삭제된 파일 조각에서 기계어 코드 유사도를 이용한 악의적인 파일 탐지에 대한 연구
A Study of Detecting Malicious Files using Similarity between Machine Code in Deleted File Slices
1
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
컴퓨터 포렌식스에서 파일 시스템은 사이버범죄의 증거를 수집할 수 있는 대상이다. 이에 따라 파일 시스템을 복구하고 중요한 정보를 찾는 방법은 많이 제시되고 있다. 그러나 조각난 파일이나 파일 지스러기 공간에서 악성 파일을 찾는 방법은 제시되고 있지 않다. 본 논문에서는 파일 조각이 악의적인 파일인지를 조사하는 방법을 제시한다. 조각 파일 내의 기계어 코드 비율을 검사하여 실행파일인지를 판단하고, 명령어 시퀀스 유사도를 비교하여 악성파일인지를 판단한다. 명령어 시퀀스 유사도를 검사하기 위해, HMM을 이용하여 악성 파일을 프로파일링하고 연속된 평가값을 비교하는 방법을 제시한다. 이러한 방법을 적용하여 적절한 임계 수준에서 버퍼오버플로우 공격 특성을 갖는 악의적인 실행 파일을 정확히 가려낼 수 있었다.
Abstract
A file system is an evidence resource of cyber crime in computer forensics. Therefore the methods of recovering the file system and searching important information have been offered. However, the methods for finding a malicious file in free blocks or slack spaces have not been suggested. In this paper, we propose an investigation method to find a maliciously executable fragmented file. After estimating if a file is executable with a machine code rate, we conclude it could be malicious by comparing a similarity of instruction sequences. To examine instruction sequences, we also propose a method of profiling malicious files using HMM and a method of comparing the continued scores. As the results, we could exactly pick out the malicious execution files, such as buffer overflow attack program, at fitting threshold level.
참고문헌 (14)
- "Defining Digital Forensics Examination and Analysis Tools" (2002)
- "컴퓨터 포렌식스 관점에서 파일 지스러기 영역의 활용방법 연구", pp.859~861
- "Forensic Computer Analysis", D. Farmer and W. Venema
- "The Sleuth Kit" (2006)
- "EnCase:A Case Study in Computer-Forensic Technology" (2001)
- "Performing an autopsy examination on FFS and EXT2FS partition images" (2002), In Digital Research Workshop Ⅱ
- "File Discovery Techniques"
- "Data Mining Methods for Detection of New Malicious Executables", pp.38~49 (2001)
- "A Similarity based Technique for Detecting Malicious Executable files for Computer Forensics" (2006)
- "libdisasm x86 Disassembler Library"
- "Hacker Sophistication Outpacing Forensics"
- "침입탐지 시스템을 위한 은닉 마르코프 모델의 적용", 28(6), pp.429~438 (2001)
- "A tutorial on hidden Markov models and selected applications in speech recognition", 77(2), pp.257~286
- "Privacy Enhanced Technology" (2006)