변종 악성코드 유사도 비교를 위한 코드영역의 함수 분할 방법
Function partitioning methods for malware variant similarity comparison
0
조회
0
다운로드
2
인용
0
참고문헌
키워드
초록
백신 프로그램이 일반화되면서 이를 우회하기 위한 목적으로 기존 악성 프로그램에 포함된 문자열 혹은 코드 일부가 변경된 변종 악성코드가 많이 나타나고 있다. 기존의 백신 프로그램이 시그너처에 기반한 분석을 통하여 악성코드 여부를 판단하기 때문에 이미 알려진 악성코드라고 하더라도 일부만 변경되면 탐지하기 어려운 문제가 있었다. 본 논문에서는 해쉬값을 이용한 코드 비교 방법을 확장하여 일부만 변형된 악성코드를 손쉽게 탐지하기 위한 새로운방법을 제안한다. 악성코드 전체에 대한 해쉬값 뿐만 아니라 함수 단위와 코드블록 단위로 해쉬값을 생성하여 일부만 일치하는지 판단하고 상수나 주소 등을 제거한 후에 해쉬값을 생성함으로써 상수나 주소 때문에 다르게 판단하는오류를 제거하였다. 제시된 방법을 이용하여 변형된 악성코드에 숨겨진 유사성을 해쉬값 비교로 탐지할 수 있음을확인하였다.
Abstract
There have been found many modified malwares which could avoid detection simply by replacing a sequence of characters or a part of code. Since the existing anti-virus program performs signature-based analysis, it is difficult to detect a malware which is slightly different from the well-known malware. This paper suggests a method of detecting modified malwares by extending a hash-value based code comparison. We generated hash values for individual functions and individual code blocks as well as the whole code, and thus use those values to find whether a pair of codes are similar in a certain degree. We also eliminated some numeric data such as constant and address before generating hash values to avoid incorrectness incurred from them. We found that the suggested method could effectively find inherent similarity between original malware and its derived ones.
참고문헌 (14)
- 한경수, "API 순차적 특징을 이용한 악성코드 변종 분류 기법", 보안공학연구논문지, 8(2), pp.319~335 (2011), 보안공학연구지원센터
- Manuel Egele, "A survey on automated dynamic malware-analysis techniques and tools", ACM Computing Surveys(CSUR), 44(2), pp.1~42 (2012)
- Ulrich Bayer, "Scalable, Behavior-Based Malware Clustering", Proceedings of the NDSS Symposium 2009, pp.8~11 (2009)
- 김태근, "주요 블록 비교를 통한 악성코드 탐지 기법", 보안공학연구논문지, 9(5), pp.401~416 (2012), 보안공학연구지원센터
- Jiyong Jang, "BitShred: feature hashing malware for scalable triage and semantic analysis,”", Proceedings of the 18th ACM conference on Computer and communication security. ACM, pp.309~320 (2011)
- "Jaccard index"[URL]
- "SimMetrics"[URL]
- "Hadoop"[URL]
- Igor Santos, "Bringas, "N-grams-based File Signatures for Malware Detection, "Proceedings of the 11th International Conference on Enterprise Information Systems, pp", Proceedings of the 11th International Conference on Enterprise Information Systems, pp.317~320 (2009)
- Abdurrahman Pektas, "Proposal of n-gram based algorithm for malware classification", Proceedings of the 5th International Conference on Emerging Security Information, Systems and Technologies, 14(18) (2011)
- "x86 Assembly"[URL]
- Harris Laune C., "Practical analysis of stripped binary code", ACM SIGARCH Computer Architecture News, 33(5), pp.63~68 (2005)
- "MSDN"[URL]
- "Basic block"[URL]