악성코드 패킹유형 자동분류 기술 연구
A Study on Automatic Classification Technique of Malware Packing Type
2
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
대부분의 침해공격은 악성코드를 통해 발생하고 있으며, 침해공격으로 인한 피해는 사물인터넷/사이버 물리 시스템과 연결되면서 사이버공간에만 국한되지 않고 실생활에 큰 위협이 되고 있다. 이에 따라, 다양한 악성코드 동적분석, 정적분석기술들이 연구되었는데, 악성코드 동적분석들은 결과적인 악성행위를 쉽게 확인할 수 있어 널리 사용되었으나 VM 환경탐지 시 동작하지 않는 anti-VM 악성코드가 증가하면서 어려움을 겪고 있고, 악성코드 정적분석기술들은 코드자체를 해석할 수 있어 많은 정보를 얻을 수 있으나 난독화, 패킹 기술들이 적용되어 분석가를 어렵게하고 있다. 본 논문에서는 정적분석기술의 주요 장애물인 난독화 유형을 자동식별, 분류하는 기술을 제안한다. 특히,제안하는 모델을 통해 알려진 패커나 알려지지 않은 패커와 상관없이 일정한 기준에 의해 모든 악성코드를 분류할수 있는 것이 가능하다. 악성코드 분류는 다양한 활용이 가능하지만, 예를 들면 악성코드 정적 feature에 기반하여머신러닝 기반 분석을 할 때, 전체 파일에 대해 학습 및 분석하는 방식보다 악성코드 유형별 학습 및 분석이 더욱효과적일 것이다. 이를 위해, PE구조에서 활용 가능한 feature에 대해 지도 학습 및 비지도 학습 방식의 모델을설계했고, 98,000여개 샘플을 통해 결과 검증을 진행하였다.
Abstract
Most of the cyber attacks are caused by malicious codes. The damage caused by cyber attacks are gradually expanded toIoT and CPS, which is not limited to cyberspace but a serious threat to real life. Accordingly, various malicious codeanalysis techniques have been appeared. Dynamic analysis have been widely used to easily identify the resulting maliciousbehavior, but are struggling with an increase in Anti-VM malware that is not working in VM environment detection. On theother hand, static analysis has difficulties in analysis due to various packing techniques. In this paper, we proposed malwareclassification techniques regardless of known packers or unknown packers through the proposed model. To do this, wedesigned a model of supervised learning and unsupervised learning for the features that can be used in the PE structure, andconducted the results verification through 98,000 samples. It is expected that accurate analysis will be possible throughcustomized analysis technology for each class.
참고문헌 (13)
- The AV-TEST security report 2016, "2017", AV-TEST, 2017
- Kaspersky Lab, "Machine learning for malware detection" (2017), Kaspersky Lab
- 전덕조, "머신 러닝(Machine Learning)기법을 활용한 실시간 악성파일 탐지 기법", 한국정보기술학회논문지, 16(3), pp.101~113 (2018), 한국정보기술학회[DOI]
- M.G. Schultz, "Data mining methods for detection of new malicious executables", Proceedings of the 2001IEEE Symposium on Security and Privacy, pp.38~49 (2001)
- U. Bayer, "Scalable, Behavior-based malware clustering", NDSS, 9, pp.8~11 (2009)
- 박창욱, "퍼지해시를 이용한 유사 악성코드 분류모델에 관한 연구", 정보보호학회논문지, 22(6), pp.1325~1336 (2012), 한국정보보호학회
- 권희준, "Multi N-gram을 이용한 악성코드 분류 시스템", 보안공학연구논문지, 9(6), pp.531~542 (2012), 보안공학연구지원센터
- J. Saxe, "Deep neural network based malware detection using two dimensional binary program features", Proceedings of the 10th International Conference on Malicious and Unwanted Software, pp.11~20 (2015)
- D. Gibert, "Convolutional neural networks for malware classification", master’s, Computer Science Department, pp.2016
- Ho-dong Lee, "Reverse engineering 1(file structure section)" (2016), Hanbit Media
- Ho-dong Lee, "Structure and principles of windows system executable" (2005), Hanbit Media
- 문해은, "악성코드 및 패커 탐지를 이용한 공격 그룹 판별", 정보과학회논문지, 45(2), pp.106~112 (2018), 한국정보과학회[DOI]
- Seon-gyun Kim, "Design and Implementation of PE File Unpacking Automatic System for Malware Analysis", master’s, pp.2018