• Journal of Information Processing Systems
• /
• 제16권4호
• /
• pp.882-895
• /
• 2020

The amount of malware increases exponentially every day and poses a threat to networks and operating systems. Most new malware is a variant of existing malware. It is difficult to deal with numerous malware variants since they bypass the existing signature-based malware detection method. Thus, research on automated methods of detecting and processing variant malware has been continuously conducted. This report proposes a method of extracting feature data from files and detecting malware using machine learning. Feature data were extracted from 7,000 malware and 3,000 benign files using static and dynamic malware analysis tools. A malware classification model was constructed using multiple DNN, XGBoost, and RandomForest layers and the performance was analyzed. The proposed method achieved up to 96.3% accuracy.

• 한국정보통신학회:학술대회논문집
• /
• 한국정보통신학회 2022년도 춘계학술대회
• /
• pp.374-376
• /
• 2022

악성 앱 분석 도구는 안드로이드 기반 앱을 도구에 정의된 AI 기반 알고리즘에 의해 분석되어 악성코드가 포함되었는지 탐지하는 시스템이다. 현재 스마트폰의 보급이 활성화됨에 따라 악성 앱을 사용한 범죄가 증가하였고, 이에 따라 악성 앱에 대한 보안이 요구되는 실정이다. 스마트폰에 사용되는 안드로이드 운영체제는 점유율이 70%이상이며, 오픈소스 기반이기 때문에 많은 취약성 및 악성코드가 존재할뿐만 아니라, 악성 앱에 대한 피해도 증가하여 악성 앱을 탐지하고 분석하는 도구에 대한 수요도 증가할 것이다. 하지만, 악성 앱 분석 도구에 대한 보안기능요구사항이 정확히 명시되지 않아, 악성 앱 분석도구를 구축 및 개발하는데 있어 많은 어려움이 있기 때문에 본 논문을 제안한다. 개발한 보호프로파일을 통해 악성 앱 분석 도구의 설계 및 개발에 기반이 되어 기술력을 향상시킬 수 있고, 악성 앱에 대한 피해를 최소화하여 안전성을 확보 할 수 있으며, 더 나아가 정보보호제품 인증을 통해 악성 앱 분석 도구에 대한 신뢰를 보증할 수 있다.

• 정보과학회 논문지
• /
• 제43권3호
• /
• pp.289-295
• /
• 2016

악성코드 개발자들은 악성코드 탐지를 회피하기 위하여 변종 악성코드를 유포한다. 정적 분석 기반의 안티 바이러스로는 변종 악성코드를 탐지하기 어려우며, 따라서 API 호출 정보 기반의 동적 분석이 필요하다. 본 논문에서는 악성코드 분석가의 변종 악성코드 패밀리 분류에 도움을 줄 수 있는 악성코드 패밀리 추천 기법을 제안하였다. 악성코드 패밀리의 API 호출 정보를 동적 분석을 통하여 추출하였다. 추출한 API 호출 정보에 다중 서열 정렬 기법을 적용하였다. 정렬 결과로부터 각 악성코드 패밀리의 시그니쳐를 추출하였다. 시그니쳐와의 유사도를 기준으로, 제안하는 기법이 새로운 악성코드의 패밀리 후보를 3개까지 추천하도록 하였다. 실험을 통하여 제안한 악성코드 패밀리 추천 기법의 정확도를 측정하였다.

• 정보보호학회논문지
• /
• 제34권3호
• /
• pp.403-416
• /
• 2024

악성코드는 금전적인 목적에 의하여 서비스의 한 형태로 블랙마켓에 판매되고 있다. 판매에 따른 수요가 증가함에 따라 악성코드를 통한 공격이 확장되었다. 이에 대응하기 위해 인공지능을 활용한 탐지 및 분류 연구들이 등장하였지만, 공격자들은 분석을 방지하고자 다양한 안티 분석기술을 악성코드에 적용하고 있다. 본 논문에서는 안티 분석 기술이 적용된 악성코드들로부터 데이터셋을 확보하기 위해 하이브리드형 바이너리 분석 프레임워크 Malware Analysis with Dynamic Extraction(MADE)을 제안한다. MADE 프레임워크는 Anti-VM, Anti-Debugging이 적재된 바이너리를 포함하여 자동화된 동적 분석을 수행할 수 있다. MADE 프레임워크는 Anti-Analysis 기술이 적용된 다양한 악성코드들에 대해 90% 이상 우회가 가능하며, API 호출 정보를 포함한 데이터셋 추출이 가능함을 실험을 통해 검증하였다.

• 한국컴퓨터정보학회논문지
• /
• 제18권5호
• /
• pp.69-76
• /
• 2013

최근에 인터넷 환경에서 악성코드를 이용한 사이버 공격이 문제가 되고 있으며, 악성코드로 인한 피해가 점차 심각해지고 규모도 증가하고 있는 추세이다. 그리고 새로운 악성코드의 출현과 더불어 기존의 악성코드를 이용한 변종 역시 커다란 피해를 주고 있다. 본 논문에서는 악성코드 분석방법에서 악성코드라고 의심되어지는 파일을 보다 정확하게 판단하기 위해 악성행위에 대해서 유한 오토마타(Finite Automata) 기법을 이용한 프로파일링 기법을 도입하여 수동이 아닌 자동으로 실시간 악성코드를 분석할 수 있는 효과적인 방법을제 안하고자 한다. 파일내부에서 사용되는 함수들을 유한 오토마타로 표현하여 상호 관계 및 연관성을 파악하여 해당 파일에 대한 악성코드 여부와 정상파일 여부를 실시간적으로 분석할 수 있는 실시간 악성코드 분석 시스템(Realtime Malware Analysis System)을 제안한다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제14권8호
• /
• pp.3420-3436
• /
• 2020

