Annual Conference of KIPS (한국정보처리학회:학술대회논문집)

  • 2013.11a
  • /
  • Pages.808-810
  • /
  • 2013
  • /
  • 2005-0011(pISSN)
  • /
  • 2671-7298(eISSN)
Korea Information Processing Society (한국정보처리학회)
권호 표지
DOI QR코드

DOI QR Code

A Study on the Malware Classification Method using API Similarity Analysis

API 유사도 분석을 통한 악성코드 분류 기법 연구

  • Kang, Hong-Koo (Team of Security Technology, Korea Internet & Security Agency) ;
  • Cho, Hyei-Sun (Team of Security Technology, Korea Internet & Security Agency) ;
  • Kim, Byung-Ik (Team of Security Technology, Korea Internet & Security Agency) ;
  • Lee, Tae-Jin (Team of Security Technology, Korea Internet & Security Agency) ;
  • Park, Hae-Ryong (Team of Security Technology, Korea Internet & Security Agency)
  • 강홍구 (한국인터넷진흥원 정보보호기술개발팀) ;
  • 조혜선 (한국인터넷진흥원 정보보호기술개발팀) ;
  • 김병익 (한국인터넷진흥원 정보보호기술개발팀) ;
  • 이태진 (한국인터넷진흥원 정보보호기술개발팀) ;
  • 박해룡 (한국인터넷진흥원 정보보호기술개발팀)
  • Published : 2013.11.08
Download PDF
⟨ Previous Next ⟩

Abstract

최근 인터넷 사용이 보편화됨과 더불어 정치적, 경제적인 목적으로 웹사이트와 이메일을 악용한 악성 코드가 급속히 유포되고 있다. 유포된 악성코드의 대부분은 기존 악성코드를 변형한 변종 악성코드이다. 이에 변종 악성코드를 탐지하기 위해 유사 악성코드를 분류하는 연구가 활발하다. 그러나 기존 연구에서는 정적 분석을 통해 얻어진 정보를 가지고 분류하기 때문에 실제 발생되는 행위에 대한 분석이 어려운 단점이 있다. 본 논문에서는 악성코드가 호출하는 API(Application Program Interface) 정보를 추출하고 유사도를 분석하여 악성코드를 분류하는 기법을 제안한다. 악성코드가 호출하는 API의 유사도를 분석하기 위해서 동적 API 후킹이 가능한 악성코드 API 분석 시스템을 개발하고 퍼지해시(Fuzzy Hash)인 ssdeep을 이용하여 비교 가능한 고유패턴을 생성하였다. 실제 변종 악성코드 샘플을 대상으로 한 실험을 수행하여 제안하는 악성코드 분류 기법의 유용성을 확인하였다.

Keywords