• Journal of Korea Game Society
• /
• v.15 no.4
• /
• pp.69-78
• /
• 2015

As the online game industry has been growing rapidly, more and more malicious activities to gain economic benefits have been reported as well. Game bot is one of the biggest problems in the online game industry. So we proposed a bot detection method based on the ERG theory of motivation for the first time. Most of the previous studies focused on behavior-based detection by monitoring patterns of the specific actions. In this paper, we applied the motivation theory to analyze user behaviors on a real game dataset. The result shows that normal users in the game followed the ERG theory of motivation in the same way as it works in real world. But in the case of game bots, the theory could not be applied because the game bot has specific reasons, unlike normal game users. We applied the ERG theory to users to distinguish game bot users from normal users. We detected the game bot with high accuracy of 99.78% by applying the theory.

• Annual Conference of KIPS
• /
• 2018.10a
• /
• pp.218-221
• /
• 2018

최근 악성코드의 수가 급격하게 증가하고 있으며 단순히 악성 행위를 하는 것 뿐 아니라 안티디버깅과 같은 다양한 분석 방지 기능을 탑재하여 악성코드의 분석을 어렵게 한다. 역공학 방지 기법이 적용된 지능형 악성코드를 기존 분석 도구를 사용하여 분석하면 악성행위를 하지 않거나 임의로 자기 자신을 종료시키는 방식으로 분석이 용이하지 않다. 이러한 지능형 악성코드들은 분석하기 어려울 뿐만아니라 기존 백신의 탐지 기능에 전혀 제약을 받지 않는다. 본 논문은 이와 같은 최신 지능형 악성코드에 보다 빠르게 대처하기 위해 역공학 방지 기법이 적용된 악성코드들이 메모리상에서 종료되지 않고 정상 동작하여 악성행위를 자동으로 파악할 수 있는 동적 코드 계측 프레임워크를 제안한다. 또한, 제안한 프레임워크를 개념 검증하기 위해 프로토타입을 설계 및 구현하고, 실험을 통해 그 유효성을 확인한다.

• Annual Conference of KIPS
• /
• 2011.04a
• /
• pp.967-970
• /
• 2011

본 논문에서는 커널 모드에서 악성 봇이 호스트를 전염 시키는 순간 나타나는 일반적인 행동 특성들을 기반으로 효과적인 악성 봇 탐지가 가능한 프로그램을 구현하였다. 구현된 프로그램은 false-positive(오탐지)를 줄이기 위해서 악성 봇의 전염 과정에서 발생하는 복제 행동, 레지스트리 등록, uninstall 등록, 복제된 파일의 경로 정보 그리고 사용할 API 임포트 정보 등과 같은 악성 행위 탐지 기준 6가지를 고려한다.

• Journal of the Korea Academia-Industrial cooperation Society
• /
• v.16 no.10
• /
• pp.7211-7218
• /
• 2015

Tens of thousands of malicious codes are generated on average in a day. New types of malicious codes are surging each year. Diverse methods are used to detect such codes including those based on signature, API flow, strings, etc. But most of them are limited in detecting new malicious codes due to bypass techniques. Therefore, a lot of researches have been performed for more efficient detection of malicious codes. Of them, visualization technique is one of the most actively researched areas these days. Since the method enables more intuitive recognition of malicious codes, it is useful in detecting and examining a large number of malicious codes efficiently. In this paper, we analyze the relationships between malicious codes and Native API functions. Also, by applying the word cloud with text mining technique, major Native APIs of malicious codes are visualized to assess their maliciousness. The proposed malicious code analysis method would be helpful in intuitively probing behaviors of malware.

• Annual Conference of KIPS
• /
• 2015.04a
• /
• pp.434-437
• /
• 2015

스마트폰 사용자가 급격하게 증가함에 따라 BYOD(Bring Your Own Device)정책을 펼치는 회사들이 많아졌지만 스마트폰 악성코드로 인해 회사 네트워크 전체가 위험한 상황에 직면해있다. 현재 다양한 스마트폰 악성코드 탐지 기법들이 연구되고 있지만 대부분 단일 어플리케이션을 대상으로 탐지를 수행하고 네트워크 환경과는 독립적으로 탐지한다는 단점이 존재한다. 따라서 본 논문에서는 네트워크 환경을 고려한 Tagging 기반의 프로세스 행위 감시 에이전트를 제안한다.