Due to the increasing number of malicious software (also known as malware), methods for sharing threat information are being studied by various organizations. The Malware Attribute Enumeration and Characterization (MAEC) format of malware is created by analysts, converted to Structured Threat Information Expression (STIX), and distributed by using Trusted Automated eXchange of Indicator Information (TAXII) protocol. Currently, when sharing malware analysis results, analysts have to manually input them into MAEC. Not many analysis results are shared publicly. In this paper, we propose an automated MAEC conversion technique for sharing analysis results of malicious Android applications. Upon continuous research and study of various static and dynamic analysis techniques of Android Applications, we developed a conversion tool by classifying parts that can be converted automatically through MAEC standard analysis, and parts that can be entered manually by analysts. Also using MAEC-to-STIX conversion, we have discovered that the MAEC file can be converted into STIX. Although other researches have been conducted on automatic conversion techniques of MAEC, they were limited to Windows and Linux only. In further verification of the conversion rate, we confirmed that analysts could improve the efficiency of analysis and establish a faster sharing system to cope with various Android malware using our proposed technique.

• 정보보호학회논문지
• /
• 제29권3호
• /
• pp.519-529
• /
• 2019

지능화된 안드로이드 악성코드는 안티바이러스가 탐지하기 어렵도록 악성행위를 숨기기 위하여 다양한 분석 회피 기법을 적용하고 있다. 악성코드는 악성행위를 숨기기 위하여 백그라운드에서 동작하는 컴포넌트를 주로 활용하고, 자동화된 스크립트로 악성 앱을 실행할 수 없도록 activity-alias 기능으로 실행을 방해하고, 악성행위가 발견되는 것을 막기 위해 logcat의 로그를 삭제하는 등 지능화되어간다. 악성코드의 숨겨진 컴포넌트는 기존 정적 분석 도구로 추출하기 어려우며, 기존 동적 분석을 통한 연구는 컴포넌트를 일부만 실행하기 때문에 분석 결과를 충분히 제공하지 못한다는 문제점을 지닌다. 본 논문에서는 이러한 지능화된 악성코드의 동적 분석 성공률을 증가시키기 위한 시스템을 설계하고 구현하였다. 제안하는 분석 시스템은 악성코드에서 숨겨진 컴포넌트를 추출하고, 서비스와 같은 백그라운드 컴포넌트인 실행시키며, 앱의 모든 인텐트 이벤트를 브로드캐스트한다. 또한, 분석 시스템의 로그를 앱이 삭제할 수 없도록 logcat을 수정하고 이를 이용한 로깅 시스템을 구현하였다. 실험 결과 본 논문에서 제안한 시스템을 기존의 컨테이너 기반 동적 분석 플랫폼과 비교하였을 때, 악성코드 구동률이 70.9%에서 89.6%로 향상된 기능을 보였다.

• 정보과학회 논문지
• /
• 제42권5호
• /
• pp.558-565
• /
• 2015

최근 새롭게 제작되는 악성코드 수의 증가와 악성코드 변종들의 다양성은 악성코드 분석가의 분석에 소요되는 시간과 노력에 많은 영향을 준다. 따라서 효과적인 악성코드 분류는 악성코드 분석가의 악성코드 분석에 소요되는 시간과 노력을 감소시키는 데 도움을 줄 뿐만 아니라, 악성코드 계보 연구 등 다양한 분야에 활용 가능하다. 본 논문에서는 악성코드 분류를 위해 중요 연산부호를 이용하는 방법을 제안한다. 중요 연산부호란 악성코드 분류에 높은 영향력을 가지는 연산부호들을 의미한다. 실험을 통해서 악성코드 분류에 높은 영향력을 가지는 상위 10개의 연산부호들을 중요 연산부호로 선정할 수 있음을 확인하였으며, 이를 이용할 경우 지도학습 알고리즘의 학습시간을 약 91% 단축시킬 수 있었다. 이는 향후 다량의 악성코드 분류 연구에 응용 가능할 것으로 기대된다.

• International Journal of Computer Science & Network Security
• /
• 제23권12호
• /
• pp.107-114
• /
• 2023

The attack technique by the malware distribution form is a dangerous, difficult to detect and prevent attack method. Current malware detection studies and proposals are often based on two main methods: using sign sets and analyzing abnormal behaviors using machine learning or deep learning techniques. This paper will propose a method to detect malware on Endpoints based on Event IDs using deep learning. Event IDs are behaviors of malware tracked and collected on Endpoints' operating system kernel. The malware detection proposal based on Event IDs is a new research approach that has not been studied and proposed much. To achieve this purpose, this paper proposes to combine different data mining methods and deep learning algorithms. The data mining process is presented in detail in section 2 of the paper.

• 융합보안논문지
• /
• 제12권4호
• /
• pp.97-108
• /
• 2012

본 연구는 이메일을 활용한 멀웨어 공격 중 국내 국방 분야 및 방산 분야에 대한 공격 동향을 분석하고, 새로운 공격 유형을 예측하였다. 국방 분야와 방산업계 대상으로 발생하는 멀웨어 배포는 주로 사회공학적으로 수집된 개인정보를 바탕으로, 특정 기능이 포함된 악성코드가 포함된 문서 파일로 배포한다. 배포된 멀웨어는 피해자 사용 단말기의 정보를 습득하려는 의도로 사용된다. 본 연구는 실제 사례들에 대한 분석을 통해 이메일을 활용한 멀웨어 배포 동향을 분석하여, 향후 시도될 것으로 예상되는 멀웨어 배포 유형을 예측했다.