을 변조할 수 있어, 악성코드 제작자들이 널리 사용하는 기술이다. 이러한 변종 및 신종 악성코드를 빠르게 탐지하기 위해, 본 연구에서는 행위 그래프 분석을 통한 악성코드 모듈별 유사도 분석 기법을 제안한다. 우리는 우선 악성코드들에서 일반적으로 사용하는 2,400개 이상의 API 들을 분석하여 총 128개의 행위로 추상화 하였다. 또한 동적 분석을 통해 악성코드들의 API 호출 순서를 추상화된 그래프로 변환하고 부분 그래프들을 추출하여, 악성코드가 가진 모든 행위 부분 집합을 정리하였다. 마지막으로, 이렇게 추출된 부분 집합들 간의 비교 분석을 통하여 해당 악성코드들이 얼마나 유사한지를 분석하였다. 실험에서는 변종 을 포함한 실제 악성코드 273개를 이용하였으며, 총 10,100개의 분석결과를 추출하였다. 실험결과로부터 행위 그래프를 이용하여 변종 악성코드가 모두 탐지 가능함을 보였으며, 서로 다른 악성코드들 간에 공유되는 행위 모델 역시 분석할 수 있었다.

• 정보보호학회논문지
• /
• 제29권1호
• /
• pp.105-115
• /
• 2019

최근 지능화된 안드로이드 악성코드는 정적 분석만으로는 악성행위에 대한 탐지가 어려워지고 있다. SO파일, 동적로딩을 이용한 코드 호출 및 문자열 난독화를 적용한 악성코드의 경우 분석을 위해 다양한 툴을 이용하여도 원본 코드에 대한 정보 추출이 어렵다. 이 문제를 해결하기 위해서 다양한 동적 분석기법이 있지만, 동적 분석은 루팅 환경이나 에뮬레이터 환경을 요구한다. 그러나 동적 분석의 경우 악성코드들이 루팅 및 에뮬레이터 탐지를 실시하여 분석 환경을 탐지 하고 있다. 본 논문은 이를 해결하고자 다양한 루팅 탐지 기법을 조사하여 실단말에서 루팅탐지 우회 환경을 구축하였다. 또한, Xposed를 이용하여 안드로이드 악성코드 분석을 위한 SDK 코드 후킹 모듈을 설계하였고, 코드 흐름을 위한 인텐트 추적, 동적 로딩 파일에 대한 정보, 다양한 API 정보 추출을 구현하였다. 이를 통해 악성코드의 난독화 된 정보 및 다양한 악성 행위 정보를 분석하고자 한다.

• 융합정보논문지
• /
• 제12권4호
• /
• pp.126-132
• /
• 2022

현재 스마트폰의 급격한 보급과 IoT을 대상으로 활성화로 인해 소셜네트워크 서비스를 이용하여 악성코드를 유포하거나 지능화된 APT와 랜섬웨어 등과 같은 지능적인 침입이 진행되고 있고 이로 인한 피해도 이전의 침입보다는 많이 심각해지고 커지고 있는 실정이다. 따라서 본 논문에서는 이런 지능적인 악성 코드로 이루어지는 침입행위를 탐지하기 위하여 지능적인 침입 상황 인식 추론 시스템을 제안하고, 제안한 시스템을 이용하여 지능적으로 진행되는 다양한 침입 행위를 조기에 탐지하고 대응하게 하였다. 제안 시스템은 이벤트 모니터와 이벤트 관리기, 상황 관리기, 대응 관리기, 데이터베이스로 구성되어 있으며 각 구성 요소들 사이에 긴밀한 상호 작용을 통해 기존에 인식하고 있는 침입 행위를 탐지하게 하고 새로운 침입 행위에 대해서는 학습을 통해 추론 엔진의 성능을 개선하는 기능을 통하여 탐지하게 하였다. 또한, 지능적인 침입 유형인 랜섬웨어를 탐지하는 시나리오 통하여 제안 시스템이 지능적인 침입을 탐지하고 대응함을 알 수 있었다.

• 융합보안논문지
• /
• 제15권1호
• /
• pp.3-9
• /
• 2015

본 논문에서는 테인트드로이드(TaintDroid)를 이용한 스미싱 탐지 기법을 제안한다. 제안하는 시스템은 스마트폰 사용자가 스미싱으로 의심되는 URL이 포함된 문자메시지를 수신 하였을 때 테인트드로이드 서버로 URL을 전송하여 테인트드로이드 서버의 가상디바이스에 해당 애플리케이션을 설치하여 악성행위를 탐지한다. 실제 스마트폰에서 스미싱으로 의심되어 설치하지 못하였던 애플리케이션은 가상 디바이스를 통하여 테스트하고 악성행위를 하는 애플리케이션인지의 여부를 판별한다. 본 논문에서 제안한 테인트드로이드를 이용한 스미싱 탐지 기법은 새로운 형태의 스미싱 문자메시지의 탐지가 가능하며 사용자가 분석결과를 통해 어떤 애플리케이션인지의 확인이 가능하다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2012년도 한국컴퓨터종합학술대회논문집 Vol.39 No.1(C)
• /
• pp.280-282
• /
• 2012

