Office Open XML 문서 기반 악성코드 분석 및 탐지 방법에 대한 연구
A Study of Office Open XML Document-Based Malicious Code Analysis and Detection Methods
1
조회
0
다운로드
2
인용
0
참고문헌
키워드
초록
최근 침해사고에서 오피스 문서를 통한 공격 비중이 높아지고 있다. 오피스 문서 어플리케이션의 보안이 점차 강화되어왔음에도 불구하고 공격기술의 고도화, 사회공학 기법의 복합적 사용으로 현재도 오피스 문서를 통한 공격이유효하다. 본 논문에서는 악성 OOXML(Office Open XML) 문서 탐지 방법과 탐지를 위한 프레임워크를 제안한다. 이를 위해 공격에 사용된 악성파일과 정상파일을 악성코드 저장소와 검색엔진에서 수집하였다. 수집한 파일들의악성코드 유형을 분석하여 문서 내 악성 여부를 판단하는데 유의미한 의심 개체요소 6가지를 구분하였으며, 악성코드 유형별 개체요소 탐지 방법을 제안한다. 또한, 탐지 방법을 바탕으로 OOXML 문서 기반 악성코드 탐지 프레임워크를 구현하여 수집된 파일을 분류한 결과 악성 파일셋 중 98.45%에 대해 탐지함을 확인하였다.
Abstract
The proportion of attacks via office documents is increasing in recent incidents. Although the security of officeapplications has been strengthened gradually, the attacks through the office documents are still effective due to thesophisticated use of social engineering techniques and advanced attack techniques. In this paper, we propose a method fordetecting malicious OOXML(Office Open XML) documents and a framework for detection. To do this, malicious files usedin the attack and benign files were collected from the malicious code repository and the search engine. By analyzing themalicious code types of collected files, we identified six "suspicious object" elements that are meaningful in determiningwhether they are malicious in a document. In addition, we implemented an OOXML document-based malware detectionframework based on the detection method to classify the collected files and found that 98.45% of malicious filesets weredetected.
참고문헌 (15)
- "Kaspersky Security Bulletin STATISTICS 2016-2019" (2020)[URL]
- J. Hurtuk, "Case Study of Ransomware Malware Hiding Using Obfuscation Methods", International Conference on Emerging eLearning Technologies and Applications, pp.216~217 (2018)
- Bora Park, "Data concealment and detection in Microsoft Office 2007files", Digital Investigation, 5(3-4), pp.149~152 (2009)
- Muhammad Ali Raffay, "Data Hiding and Detection in Office Open XML (OOXML) Documents", pp.2011
- Fu Z., "Digital-Forensics and Watermarking", pp.507~511 (2013), IWDW
- 조성혜, "MS 오피스 문서 파일 내 비정상 요소 탐지 기법 연구", 정보처리학회논문지. 컴퓨터 및 통신시스템, 6(2), pp.87~94 (2017), 한국정보처리학회[DOI]
- M. Li, "FEPDF: A Robust Feature Extractor for Malicious PDF Detection", IEEE Trustcom, ICESS, pp.2017[DOI]
- N. Nissim, "ALDOCX: Detection of Unknown Malicious Microsoft Office Documents Using Designated Active Learning Methods Based on New Structural Feature Extraction Methodology", IEEE Transactions on Information Forensics and Security, 12(3), pp.631~646 (2017)
- "Office Open XML File Formats" (2020)[URL]
- "ISO/IEC 29500, Office Open XML Fil e Formats" (2020)[URL]
- "Microsoft Office Macro Security, Security Report" (2019)[URL]
- "Hardening Microsoft Office 365 ProPlus, Office 2019 and Office 2016, Security Report" (2019)[URL]
- "2.1.839Part 1 Section 18.14.4, ddeLink (DDE Connection)" (2019)[URL]