메모리 분석 우회 기법과 커널 변조 탐지 연구
A study on memory analysis bypass technique and kernel tampering detection
2
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
커널을 변조하는 루트킷과 같은 악성코드가 만약 메모리 분석을 회피하기 위한 메커니즘을 추가하게 될 경우, 분석이 어려워지거나 불가능하게 되면서 분석가의 판단에 악영향을 미칠 수 있다. 따라서 향후 고도화된 커널 변조를 통해 탐지를 우회하는 루트킷과 같은 악성코드에 선제적으로 대응하고자 한다. 이를 위해 공격자의 관점에서 윈도우 커널에서 사용되는 주요 구조체를 분석하고, 커널 객체를 변조할 수 있는 방법을 적용하여 메모리 덤프 파일에 변조를 진행하였다. 변조 결과 널리 사용되는 메모리 분석 도구에서 탐지가 되지 않는 것을 실험을 통해 확인하였다. 이후 분석가의 관점에서 변조 저항성의 개념을 사용하여 변조를 탐지할 수 있는 소프트웨어 형태로 만들어 기존 메모리 분석 도구에서 탐지되지 않는 영역에 대해 탐지 가능함을 보인다. 본 연구를 통해 선제적으로 커널 영역에 대해 변조를 시도하고 정밀 분석이 가능하도록 인사이트를 도출하였다는 데 의의가 있다 판단된다. 하지만 정밀 분석을 위한 소프트웨어 구현에 있어 필요한 탐지 규칙을 수동으로 생성해야 한다는 한계점이 존재한다.
Abstract
Malware, such as a rootkit that modifies the kernel, can adversely affect the analyst's judgment, making the analysis difficult or impossible if a mechanism to evade memory analysis is added. Therefore, we plan to preemptively respond to malware such as rootkits that bypass detection through advanced kernel modulation in the future. To this end, the main structure used in the Windows kernel was analyzed from the attacker's point of view, and a method capable of modulating the kernel object was applied to modulate the memory dump file. The result of tampering is confirmed through experimentation that it cannot be detected by memory analysis tool widely used worldwide. Then, from the analyst's point of view, using the concept of tamper resistance, it is made in the form of software that can detect tampering and shows that it is possible to detect areas that are not detected by existing memory analysis tools. Through this study, it is judged that it is meaningful in that it preemptively attempted to modulate the kernel area and derived insights to enable precise analysis. However, there is a limitation in that the necessary detection rules need to be manually created in software implementation for precise analysis.
참고문헌 (21)
- Kyung-ho Lee, "A Countermeasure Me chanism for Anti-memory Forensics b ased on Process Control Region Analy sis in Windows Environment", pp.2015
- Dae-woon Kim, "Anti-dump technique using PHYSICAL_MEMORY_RUN me mory structure manipulation", pp.2017
- 김재명, "Windows 커널 공격기법의 대응 모텔 및 메커니즘에 관한 연구", 융합보안 논문지, 6(3), pp.1~12 (2006), 한국융합보안학회
- 우현중, "윈도우 루트킷 탐지·차단 기법에 관한 연구", 석사, 정보보호기술공학, pp.2005
- Seok-joo Kim, "A Study of Effective Rootkit-Detection base on Windows System", pp.2008
- 한지성, "라이브 포렌식을 위한 윈도우즈 물리 메모리 분석 도구", 정보보호학회논문지, 21(2), pp.71~82 (2011), 한국정보보호학회
- 방민석, "메모리 변조에 의한 은닉파일 탐지도구 설계 및 구현", 석사, 정보보호학과, pp.2013
- 장석영, "윈도우즈 커널 정보를 이용한 루트킷 실행 여부 검사 방법", 석사, 정보보호전공, pp.2013
- Young-Bok Kang, "Physical Memory Analysis Technology for Malware Detection", Jo ural of the Korea Institute of Informa tion Security & Cryptology, 24(1), pp.39~44 (2014)
- Dong-eun Shin, "A Study of Detection Method for Heap Memory Resident M alware using Table of Essential Callee Code", pp.2016
- Tsaur, "Exploring Rootkit detectors' vuln erabilities using a new windows hidde n driver based Rootkit", 2010 IEEE Se cond International Conference on Soci al Computing, pp.842~848 (2010)
- Cui, Weidong, "Tracking rootkit footprints with a practical memory an alysis system", 21st {USENIX} Securit y Symposium ({USENIX} Security 12), pp.601~615 (2012)
- Quynh, Nguyen Anh, "Towards a tamper-resistant kernel rootkit detector", Proceedings o f the 2007 ACM symposium on Applie d computing, pp.276~283 (2007)
- Dija, S., "Forensic reconstructio n of executables from Windows 7 phys ical memory", 2016 IEEE Internationa l Conference on Computational Intelli gence and Computing Research, pp.1~5 (2016)
- Stüttgen, Johannes, "Anti-forensic resilient memory acquisition", Digital investigation, 10, pp.105~115 (2013)
- Takahiro Haruyama, "One-byte Modification for breakin g Memory Forensic Analy", Black Hat Europe (2012)
- Luka Milkovic, "Defeating Windows m emory forensics", Future Soldier Exhi bition & Conference (2012)
- Jake Williams, "AD D - Complicating Memory Forensics Trough Memory Disarray", ShmooCon, Dec. 2014, ~ (2014)
- "user:F-INSIGHT" (2011)[URL]
- "IA-32 Intel 32/64-bit Architec ture" (2012)[URL]
- "Intel 64 and IA-32" (2016)[URL]