행위 유사도 기반 변종 악성코드 탐지 방법
A Malware Variants Detection Method based on Behavior Similarity
0
조회
0
다운로드
4
인용
0
참고문헌
키워드
초록
인터넷의 발달로 많은 정보에 쉽게 접근할 수 있게 되었지만, 이에 따라 악의적인 목적을 가진 프로그램의 침입 경로가 다양해졌다. 그리고 전통적인 시그니처 기반 백신은 변종 및 신종 악성코드의 침입을 탐지하기 어렵기 때문에 많은 사용자들이 피해를 입고 있다. 시그니처로 탐지할 수 없는 악성코드는 분석가가 직접 실행시켜 행위를 분석해 볼 수 있지만, 변종의 경우 대부분의 행위가 유사하여 비효율적이라는 문제점이 있다. 본 논문에서는 변종이 대부분의 행위가 유사하다는 것에 착안하여 기존 악성코드와의 행위 유사성을 이용한 탐지 방법을 제안한다. 제안 방법은 변종들이 공통적으로 가지는 행위 대상과 유사한 행위 대상을 갖는 프로그램을 탐지하는 것이다. 1,000개의 악성코드를 이용해 실험한 결과 변종의 경우 높은 유사도를 보이고, 아닐 경우 낮은 유사도를 보여 행위 유사도로 변종을 탐지할 수 있음을 보였다.
Abstract
While the development of the Internet has made information more accessible, this also has provided a variety of intrusion paths for malicious programs. Traditional Signature-based malware-detectors cannot identify new malware. Although Dynamic Analysis may analyze new malware that the Signature cannot do, it still is inefficient for detecting variants while most of the behaviors are similar. In this paper, we propose a detection method using behavioral similarity with existing malicious codes, assuming that they have parallel patterns. The proposed method is to extract the behavior targets common to variants and detect programs that have similar targets. Here, we verified behavioral similarities between variants through the conducted experiments with 1,000 malicious codes.
참고문헌 (16)
- "2018년 랜섬웨어 피해, 1조 500억원 규모 이를 듯" (2018)[URL]
- Michael Sikorski, "실전 악성코드와멀웨어 분석", pp.48~ (2013), 에이콘출판
- "샌드박스"[URL]
- "Cuckoo sandbox"[URL]
- 최우석, "CUCKOO SANDBOX", pp.225~ (2018), 에이콘출판
- "Process Monitor" (2019)[URL]
- "Sysmon"[URL]
- Mark E. Russinovich, "시스인터널스 도구로 윈도우 문제해결하기", pp.493~ (2019), 에이콘출판
- 박성빈, "자동화된 도구에 의해 생성된 변종 악성코드의 공통 속성을 이용한 탐지 방법", 한국정보기술학회논문지, 10(9), pp.67~75 (2012), 한국정보기술학회
- 문대성, "APT 공격 탐지를 위한 호스트 기반 특징 표현 방법", 정보보호학회논문지, 24(5), pp.839~850 (2014), 한국정보보호학회[DOI]
- Zhang, "Sensitive system calls based packed malware variants detection using principal component initialized MultiLayers neural networks", Cybersecurity, 1(10) (2018)
- "Jaccard index"[URL]
- "ssdeep"[URL]
- "Tracking Malware with Import Hashing"[URL]
- 김수정, "정적 분석 기반 기계학습 기법을 활용한 악성코드 식별 시스템 연구", 정보보호학회논문지, 29(4), pp.775~784 (2019), 한국정보보호학회[DOI]
- Zhang, "A feature-hybrid malware variants detection using CNN based opcode embedding and BPNN based API embedding", Computers & Security Journal, 84, pp.376~392 (2019)