• Review of KIISC
• /
• v.26 no.1
• /
• pp.92-98
• /
• 2016

IT기술이 발달함에 따라서 데이터는 대량화, 다양화 되었다. 그에 따라서 이를 침해하려는 다양한 공격기술들이 등장하고 있다. 특히, 지능형 타깃 지속 공격이라는 APT(Advanced Persistent Threat) 공격은 날로 발전하고 있다. APT공격 중에서도 특히 은닉형 악성코드를 이용한 공격들이 많이 등장하고 있다. 은닉형 악성코드는 사용자가 인식하지 못하도록 보안시스템을 우회하고, 중요 데이터의 수집 및 유출을 위하여 교묘하게 시스템에 숨어들어 악의적인 행위를 하는 형태의 악성코드를 말한다. 이러한 고도화된 악의적인 행위를 하는 악성코드를 탐지하고, 대응하기 위한 기술들은 아직까지 부족한 것이 현실이다. 본 논문에서 대표적인 은닉형 악성코드와 공격사례를 분석하여 이를 대응할 수 있는 방안을 고찰해본다. 또한 이를 통하여 고도화된 공격기술들에 대해 예방하고 대응하는 자료로 활용 가능하다.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2017.01a
• /
• pp.207-208
• /
• 2017

악성코드는 매년 그 수가 증가하고 있으며, 악성코드의 공격기법이 지능적이고 복합적으로 진화함에 따라 이에 대한 분석과 대응이 요구된다. 하지만 일부 악성코드는 감염여부를 숨기기 위하여 분석에 대한 회피방법으로 루트킷을 통하여 방어자에 의한 악성코드의 코드 분석을 우회함으로써 은폐된 상태로 악의적인 공격을 수행한다. 따라서 본 논문에서는 유저레벨에서 IAT(Import Address Table)의 정보를 후킹하여 악성 행위를 수행하는 루트킷을 탐지하는 대응방안을 제안한다.

• Annual Conference of KIPS
• /
• 2013.11a
• /
• pp.871-874
• /
• 2013

기존 PC에서 발생되는 악성코드가 안드로이드 모바일 플랫폼에서 스미싱 어플리케이션으로 급증하고 있다. 스마트 폰 사용자는 SMS에 의해 악성코드를 설치하게 되며, 악성코드가 소액결제 서비스 인증번호를 가로채어 C&C 서버 등으로 송신함으로써 30 만원 이내의 금전적 손해를 일으키게 된다. 본 논문에서는 GCM(Google Cloud Messaging)과 MDM(Mobile Device Management)을 이용하여 사용자의 스마트 폰에서 동작하고 있는 악성 어플리케이션을 탐지하고, 악성 행위를 통제시키며 사용자로부터 직접 어플리케이션을 삭제하길 권하는 시스템을 설계하여 제안하고자 한다.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2017.01a
• /
• pp.45-46
• /
• 2017

본 논문은 사람에 의하여 발생하는 패턴과 기계적으로 발생하는 패턴과의 차이점을 인지함으로써 BAD USB 탐지하는 방안을 제안한다. BAD USB는 펌웨어를 조작하여 악의적인 행위를 수행하는 공격으로, BAD USB를 탐지하기 위한 많은 연구가 진행되었지만, 펌웨어 내부에 존재하는 악성코드를 효과적으로 탐지하기에는 어려움이 존재한다. 따라서 본 논문에서는 사람에 의하여 나타나는 행위에 대한 패턴과 기계적으로 발생하는 패턴을 구분하여 악의적인 행위를 인지함으로써 BAD USB를 탐지하는 방안을 제안한다.

• The Journal of the Korea Contents Association
• /
• v.9 no.4
• /
• pp.131-141
• /
• 2009

An increasing variety of malware, such as worms, spyware and adware, threatens both personal and business computing. Remotely controlled bot networks of compromised systems are growing quickly. This paper proposes an intrusion detection system based outflow traffic analysis. Many research efforts and commercial products have focused on preventing intrusion by filtering known exploits or unknown ones exploiting known vulnerabilities. Complementary to these solutions, the proposed IDS can detect intrusion of unknown new mal ware before their signatures are widely distributed. The proposed IDS is consists of a outflow detector, user monitor, process monitor and network monitor. To infer user intent, the proposed IDS correlates outbound connections with user-driven input at the process level under the assumption that user intent is implied by user-driven input. As a complement to existing prevention system, proposed IDS decreases the danger of information leak and protects computers and networks from more severe damage.