멀티모달 기반 악성코드 유사도 계산 기법
Multi-Modal Based Malware Similarity Estimation Method
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
사람의 DNA가 변하지 않는 것과 같이 사이버상의 악성코드도 변하지 않는 고유의 행위 특징을 갖고 있다. APT(Advanced Persistent Threat) 공격에 대한 방어수단을 사전에 확보하기 위해서는 악성코드의 악성 행위특징을 추출해야 한다. 이를 위해서는 먼저 악성코드 간의 유사도를 계산하여 유사한 악성코드끼리 분류할 수 있어야 한다. 본 논문에서는 Windows OS 상에서 동작하는 악성코드 간의 유사도 계산 방법으로 ‘TF-IDF 코사인 유사도’, ‘Nilsimsa 유사도’, ‘악성코드 기능 유사도’, ‘Jaccard 유사도’를 사용해 악성코드의 유형을 예측해보고, 그결과를 보인다. 실험결과, 유사도 계산 방식마다 악성코드 유형에 따라 예측률의 차이가 매우 컸음을 발견할 수 있었다. 모든 결과에 월등한 정확도를 보인 유사도는 존재하지 않았으나, 본 실험결과를 이용하여 특정 패밀리의 악성코드를 분류할 때 어떤 유사도 계산 방식을 활용하는 것이 상대적으로 유리할지를 결정할 때 도움이 될 것으로 판단된다.
Abstract
Malware has its own unique behavior characteristics, like DNA for living things. To respond APT (Advanced PersistentThreat) attacks in advance, it needs to extract behavioral characteristics from malware. To this end, it needs to doclassification for each malware based on its behavioral similarity. In this paper, various similarity of Windows malware isestimated; and based on these similarity values, malware’s family is predicted. The similarity measures used in this paperare as follows: ‘TF-IDF cosine similarity', ‘Nilsimsa similarity', ‘malware function cosine similarity' and ‘Jaccard similarity'. As a result, we find the prediction rate for each similarity measure is widely different. Although, there is no similaritymeasure which can be applied to malware classification with high accuracy, this result can be helpful to select a similaritymeasure to classify specific malware family.
참고문헌 (19)
- 고동우, "API 콜 시퀀스와 Locality Sensitive Hashing을 이용한 악성코드 클러스터링 기법에 관한 연구", 정보보호학회논문지, 27(1), pp.91~101 (2017), 한국정보보호학회[DOI]
- 한미란, "사례기반추론기법을 적용한 침해사고 프로파일링 시스템", 정보보호학회논문지, 23(6), pp.1069~1086 (2013), 한국정보보호학회[DOI]
- Ki, Youngjoon, "A novel approach to detect malware based on API call sequence analysis", International Journal of Distributed Sensor Networks, 11(6), pp.659101~ (2015)
- Craig Miles, "VirusBattle: State-of-the-art malware analysis for better cyber threat intelligence", 2014 7th International Symposium on Resilient Control Systems (ISRCS), pp.1~6 (2014)
- Dhilung Kirat, "MalGene : Automatic extraction of malware analysis evasion signature", Proceedings of the 22nd ACM SIGSAC Conference on Computer and Communications Security, pp.769~780 (2015), ACM
- Hisham Shehata Galal, "Behavior-based features model for malware detection", Journal of Computer Virology and Hacking Techniques, 12(2), pp.59~67 (2016)
- Kawaguchi, Naoto, "Malware function classification using APIs in initial behavior", 2015 10th Asia Joint Conference on Information Security, pp.138~144 (2015), IEEE
- André Grégio, "Ontology for malware behavior: A core model proposal", 2014 IEEE 23rd International WETICE Conference, pp.453~458 (2014)
- Sanchit Gupta, "Malware Characterization Using Windows API Call Sequences", International Conference on Security, Privacy, and Applied Cryptography Engineering, pp.271~280 (2016), Springer
- Jing Liu, "Advances in Computer Science and Ubiquitous Computing", pp.31~37 (2015), Springer
- Jing Liu, "Advances in Computer Science and Ubiquitous Computing", pp.54~60 (2016), Springer
- Madhu K. Shankarapani, "Malware detection using assembly and API call sequences", Journal in computer virology, 7(2), pp.107~119 (2011)
- Jiyong Jang, "Bitshred: feature hashing malware for scalable triage and semantic analysis", Proceedings of the 18th ACM conference on Computer and communications security, pp.309~320 (2011), ACM
- E. Damiani, "An Open Digest-based Technique for Spam Detection", ISCA PDCS, pp.559~564 (2004)
- Michael Sikorski, "Practical Malware Analysis: A Hands-On Guide to Dissecting Malicious Software" (2012), No Starch Press
- Jae-wook Jang, "Function-Oriented Mobile Malware Analysis as First Aid", Mobile Information Systems (2016)