본문 바로가기
KERD
논문KCI 등재

OLE 파일 분석과 머신러닝을 활용한 악성코드 탐지

OLE File Analysis and Malware Detection using Machine Learning

강아름|최형규
한국컴퓨터정보학회 (The Korean Society Of Computer And Information)|2022.05|한국컴퓨터정보학회논문지 (Journal of The Korea Society of Computer and Information)|제27권 제5호|pp. 149-156|DOI https://doi.org/10.9708/jksci.2022.27.05.149

1

조회

0

다운로드

1

인용

0

참고문헌

키워드

랜덤 포레스트random forest복합 파일 이진 구조OLE쉘코드malwareMicrosoft Officeshellcode악성 파일ms 오피스vba 매크로VBA macro
주제분류컴퓨터학

초록

최근 전 세계적으로 사용되는 Microsoft Office 파일에 악성코드를 삽입하는 문서형 악성코드 사례가 증가하고 있다. 문서형 악성코드는 문서 내에 악성코드를 인코딩하여 숨기는 경우가 많기 때문에 백신 프로그램을 쉽게 우회할 수 있다. 이러한 문서형 악성코드를 탐지하기 위해 먼저Microsoft Office 파일의 형식인 OLE(Object Linking and Embedding) 파일의 구조를 분석했다. Microsoft Office에서 지원하는 기능인 VBA(Visual Basic for Applications) 매크로에 외부 프로그램을실행시키는 쉘코드, 외부 URL에서 파일을 다운받는 URL 관련 코드 등 다수의 악성코드가 삽입된것을 확인했다. 문서형 악성코드에서 반복적으로 등장하는 키워드 354개를 선정하였고, 각 키워드가 본문에 등장하는 횟수를 feature 로 정의했다. SVM, naïve Bayes, logistic regression, random forest 알고리즘으로 머신러닝을 수행하였으며, 각각 0.994, 0.659, 0.995, 0.998의 정확도를 보였다.

Abstract

Recently, there have been many reports of document-type malicious code injecting malicious code into Microsoft Office files. Document-type malicious code is often hidden by encoding the malicious code in the document. Therefore, document-type malware can easily bypass anti-virus programs. We found that malicious code was inserted into the Visual Basic for Applications (VBA) macro, a function supported by Microsoft Office. Malicious codes such as shellcodes that run external programs and URL-related codes that download files from external URLs were identified. We selected 354 keywords repeatedly appearing in malicious Microsoft Office files and defined the number of times each keyword appears in the body of the document as a feature. We performed machine learning with SVM, naïve Bayes, logistic regression, and random forest algorithms. As a result, each algorithm showed accuracies of 0.994, 0.659, 0.995, and 0.998, respectively.

참고문헌 (22)

