악성코드의 효율적인 분석을 위한 안전한 오픈소스 함수에 대한 시그니처 기반 식별 도구
A Tool for Signature-Based Identification of Safe Open-Source Functions Toward Efficient Malware Analysis
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
악성코드에 대한 빠른 대응을 위해서는 악성코드에 대한 효율적인 분석이 필요하다. 그 중 하나로, 오픈 소스 함수들과 같이 안전한 것으로 확인된 부분을 분석 대상에서 제외하여 방대한 분석 대상을 줄이는 방법이 도움이 될 수 있다. 본 논문은 여러 오픈소스의 동적 링크 라이브러리 파일을 윈도우 환경에서 생성하여 오픈소스의 함수 정보들을 버전별, 컴파일러별로 시그니처 정보를 추출하고 비교하여 변경이 의심스러운 함수를 찾을 수 있는 자동화 도구를 제시한다. 또한 해당 도구는 비교에 사용된 정보들을 DB에 저장, 추후에 사용할 수 있어 분석 시간 오버헤드를 줄일 수 있다.
Abstract
In order to take rapid action against malware, efficiency in malware analysis is essential. For instance, it would be helpful to identify and eliminate open-source function bodies or other safe portions out of the target binary codes. In this paper, we propose an tool to create open source dynamic link library files in Windows environment, extract signature information by opensource and compiler version, and compare open source function information to find suspicious function. In addition, the tool can save the information used in the comparison to the DB and use it later, reducing the analysis time overhead.
참고문헌 (15)
- HyeyuKwon, "Strengthen the security of applications by using the open source security framework", Proc. of the KIISE Korea Computer Congress, pp.1104~1106 (2016)
- Yeongcheol Kim, "Similarity Analysis on Different Versions of Same Functions", Proc. of the KIISE Korea Computer Congress, pp.760~762 (2016)
- Yongsuk Choi, "Binary based Software Similarity Analysis Tool", KIISE : Communioations of the Korean Institute of Information Scientistes and Engineers, 34(1), pp.37~44 (2016)
- 박정혁, "스택 사용 패턴 기반 소프트웨어 유사도 분석", 정보과학회 컴퓨팅의 실제 논문지, 20(6), pp.349~353 (2014), 한국정보과학회
- Xin Hu, "Large-Scale Malware Indexing Using Function-Call Graphs", ACM CCS 2009 (2009)
- "Bindiff"[URL]
- "IDA"[URL]
- "OpenSSL"[URL]
- "Technology: In-Depth"[URL]
- "Zlib"[URL]
- "Crypto++"[URL]
- "Zlib"[URL]
- 안우현, "코드 주입을 통한 OpenSSL 공유 라이브러리의 보안 취약점 공격", 정보과학회논문지 : 시스템 및 이론, 37(4), pp.226~238 (2010), 한국정보과학회
- "IDA api"[URL]
- "MongoDB"[URL]