API 콜 시퀀스와 Locality Sensitive Hashing을 이용한 악성코드 클러스터링 기법에 관한 연구
A Study on Malware Clustering Technique Using API Call Sequence and Locality Sensitive Hashing
0
조회
0
다운로드
3
인용
0
참고문헌
키워드
초록
API(Application Program Interface) 콜 시퀀스 분석은 분석 대상 프로그램에서 API 콜 정보를 추출한 후 분석하는 기법으로 다른 기법들에 비해 대상의 행위를 특징할 수 있는 장점이 있다. 하지만 기존의 API 콜 시퀀스 분석기법은 동일한 기능을 수행하는 함수를 상이한 함수로 잘못 식별하여 분석을 수행하는 문제점이 존재한다. 본 연구에서는 API 각각을 추상화시키는 방식을 추가하여 기존의 식별 문제를 해결하고 분석 성능을 향상시키고자 한다. 그 후 분석 대상들에서 획득한 추상화된 API 콜 시퀀스에 LSH(Locality Sensitive Hashing) 기법을 적용하여 각 분석 대상들 간의 유사도를 계산하고 유사한 유형끼리 클러스터를 형성하는 과정을 수행하였다. 본 연구는 악성코드 분석 시악성코드의 유형을 파악하는 데 요긴하게 사용할 수 있으며, 최종적으로는 해당 유형 정보를 기반으로 악성코드 분석의정확도를 향상시키는 데 기여할 수 있다.
Abstract
API call sequence analysis is a kind of analysis using API call information extracted in target program. Compared to other techniques, this is advantageous as it can characterize the behavior of the target. However, existing API call sequence analysis has an issue of identifying same characteristics to different function during the analysis. To resolve the identification issue and improve performance of analysis, this study includes the method of API abstraction technique in addition to existing analysis. From there on, similarity between target programs is computed and clustered into similar types by applying LSH to abstracted API call sequence from analyzed target. Thus, this study can attribute in improving the accuracy of the malware analysis based on discovered information on the types of malware identified.
참고문헌 (20)
- Kaspersky Lab, "Kaspersky Security Bulletin 2015" (2015), Kaspersky Lab
- S. A. Hofmeyr, "Intrusion detection using sequences of system calls", Journal of computer security, 6(3), pp.151~180 (1998)
- A. Sami, "Malware detection based on mining API calls", Proceedings of the 2010 ACM symposium on applied computing, pp.1020~1025 (2010)
- 한경수, "API 순차적 특징을 이용한 악성코드 변종 분류 기법", 보안공학연구논문지, 8(2), pp.319~335 (2011), 보안공학연구지원센터
- 박재우, "문자열과 API를 이용한 악성코드 자동 분류 시스템", 보안공학연구논문지, 8(5), pp.611~626 (2011), 보안공학연구지원센터
- "IntellectualHeaven"[URL]
- M. K. Shankarapani, "Malware detection using assembly and API call sequences", Journal in computer virology, 7(2), pp.107~119 (2011)
- M. Alazab, "Zero-day malware detection based on supervised learning algorithms of API call signatures", Proceedings of the 9-th Australasian Data Mining Conference, 121, pp.171~182 (2011)
- E. Elhadi, "Improving the Detection of Malware Behavior Using Simplified Data Dependent API Call Graph", International Journal of Security and Its Applications, 7(5), pp.29~42 (2013)
- Youngjoon Ki, "A novel approach to detect malware based on API call sequence analysis", International Journal of Distributed Sensor Networks, 11(6) (2015)
- Jae-wook Jang, "Mal-Netminer : Malware Classification Approach Based on Social Network Analysis of System Call Graph", Mathematical Problems in Engineering, 2015 (2015)
- Y. Ye, "An intelligent PE-malware detection system based on association mining", Journal in computer virology, 4(4), pp.323~334 (2008)
- M. Ahmadi, "Malware detection by behavioural sequential patterns", Computer Fraud & Security, 2013(8), pp.11~19 (2013)
- G. G. Sundarkumar, "Malware detection via API calls, topic models and machine learning", 2015 IEEE International Conference on Automation Science and Engineering(CASE), pp.1212~1217 (2015)
- Y. Li, "Experimental study of fuzzy hashing in malware clustering analysis", 8th Workshop on Cyber Security Experimentation and Test(CSET 15), pp.52~59 (2015)
- J. Kornblum, "Identifying almost identical files using context triggered piecewise hashing", Digital investigation, 3, pp.91~97 (2006)
- Simhash : Hash-based Similarity Detection, "C. Sadowski", University of California, ~, pp.UCSC-SOE-11-07 (2011)
- J. Oliver, "TLSH-A Locality Sensitive Hash", Cybercrime and Trustworthy Computing Workshop(CTC), pp.7~13 (2013)
- "Automated Malware Analysis – Cuckoo Sandbox, Cuckoo Foundation"[URL]
- "SAINT SECURITY"[URL]