Themida의 API 난독화 분석과 복구방안 연구
A Study on API Wrapping in Themida and Unpacking Technique
0
조회
0
다운로드
8
인용
0
참고문헌
키워드
초록
프로텍터란 프로그램의 핵심 아이디어를 보호하기 위해 실행파일을 압축하고 난독화를 적용하는 프로그램이다. 그리고 최근 악성코드가 자신의 악성행위를 분석하기 어렵게 만들기 위해 프로텍터를 적용하고 있다. 프로텍터가 적용된 실행파일을 정밀분석하기 위해서는 프로텍터를 해제하는 언패킹 작업이 필요하다. 기존의 연구에서는 OEP를 찾아 언패킹을 하는 것에 주력하였지만, 분석방해가 목적인 프로텍터의 경우 실행압축 해제가 완료된 이후의 실행에 분석방해 기능들이 남아있게 되어 여전히 분석에 어려움이 있다. 본 논문에서는 분석방해가 목적인 Themida 프로텍터가 사용하는 분석방해 기술을 분석하고 그에 대한 대응방안을 제안한다.
Abstract
A protector is a software for protecting core technologies by using compression and encryption. Nowadays malwares use the protector to conceal the malicious code from the analysis. For detailed analysis of packed program, unpacking the protector is a necessary procedure. Lately, most studies focused on finding OEP to unpack the program. However, in this case, it would be difficult to analyze the program because of the limits to remove protecting functions by finding OEP. In this paper, we studied about the protecting functions in the Themida and propose an unpacking technique for it.
참고문헌 (18)
- Yan, Wei, "Revealing packed malware", IEEE seCurity & PrivaCy, 6.5, pp.65~69 (2008)
- "Oreans Technologies, Themida, Advanced Windows Software Protection System, Revision 2.4" (2016)[URL]
- 이원래, "명령어 주소 엔트로피 값을 이용한 실행 압축 해제 방법 연구", 디지털콘텐츠학회논문지, 15(3), pp.373~380 (2014), 한국디지털콘텐츠학회[DOI]
- 이영훈, "엔트로피 값 변화 분석을 이용한 실행 압축 해제 방법 연구", 정보보호학회논문지, 22(2), pp.179~188 (2012), 한국정보보호학회
- 정구현, "엔트로피를 이용한 실행 압축 해제 기법 연구", 한국정보기술학회논문지, 7(1), pp.232~238 (2009), 한국정보기술학회
- Ryoichi Isawa, "Generic Unpacking method Based on Detecting Original Entry Point", ICONIP 2013, Part I, LNCS 8226, pp.593~600 (2013)
- Boo Joong Kang, "A Study on Anti-Debugging in Yoda’s Protector", Journal of The Korea Institute of Communications and Information Sciences, pp.1229~1232 (2007)
- "Themida+WinLicense 2.x (Un packing)" (2013)[URL]
- "Themida+WinLicense 2.x (Ultra Unpacker v1.4)" (2014)[URL]
- "How Unpack Themida 2.x. x (WXP)" (2015)[URL]
- "Microsoft PE and COFF Specifi cation, Revision 8.3" (2013)[URL]
- "Microsoft Portable Executable and Common Object File Format Specific ation, Revision 8.2" (2010)[URL]
- Mark Russinovich, "Windows Internals Part 1" (2012), Microsoft press
- "Peering Inside the PE: A Tour of the Win32 Portable Exec utable File Format" (1994)[URL]
- "Microsoft MSDN: NtAllocateV irtualMemory"[URL]
- "NOP-No Operation" (2016)[URL]
- "Section Table (Section Headers)" (2013)[URL]
- "Microsoft MSDN: SYSTEM_I NFO structure"[URL]