엔트로피 값 변화 분석을 이용한 실행 압축 해제 방법 연구
A Study on Generic Unpacking using Entropy Variation Analysis
2
조회
0
다운로드
5
인용
0
참고문헌
키워드
초록
악성코드의 탐지 및 분석 회피 기술 중 실행 압축 기술은 악성코드의 용량을 줄이고 분석가가 코드를 분석할 때 혼란을 주도록 코드를 변형하고 있다. 따라서 악성코드의 확산이 용이해지고 분석하는데 시간이 오래 걸려 신속한 대응이 어렵게 만들고 있다. 최근에는 이러한 실행 압축된 악성코드에 대응하기 위하여 실행 압축 해제 관련 연구가 진행 되고 있다. 실행 압축 프로그램은 실행되면 실행 압축을 해제하게 된다. 실행 압축 해제 때 압축되어 있던 데이터가 해제 되면서 실행 압축 파일의 데이터가 변경되거나 추가되어 데이터의 변화가 생기게 된다. 이때 이러한 변화 때문에 실행 압축 파일의 엔트로피 값이 변화하게 된다. 실행 압축 해제가 끝나게 되면 이러한 데이터 변화가 끝나고 실제적인 프로그램이 수행되므로 엔트로피 값이 변화하지 않게 된다. 그러므로 이러한 성질을 이용하여 실행 압축 해제되는시점을 찾게 되면 실행 압축 알고리즘에 상관없이 실행 압축을 해제 할 수 있게 된다. 본 논문에서는 실행 압축 파일의 압축 해제 때의 엔트로피 값 변화량을 보고 실행 압축 해제가 끝나는 시점을 판단하여 실행 압축을 해제하는 방법을 제안한다.
Abstract
Packing techniques, one of malicious code detection and analysis avoidance techniques, change code to reduce size and make analysts confused. Therefore, malwares have more time to spread out and it takes longer time to analyze them. Thus, these kind of unpacking techniques have been studied to deal with packed malicious code lately. Packed programs are unpacked during execution. When it is unpacked, the data inside of the packed program are changed. Because of these changes, the entropy value of packed program is changed. After unpacking, there will be no data changes; thus, the entropy value is not changed anymore. Therefore, packed programs could be unpacked finding the unpacking point using this characteristic regardless of packing algorithms. This paper suggests the generic unpacking mechanism using the method estimating the unpacking point through the variation of entropy values.
참고문헌 (15)
- "AV-Test"[URL]
- Yang-seo Choi, "PE File Header Analysis-Based Packed PE File DetectionTechnique (PHAD)", International Symposiumon Computer Science and itsApplications, pp.28~31 (2008)
- Roberto Perdisci, "Classification of packedexecutables for accurate computer virusdetection", Pattern Recognition Letters, 29(14), pp.1941~1946 (2008)
- Robert Lyda, "Usingentropy analysis to find encrypted andpacked malware", Security & PrivacyIEEE, 5(2), pp.40~45 (2007)
- Paul Royal, "PolyUnpack: Automating the Hidden-Code Extraction of Unpack-ExecutingMalware", Computer Security ApplicationsConference 2006. ACSAC '06. 22ndAnnual, pp.289~300 (2006)
- Martignoni, L., "OmniUnpack: Fast, Generic andSafe Unpacking of Malware", ComputerSecurity Applications Conference 2007.ACSAC 2007. Twenty-Third Annual, pp.431~441 (2007)
- "Skap. Using dual-mapping to evade automated unpacked"[URL]
- Guhyeon Jeong, "Generic Unpacking using EntropyAnalysis", 2010 5th International Conferenceon Malicious and UnwantedSoftware, pp.98~105 (2010)
- Silvio Cesare, "Classificationof Malware Using Structuredcontrol Flow", Proceeding AusPDC '10Proceedings of the Eighth AustralasianSymposium on Parallel and DistributedComputing, 107, pp.61~70 (2010)
- Thomas M. Cover, "Elements of Information Theory : SecondEdition", pp.1~16 (2006), Wiley Interscience
- 한승원, "악성코드 포렌식을 위한 패킹 파일 탐지에 관한 연구", 정보처리학회논문지C, 16(5), pp.555~562 (2009), 한국정보처리학회
- 정구현, "엔트로피를 이용한 실행 압축 해제 기법 연구", 한국정보기술학회논문지, 7(1), pp.232~238 (2009), 한국정보기술학회
- "malware"[URL]
- "OllyDbg"[URL]
- Min Gyung Kang, "Renovo: A Hidden CodeExtractor for Packed Executables", InProceedings of the 5th ACM Workshop onRecurring Malcode (WORM"07), pp.46~53 (2007)