메모리 실행영역 추적을 사용한 버퍼오버플로 악성코드 탐지기법
Buffer Overflow Malicious Code Detection by Tracing Executable Area of Memory
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
버퍼오버플로 악성코드 탐지를 위해 대부분의 안티바이러스 프로그램은 공격코드의 시그너처만 비교·탐지하고 있어 알려지지 않은 공격코드에 대해 탐지하지 못하는 문제점이 있다. 본 논문에서는 공격코드에서 필수적으로 사용하는 API의 메모리 실행영역 추적기법을 이용하여 알려지지 않은 공격코드에 대한 탐지기법을 제안한다. 제안기법 검증을 위해 7개의 샘플 공격코드를 선정하여 8개의 안티바이러스 프로그램과 비교 실험한 결과, 대부분의 안티바이러스 프로그램은 Stack영역만 감시하고 Heap영역은 감시하지 않아 제안적인 탐지만 가능하였다. 이에 대부분의 안티바이러스 프로그램에서 탐지할 수 없는 공격코드를 제안 기법을 이용하여 탐지할 수 있음을 시뮬레이션 하였다.
Abstract
Most of anti-virus programs detect and compare the signature of the malicious code to detect buffer overflow malicious code. Therefore most of anti-virus programs can't detect new or unknown malicious code. This paper introduces a new way to detect malicious code traces memory executable of essentials APIs by malicious code. To prove the usefulness of the technology, 7 sample codes were chosen for compared with other methods of 8 anti-virus programs. Through the simulation, It turns out that other anti-virus programs could detect only a limited portion of the code, because they were implemented just for detecting not heap areas but stack areas. But in other hand, I was able to confirm that the proposed technology is capable to detect the malicious code.
참고문헌 (18)
- 서희석, "윈도우 악성코드 분류 방법론의 설계", 정보보호학회논문지, 19(2), pp.83~92 (2009), 한국정보보호학회
- "US-CERT Vulnerability Notes"[URL]
- 강태우, "API call의 단계별 복합분석을 통한 악성코드 탐지", 정보보호학회논문지, 17(6), pp.89~98 (2007), 한국정보보호학회
- 김재현, "네트워크 트래픽 특성을 이용한 스캐닝 웜 탐지기법", 정보보호학회논문지, 17(1), pp.57~66 (2007), 한국정보보호학회
- "Anti-Virus Evasion Techniques and Countermeasures"[URL]
- D. Evans, "Improving security using extensible lightweight static analysis", IEEE Software, pp.5~6 (2002)
- 박남열, "우회기법을 이용하는 악성코드 행위기반 탐지 방법", 정보보호학회논문지, 16(3), pp.17~28 (2006), 한국정보보호학회
- A. One, "Smashing The Stack For Fun And Profit", Phrack, 7(49), pp.2~6 (1996)
- E. Chien, "Blended attacks exploits, vulnerabilities and buffer-overflow techniques in computer viruses", Virus bullentin conference, pp.19~24 (2002)
- "Understanding Windows Shellcode"[URL]
- H.M. Sun, "API Monitoring System for Defeating Worms and Exploits in MS-Windows System", ACISP 2006, pp.3~8 (2006)
- O. Ruwase, "A Practical Dynamic Buffer Overflow Detector", Proceedings of the 11th Annual Network and Distributed System Security Symposium, pp.3~5 (2004)
- "Win32 Thread Information Block"[URL]
- "PEB Reference"[URL]
- Dragos Ruju, "Fnord: Multi-architecture mutated NOP sled detector", pp.1~3 (2002)
- A. Sotirov, "Heap Feng Shui in Javascript", BlackHat Europe 2007, pp.3~18 (2007)
- "milw0rm Site"[URL]
- G. Hunt, "Detours: Binary interception of Win32 Functions", In Proceedings of the USENIX Windows NT Workshop, pp.2135~144 (1999)