• 한국컴퓨터정보학회논문지
• /
• 제27권5호
• /
• pp.149-156
• /
• 2022

최근 전 세계적으로 사용되는 Microsoft Office 파일에 악성코드를 삽입하는 문서형 악성코드 사례가 증가하고 있다. 문서형 악성코드는 문서 내에 악성코드를 인코딩하여 숨기는 경우가 많기 때문에 백신 프로그램을 쉽게 우회할 수 있다. 이러한 문서형 악성코드를 탐지하기 위해 먼저 Microsoft Office 파일의 형식인 OLE(Object Linking and Embedding) 파일의 구조를 분석했다. Microsoft Office에서 지원하는 기능인 VBA(Visual Basic for Applications) 매크로에 외부 프로그램을 실행시키는 쉘코드, 외부 URL에서 파일을 다운받는 URL 관련 코드 등 다수의 악성코드가 삽입된 것을 확인했다. 문서형 악성코드에서 반복적으로 등장하는 키워드 354개를 선정하였고, 각 키워드가 본문에 등장하는 횟수를 feature 로 정의했다. SVM, naïve Bayes, logistic regression, random forest 알고리즘으로 머신러닝을 수행하였으며, 각각 0.994, 0.659, 0.995, 0.998의 정확도를 보였다.

• 융합보안논문지
• /
• 제6권2호
• /
• pp.21-29
• /
• 2006

소프트웨어를 대상으로 하는 다양한 공격방법이 등장하고 있는 가운데 컴퓨터 소프트웨어에 대한 불법 조작 및 변조 등의 위협이 증가하고 있다. 특히, 온라인상에서 동작하는 어플리케이션 클라이언트를 대상으로 악의적인 로더 프로그램을 이용하여 프로그램의 코드를 조작하고, 흐름을 변조하여 정상적인 동작을 방해하는 행위가 날로 늘어나고 있다. 본 논문에서는 악의적인 용도로 사용되는 로더가 가지는 패턴을 분석하여 시그너처를 생성하고, 변형된 패턴을 탐지할 수 있고 시그너처 기법을 보완한 프로파일 기반의 탐지 기법을 제시한다.

• 정보처리학회논문지C
• /
• 제9C권5호
• /
• pp.765-774
• /
• 2002

정적 휴리스틱 분석은 알려지지 않은 악성 코드를 감지하는데 널리 사용되는 기법으로, 악성 코드에 보편적으로 존재하는 코드 조각들을 탐색하여 대상 코드의 악성 여부를 판단한다. 그러나, 스크립트로 작성된 악성 코드에서는 정형화된 코드 조각들을 찾아내기 어려우므로, 특정한 메소드 호출들의 존재만을 검사하는 것이 보편적이다. 이러한 감지 방식은 높은 감지 오류율을 보이게 되는데, 이는 많은 메소드들이 일반 스크립트에서도 빈번하게 사용될 수 있는 것들임에 기인한다. 따라서, 현재 정적 휴리스틱 분석은 일반 스크립트에서 거의 사용되지 않는 특별한 메소드 호출들로 이루어진 악성 행위만을 감지하는데 제한적으로 사용되고 있다. 본 논문에서는 메소드 호출 뿐 아니라 이에 관련된 파라미터와 리턴 값까지 고려하여 악성 행위 패턴을 정확하게 감지함으로써 이러한 단점을 극복할 수 있는 정적 분석 기법을 제안하고 그 구현을 제시한다. 또한, 구현된 시스템 상에서의 실험을 통해, 높은 긍정 오류 때문에 기존 기법의 적용이 어려웠던 악성 행위가 제안된 기법으로 감지될 수 있음을 보인다.

• 정보보호학회논문지
• /
• 제28권3호
• /
• pp.617-623
• /
• 2018

본 연구는 안드로이드 정적분석을 기반으로 추출된 AndroidManifest 권한 특징을 통해 악성코드를 탐지하고자 한다. 특징들은 AndroidManifest의 권한을 기반으로 분석에 대한 자원과 시간을 줄였다. 악성코드 탐지 모델은 1500개의 정상어플리케이션과 500개의 악성코드들을 학습한 SVM(support vector machine), NB(Naive Bayes), GBC(Gradient Boosting Classifier), Logistic Regression 모델로 구성하여 98%의 탐지율을 기록했다. 또한, 악성앱 패밀리 식별은 알고리즘 SVM과 GPC (Gaussian Process Classifier), GBC를 이용하여 multi-classifiers모델을 구현하였다. 학습된 패밀리 식별 머신러닝 모델은 악성코드패밀리를 92% 분류했다.

• 융합보안논문지
• /
• 제18권5_1호
• /
• pp.19-24
• /
• 2018

지금까지 오랜 시간 동안 범용 프로세서는 개발자에게 버그 수정을 할 수 있는 도구들을 제공하기 위해 전용 하드웨어/소프트웨어 트레이싱 모듈을 제공했다. 전용 하드웨어 트레이서는 성능 분석 및 디버깅에 모두 사용되는 막대한 양의 데이터를 로그로 실시간으로 생성한다. 프로세서 트레이스 (PT)는 CPU에서 실행되는 분기를 추적하는 Intel CPU를 위한 새로운 하드웨어 기반 추적 기능으로 최소한의 노력으로 모든 실행 코드의 제어 흐름을 재구성할 수 있다. 이러한 하드웨어 트레이스 기능들은 운영체제에 통합되어 프로파일 링 및 디버깅 메커니즘과의 긴밀한 통합이 가능하게 되었다. 본 논문에서는 윈도우 환경에서 PT가 제공하는 기능을 이용하여 실시간 트레이스 및 악성코드 검출을 위한 기본 데이터를 제공하는 확장된 PT 디코더 구조를 제안하였다.