스마트폰 사용자가 증가함에 따라 스마트폰 사용자를 노리는 악성코드 또한 증가하고 있다. 국내의 다양한 스마트폰 운영체제 중 특히 안드로이드의 경우 오픈소스 정책 및 다양한 기기의 보급을 통해 사용자가 증가함에 따라 악성코드 또한 증가하고 있다. 현재 대부분의 악성코드 탐지 프로그램의 경우 위변조 혹은 새로운 악성코드에 대응이 어렵다는 문제점이 존재한다. 이에 본 논문에서는 행위기반 탐지 및 머신러닝 기법 적용을 통한 악성코드 탐지 방법을 제시하고자 한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2013년도 추계학술발표대회
• /
• pp.771-773
• /
• 2013

모바일 단말은 다양한 서비스와 컨텐츠를 지원하지만, 최근 모바일 악성코드의 급증으로 인하여 사용자에게 개인 정보 유출, 요금 과다 등의 피해를 초래하고 있다. 특히, 안드로이드 플랫폼은 오픈 플랫폼으로서 공격자들이 악성코드를 배포하기에 유리한 환경을 가지고 있어 시그니처/행위기반 분석방법을 통한 악성코드 탐지 연구가 활발히 진행되고 있다. 본 논문에서는 안드로이드 플랫폼에서 악성코드를 탐지하기 위한 Feature를 선정하였다. 또한 SVM(Support Vector Machine) 기계학습 알고리즘을 통하여 악성코드 탐지성능을 분석하고 우수성을 검증하였다.

• 한국산학기술학회논문지
• /
• 제20권7호
• /
• pp.613-621
• /
• 2019

최근 IoT, 클라우드 컴퓨팅 기술이 발전하면서 IoT 디바이스를 감염시키는 악성코드와 클라우드 서버에 랜섬웨어를 유포하는 신종 악성코드가 등장하여 보안 위협이 증가하고 있다. 본 연구에서는 기존의 시그니처 기반의 탐지 방식과 행위기반의 탐지 방식의 단점을 보완할 수 있도록 난독화된 스크립트 패턴을 분석하여 점검하는 탐지 기법을 제안한다. 제안하는 탐지 기법은 웹사이트 통해 유포되는 악성 스크립트 유형을 분석하여 유포패턴을 도출한 후, 도출된 유포패턴을 등록하여 점검함으로써 기존의 탐지룰 기반의 탐지속도를 유지하면서도 제로데이 공격에 대한 탐지가 가능한 악성 스크립트 패턴분석 기반의 악성코드 탐지 기법이다. 제안한 기법의 성능을 검증하기 위해 프로토타입 시스템을 개발하였으며, 이를 통해 총 390개의 악성 웹사이트를 수집, 분석에 의해 도출된 10개의 주요 악성 스크립트 유포패턴을 실험한 결과, 전체 항목 평균 약 86%의 높은 탐지율을 보였으며, 기존의 탐지룰 기반의 점검속도를 유지하면서도 제로데이 공격까지도 탐지가 가능한 것을 실험으로 입증하였다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2012년도 한국컴퓨터종합학술대회논문집 Vol.39 No.1(C)
• /
• pp.221-223
• /
• 2012

안드로이드 모바일 플랫폼 환경에서 정보유출, 과금유발 그리고 피싱과 같은 행위를 하는 대부분의 악성코드는 안드로이드 환경에서 기본적으로 제공되는 API(Application Programming Interface)를 이용한 것으로, 이러한 악성코드 탐지 방법으로는 정적 분석과 동적 분석 방법이 있다. 현재까지 두 가지 분석 방법에 대한 연구가 활발히 진행되고 있으며 두 가지 방식을 혼합한 형태의 검증 프로세스가 제안되고 있다. 그러나 본 논문에서 다루어지는 Radio Interface Layer 에서의 악성행위는 안드로이드 모바일 기기의 통신칩에 직접적으로 명령을 입력하는 방식으로, 그동안 악성코드 형태로 발견된 사례가 없으며, 이로 인해 발생 가능한 피해가 크므로 관련 내용을 살펴보고 대응 방안을 제시하고자 한다.

• 한국통신학회논문지
• /
• 제42권1호
• /
• pp.193-204
• /
• 2017

인터넷 시스템의 보안은 백신을 최신으로 업데이트하고, 신종 악성코드를 탐지해 내는 능력에 달려있다. 하지만, 급변하는 인터넷 환경과 더불어, 악성코드는 끊임없이 변종을 만들어내고 더욱 지능적으로 진화하고 있어 현재 운용중인 시그니쳐 기반 탐지체계로 탐지되지 않는다. 따라서, 본 연구에서는 악성코드의 네트워크 행위 패턴을 추출하여 DNA 서열 유사도를 비교하여 활용하는 유사 시퀀스 정렬 알고리즘을 적용하여 악성코드를 분류하는 기법을 제안한다. 제안한 기법을 실제 네트워크에서 수집된 악성코드 샘플 766개에 적용하여 유사도를 비교한 결과 40.4%의 정확도를 얻었다. 이는 코드나 다른 특성을 배제하고 악성코드의 네트워크 행위만으로 분류했다는 점을 미루어 볼 때 앞으로 더 발전 가능성이 있을 것으로 기대된다. 또한 이를 통해 공격그룹을 예측하거나 추가적인 공격을 예방할 수 있다.