최신 버전의 Themida가 보이는 정규화가 어려운 API 난독화 분석방안 연구
A Study on the Analysis Method to API Wrapping that Difficult to Normalize in the Latest Version of Themida
0
조회
0
다운로드
4
인용
0
참고문헌
키워드
초록
최근 상용 프로텍터인 Themida의 최신 버전이 업데이트되면서, 추적할 초기 데이터를 제공하는 가상 메모리 할당을 사용하지 않도록 변경해 기존 연구의 정규화된 대응방안을 적용할 수 없게 되었다. 또한, 실행 중에 결정되는 값이 많아 동적으로 추적하기 수월했던 기존의 버전에 비해, 프로텍터를 적용하는 시점에 결정된 고정값이 많아 동적으로 추적하는데 어려움이 생겼다. API 난독화 과정을 정규화하기 어려워지도록 최신 버전의 Themida가 어떤 방식을채용했는지 알아보고, 이를 해제하는 자동화된 시스템을 추후 개발하기 위해 어떠한 기술을 적용할 수 있을지 가능성을 검토해 본다.
Abstract
The latest version of commercial protector, Themida, has been updated, it is impossible to apply a normalized unpackingmechanism from previous studies by disable the use of a virtual memory allocation that provides initial data to be tracked. In addition, compared to the previous version, which had many values that determined during execution and easy to trackdynamically, it is difficult to track dynamically due to values determined at the time of applying the protector. We will lookat how the latest version of Themida make it difficult to normalize the API wrapping process by adopted techniques andexamine the possibilities of applying the unpacking techniques to further develop an automated unpacking system.
참고문헌 (12)
- Yan, Wei, "Revealing packed malware", IEEE seCurity & PrivaCy, 6(5), pp.65~69 (2008)
- "Themida, Advanced Windows software protection system, Revision 3.0" (2019)[URL]
- 이재휘, "Themida의 API 난독화 분석과 복구방안 연구", 정보보호학회논문지, 27(1), pp.67~77 (2017), 한국정보보호학회[DOI]
- "Microsoft Portable Executable and Common Object File Format Specification, Revision 8.2" (2010)[URL]
- 이재휘, "Themida의 API 난독화 복구 자동화에 관한 연구", 디지털포렌식연구, 11(1), pp.37~46 (2017), 한국디지털포렌식학회[DOI]
- "Microsoft Windows Dev Center, PE Format" (2019)[URL]
- "Microsoft Docs, Peering Ins ide the PE: A Tour of the Win32 Port able Executable File Format: PE File Imports" (2010)[URL]
- "Microsoft Docs, Peering Inside the PE: A Tour of the Win32 Port able Executable File Format: PE File Exports" (2010)[URL]
- "Microsoft Windows Dev Center, PE Format: File Headers" (2019)[URL]
- "Microsoft Windows Dev Center, PE Format: Optional Header Data Directories" (2019)[URL]
- "Microsoft Windows Dev Center, IsChild function" (2018)[URL]
- Schwartz, Edward J., "All you ever wanted to know about dynamic taint analysis and forward symbolic execution (but might have been afraid to ask)", 2010 IEEE symposium on Security and privacy, pp.317~331 (2010)