• International journal of advanced smart convergence
• /
• 제12권1호
• /
• pp.149-156
• /
• 2023

OOXML-based MS-Office digital files are extensively utilized by businesses and organizations worldwide. However, OOXML-based MS-Office digital files are vulnerable to forgery and corruption attack by including hidden suspicious information, which can lead to activating malware or shell code being hidden in the file. Such malicious code can cause a computer system to malfunction or become infected with ransomware. To prevent such attacks, it is necessary to analyze and detect the corruption of OOXML-based MS-Office files. In this paper, we examine the weaknesses of the existing OOXML-based MS-Office file structure and analyzes how concealment and forgery are performed on MS-Office digital files. As a result, we propose a system to detect hidden data effectively and proactively respond to ransomware attacks exploiting MS-Office security vulnerabilities. Proposed system is designed to provide reliable and efficient detection of hidden data in OOXML-based MS-Office files, which can help organizations protect against potential security threats.

• International journal of advanced smart convergence
• /
• 제5권4호
• /
• pp.54-56
• /
• 2016

Code-reuse attacks are very dangerous in various systems. This is because they do not inject malicious codes into target systems, but reuse the instruction sequences in executable files or libraries of target systems. Moreover, code-reuse attacks could be more harmful to IoT systems in the sense that it may not be easy to devise efficient and effective mechanism for code-reuse attack detection in resource-restricted IoT devices. In this paper, we propose a detection scheme with using Kullback-Leibler (KL) divergence to combat against code-reuse attacks in IoT. Specifically, we detect code-reuse attacks by calculating KL divergence between the probability distributions of the packets that generate from IoT devices and contain code region addresses in memory system and the probability distributions of the packets that come to IoT devices and contain code region addresses in memory system, checking if the computed KL divergence is abnormal.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제10권2호
• /
• pp.39-46
• /
• 2021

최근 맬웨어에 의한 피해가 증가하고 있다. 기존의 시그니처 기반 안티 바이러스 솔루션은 제로 데이 공격 및 랜섬웨어와 같은 새로운 위협에 취약하다. 그럼에도 많은 기업은 문제점을 인식하고, 다중 엔드 포인트 보안 전략의 일부로 서명 기반 안티 바이러스 솔루션을 유지하고 있다. 본 논문에서는 차세대 안티 바이러스 솔루션으로 블록 체인과 딥 러닝 기술을 이용한 솔루션을 제안한다. 기존 DB 서버를 통해 업데이트되는 바이러스 백신 소프트웨어를 사용하여 탐지 유닛을 보완하고, 다양한 샘플과 형태를 사용하여 딥 러닝 용 DB 대신 블록 체인을 구성하여 신규 악성 코드 및 위조 악성 코드 탐지율을 높이는 방법을 제안한다.

• 정보보호학회논문지
• /
• 제32권4호
• /
• pp.629-635
• /
• 2022

최근 사회적 변화와 IC T 기술의 발전에 따라 사이버 위협 또한 증가되고 있으며, 사이버위협에 사용되는 악성코드는 분석을 어렵게 하기 위해 분석환경 회피기술, 은닉화, 파일리스 유포 등 더욱 고도화 지능화되고 있다. 이러한 악성코드를 효과적으로 분석하기 위해 머신러닝 기술이 활용되고 있지만 분류의 정확도를 높이기 위한 많은 노력이 필요하다. 본 논문에서는 머신러닝의 분류성능을 높이기 위해 API호출 구간 특성 기반 악성코드 탐지 기술을 제안한다. 제안하는 기술은 악성코드와 정상 바이너리의 API 호출 순서를 시간을 기준으로 구간으로 분리하여 각 구간별 API의 호출특성과 바이너리의 엔트로피 등의 특성인자를 추출한 후 SVM(Support Vector Mechine) 알고리즘을 이용하여 제안하는 방법이 악성바이너리를 잘 분석할 수 있음을 검증하였다.

• 한국정보통신학회:학술대회논문집
• /
• 한국정보통신학회 2022년도 춘계학술대회
• /
• pp.377-380
• /
• 2022

앱(App)이라 불리는 응용프로그램은 모바일 기기 등에 다운받아 사용 가능하다. 그 중 안드로이드(Android) 기반 앱은 오픈소스 기반으로 구현되어 누구나 악용 가능하다는 단점이 있지만, 아주 일부분의 소스코드를 공개하는 iOS와는 달리 안드로이드는 오픈소스로 구현되어있기 때문에 코드를 분석할 수 있다는 장점도 있다. 하지만, 오픈소스 기반의 안드로이드 앱은 누구나 소스코드 변경에 참여 가능하기 때문에 그만큼 악성코드가 많아지고 종류 또한 다양해질 수밖에 없다. 단기간에 기하급수적으로 늘어나는 악성코드는 사람이 일일이 탐지하기 어려워 AI를 활용하여 악성코드를 탐지하는 기법을 사용하는 것이 효율적이다. 기존 대부분의 악성 앱 탐지 방안은 Feature를 추출하여 악성 앱을 탐지하는 방안이 대부분이다. 따라서 Feature 추출 후 학습에 사용할 최적의 Feature를 선정(Selection)하는 3가지 방안을 제안한다. 마지막으로, 최적의 Feature로 모델링을 하는 단계에서 단일 모델 이외에도 앙상블 기법을 사용한다. 앙상블 기법은 이미 여러 연구에서 나와 있듯이 단일 모델의 성능을 뛰어넘는 결과를 보여주고 있다. 따라서 본 논문에서는 안드로이드 앱(App) 기반 악성코드 탐지 최적의 Feature 선정과 학습모델을 구현하는 방안을 제시한다.