바이너리 패턴 분석을 이용한 멜트다운, 스펙터 악성코드 탐지 방법
Detecting Meltdown and Spectre Malware through Binary Pattern Analysis
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
Meltdown과 Spectre는 프로세서의 비순차 및 추측 실행의 취약점을 이용해 일반 사용자 권한으로 접근할 수 없는 메모리를 읽는 공격이다. 이 공격을 방지하기 위한 대응 패치가 공개되었으나, 적용 가능한 패치가 없는 오래된 시스템 등은 여전히 이 공격에 취약하다고 할 수 있다. 이 공격을 탐지하기 위한 연구가 이루어지고 있지만 대부분 동적 식별 방법을 제안하고 있다. 따라서 본 논문은 Meltdown과 Spectre 악성코드를 실행하지 않고 파일 상태에서탐지가 가능한 시그니처를 제안한다. 이를 위해 GitHub에 등록된 13종의 악성코드에 대한 바이너리 패턴 분석을 수행하였다. 이를 바탕으로 공격 파일 식별 방법을 제안하였으며, 실험결과 분석한 악성코드와 현재 악성코드 데이터베이스에 등록된 19개의 변종 악성코드를 100% 식별했고, 2,317개의 정상파일 중 0.94%(22건)의 오탐률을 보였다.
Abstract
Meltdown and Spectre are vulnerabilities that exploit out-of-order execution and speculative execution techniques to readmemory regions that are not accessible with user privileges. OS patches were released to prevent this attack, but oldersystems without appropriate patches are still vulnerable. Currently, there are some research to detect Meltdown and Spectreattacks, but most of them proposed dynamic analysis methods. Therefore, this paper proposes a binary signature that can beused to detect Meltdown and Spectre malware without executing them. For this, we collected 13 malicious codes fromGitHub and performed binary pattern analysis. Based on this, we proposed a static detection method for Meltdown andSpectre malware. Our results showed that the method identified all the 19 attack files with 0.94% false positive rate whenapplied to 2,317 normal files.
참고문헌 (17)
- M. Lipp, "Meltdown: Reading Kernel Memory from User Space", the 27th USENIX Security Symposium, pp.973~990 (2018)
- P. Kocher, "Spectre attacks:Exploiting speculative execution", 2019 IEEE Symposium on Security and Privacy, pp.1~19 (2019)
- "The Microarchitecture of Intel, AMD and VIA CPUs: An optimization guide for assembly programmers and compiler makers" (2018)[URL]
- M. Löw, "Overview of Meltdown and Spectre patches and their impacts", WAMOS 2018, pp.53~61 (2018)
- "Kaiser: hiding the kernel from user space" (2017)[URL]
- "Protect your Windows devi ces against speculative execution side -channel attacks" (2019)[URL]
- "market share report" (2019)[URL]
- C. Canella, "A systematic evaluation of transient execution attacks and defenses", the 28th USENIX Security Symposium, pp.249~266 (2019)
- C. LI, "Online Detection of Spectre Attacks Using Microarchitectural Traces from Performance Counters", 30th IEEE International Symposium on Computer Architecture and High Performance Computing, pp.25~28 (2018)
- J. Demme, "On the feasibility of online malware detection with performance counters", ACM SIGARCH Computer Architecture News, 41(3), pp.559~570 (2013)
- J. Depoix, "Detecting Spectre Attacks by identifying Cache Side-Channel Attacks using Machine Learning", WAMOS 2018, pp.75~85 (2018)
- 이재규, "의사결정트리 기반 머신러닝 기법을 적용한멜트다운 취약점 동적 탐지 메커니즘", 융합정보논문지, 8(6), pp.209~215 (2018), 중소기업융합학회[DOI]
- Y. Yarom, "FLUSH+RELOAD: a high resolution, low noise, L3 cache side-channel attack", 23rd USENIX Security Symposium, pp.719~732 (2014)
- "Intel® 64 and IA-32 Architectu res Software Developer’s Manual" (2016)[URL]
- "Meltdown/Spectre mitigati on for 4.15 and beyond" (2018)[URL]
- Kim Moonsun, "Meltdown Attack Identification Using Binary Pattern Analysis", CISC-W'19, pp.374~377 (2019)
- "Programming referen ce for Windows API" (2019)[URL]