  1. "In December, HWP OLE-based APT Attack by the Geumseong121" (2020)[URL]
  2. "Ahnlab Urges Caution against Malicious Code Distributed as Document Files" (2021)[URL]
  3. "Disguised Document File for Hacking Related to Disaster Aid" (2021)[URL]
  4. Jafar Alzubi, "Machine Learning from Theory to Algorithms an Overview", Journal of Physics:Conference Series, 1142 (2018)[DOI]
  5. Batta Mahesh, "Machine Learning Algorithms - A Review", International Journal of Science and Research, 9(1) (2019)[DOI]
  6. Ah Reum Kang, "Malicious PDF Detection Model against Adversarial Attack Built from Benign PDF Containing Javascript", Applied Sciences, 9(22), pp.4764~ (2019)[DOI]
  7. Young-Seob Jeong, "Malware Detection of Hangul Word Processor Files Using Spatial Pyramid Average Pooling", Sensors, 20(18), pp.5265~ (2020)[DOI]
  8. Young-Seob Jeong, "Malware Detection on Byte Streams of Hangul qord Processor Files", Applied Sciences, 9(23), pp.5178~ (2019)[DOI]
  9. Young-Seob Jeong, "Malware Detection on Byte Streams of PDF Files Using Convolutional Neural Networks", Hindawi Security and Communication Networks (2019)[DOI]
  10. 조성혜, "MS 오피스 문서 파일 내 비정상 요소 탐지 기법 연구", 정보처리학회논문지. 컴퓨터 및 통신시스템, 6(2), pp.87~94 (2017), 한국정보처리학회[DOI]
  11. Hong-Koo Kang, "Development of an Automatic Document Malware Analysis System", IT Convergence and Security Lecture Notes in Electrical Engineering, pp.3~11 (2012)
  12. 송지현, "Evaluations of AI‐based malicious PowerShell detection with feature optimizations", ETRI Journal, 43(3), pp.549~560 (2021), 한국전자통신연구원[DOI]
  13. Balal Sohail, "Macro based Malware Detection System", Turkish Journal of Computer and Mathematics Education, 12(3), pp.5776~5787 (2021)[DOI]
  14. Sangwoo Kim, "Obfuscated VBA Macro Detection Using Machine Learning", IEEE, 2018, 490~501
  15. Mikus, "An Analysis of Disc Carving Techniques", Naval Postgraduate School Monterey CA Dept of Computer Science, ~ (2005)
  16. 김재협, "Object Classification Method Using Dynamic Random Forests and Genetic Optimization", 한국컴퓨터정보학회논문지, 21(5), pp.79~89 (2016), 한국컴퓨터정보학회
  17. Ji Hyun Lee, "Multi-Cutting Machine for TJ Coupler Production", Proceedings of the Korean Society of Computer Information Conference, 27(1) (2019)
  18. 최병하, "모바일 봇넷 탐지를 위한 HMM과 SVM 기법의 비교", 한국컴퓨터정보학회논문지, 19(4), pp.81~90 (2014), 한국컴퓨터정보학회
  19. Aleksander Kolcz, "Local Sparsity Control for Naive Bayes with Extreme Misclassification Costs", Proceedings of the Eleventh ACM SIGKDD International Conference on Knowledge Discovery in Data Mining, pp.128~137 (2005)
  20. 안영휘, "A Study on the Development of Product Planning Prediction Model Using Logistic Regression Algorithm", 한국융합학회논문지, 12(9), pp.39~47 (2021), 한국융합학회[DOI]
  21. 김판준, "랜덤포레스트를 이용한 국내 학술지 논문의 자동분류에 관한 연구", 정보관리학회지, 36(2), pp.57~77 (2019), 한국정보관리학회[DOI]
  22. 김문권, "다양한 의료 분석 방식을 지원하는 효과적 추론 기법 설계 및 적용 지침", 정보과학회논문지, 42(12), pp.1590~1599 (2015), 한국정보과학회

관련 논문AI추천

머신러닝 기반 MS 오피스 워드 파일의 악성 매크로 탐지 및 분석김정빈, 박원형, 최지원, 최하영국방보안연구소 · 국방과 보안2022 · 제4권 제1호MS-Office 계열 파일 내 매크로 정보 기반 악성 정보 자동 검출 메커니즘 설계 및 구현이형우한국사물인터넷학회 · 사물인터넷융복합논문지2025 · 제11권 제1호머신러닝 기반 손상된 디지털 파일 내부 은닉 악성 스크립트 판별 시스템 설계 및 구현나상원, 이형우한국사물인터넷학회 · 사물인터넷융복합논문지2023 · 제9권 제6호Office Open XML 문서 기반 악성코드 분석 및 탐지 방법에 대한 연구이덕규, 이상진한국정보보호학회 · 정보보호학회논문지2020 · 제30권 제3호MS 오피스 문서 파일 내 비정상 요소 탐지 기법 연구이상진, 조성혜한국정보처리학회 · 정보처리학회논문지. 컴퓨터 및 통신시스템2017 · 제6권 제2호문서 구조 및 스트림 오브젝트 분석을 통한 문서형 악성코드 탐지강아름, 김세령, 김종현, 우지영, 정영섭, 최선오한국컴퓨터정보학회 · 한국컴퓨터정보학회논문지2018 · 제23권 제11호

이 간행물의 다른 논문 (25건)

IR-UWB 레이더와 머신러닝을 활용한 인원계수와 위치인식이창원, 윤재석, 지건우pp. 1-9메모리 가상화를 이용한 임베디드 시스템의 가용성 향상손성훈pp. 11-19Heart Disease Prediction Using Decision Tree With Kaggle Dataset조규철, 노영단pp. 21-28A Design and Implement of Efficient Agricultural Product Price Prediction Model임정주, 김준호, 김태완, 이원주, 임지섭, 유태용pp. 29-36유튜브 기반 교육용 동영상 추천 시스템 설계 및 구현김영국, 김명호pp. 37-45
원문 보기