• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2018년도 추계학술발표대회
• /
• pp.279-281
• /
• 2018

랜섬웨어는 사용자의 중요 파일을 암호화한 후 금전을 요구하는 형태의 악성코드로, 전 세계적으로 큰 피해를 발생시켰다. 안드로이드 환경에서의 랜섬웨어는 앱을 통해 동작하기 때문에, 앱의 악의적인 암호화 기능 수행을 실시간으로 탐지할 수 있는 방안에 대한 연구들이 진행되고 있다. 자원 제한적인 안드로이드 환경에서 중요한 파일들에 대한 암호화 수행 여부를 실시간으로 탐지하기 위한 방안으로 Shannon 엔트로피 값 비교가 있다. 하지만 파일의 종류에 따라 Shannon 엔트로피 값이 크게 달라질 수 있으며, 암호화 기능 수행에 대한 오탐이 발생할 수 있다. 따라서 본 논문에서는 파일에 대한 분할된 Shannon 엔트로피 값을 측정하여 암호화 기능 수행 탐지의 정확성을 높이고자 한다.

• 전자통신동향분석
• /
• 제36권5호
• /
• pp.21-31
• /
• 2021

Ransomware attacks, such as Conti, Ryuk, Petya, and Sodinokibi, that target medical institutions are increasing rapidly. In 2020, in the United States., ransomware attacks affected over 600 separate clinics, hospitals, and organizations, and more than 18 million patient records. The cost of these attacks is estimated to be almost $21 billion USD. The first death associated with a ransomware attack was reported in 2020 by the University Hospital of Düesseldorf in Germany. In the case of medical institutions, as introduced in the Medjack report issued by TrapX Labs, in many cases, attackers target medical devices that are relatively insecure and then penetrate deep into more critical network infrastructure, such as EMR servers. This paper introduces security vulnerabilities of hospital medical devices, considerations for ransomware response by medical institutions, and related technology trends.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2020년도 춘계학술발표대회
• /
• pp.177-179
• /
• 2020

최근의 사이버 침해 사고는 공격 대상을 지정하여 지속적으로 공격을 시도하는 APT(Advanced Persistent Threat)와 랜섬웨어(Ransomware) 공격이 주를 이룬다. APT 공격은 dirve by download 를 통하여 의도하지 않은 파일의 다운로드를 유도하고, 다운로드 된 파일은 역통신채널을 만들어 내부 데이터를 외부로 유출하는 방식으로 공격에 사용되는 악성 파일이 사용자 모르게 다운로드 되어 실행된다. 랜섬웨어는 스피어 피싱 (Spear-phishing) 과 같은 사회공학기법을 이용하여 신뢰 된 출처로 유장 된 파일을 실행하도록 하여 주요 파일들을 암호화 한다. 때문에 사용자와 공격자 사이 네트워크 중간에 위치한 패킷 기반의 보안 장비들은 사용자에 의해 다운로드 되는 파일들을 선제적으로 식별하고, 차단하여 침해 확산을 방지 할 수 있는 방안이 필요하다. 본 논문에서는 네트워크 패킷 레벨에서 알려진 악성파일을 식별하고 실시간 차단하는 방안에 대하여 연구하고자 한다.

• 정보보호학회논문지
• /
• 제27권3호
• /
• pp.521-530
• /
• 2017

본 논문에서는 원본 파일뿐 아니라 외부 저장소의 백업파일까지 암호화하는 등 지능화 되어가는 랜섬웨어 공격에 대비하고자, 파일 생성 시점에 자동으로 클라우드 서버에 암호화하여 백업하고 클라이언트에서는 특정 프로세스가 원본 파일에 영향을 주게 되는 경우를 모니터링하여 차단하는 시스템을 설계하였다. 클라이언트에서는 파일 생성 혹은 저장시에 프로세스 식별자, 부모 프로세스 식별자, 실행파일의 해쉬 값을 비교하여 whitelist에서 보호하고자 하는 파일 형식이 다른 프로세스에 의하여 변경이 발생하는 경우를 모니터링하여 차단함으로써 의심되는 행위에 대한 파일 변경을 방지하였다. 본 논문에서 제안하는 시스템을 적용하여 랜섬웨어에 의한 파일의 변경 혹은 삭제 시도로부터 안전하게 보호하여 발생가능 한 피해를 방지할 수 있도록 하였다.

• 융합보안논문지
• /
• 제23권1호
• /
• pp.117-123
• /
• 2023

점점 더 고도화되고 있는 랜섬웨어 공격을 기계학습 기반 모델로 탐지하기 위해서는, 분류 모델이 고차원의 특성을 가지는 학습데이터를 훈련해야 한다. 그리고 이 경우 '차원의 저주' 현상이 발생하기 쉽다. 따라서 차원의 저주 현상을 회피하면서 학습모델의 정확성을 높이고 실행 속도를 향상하기 위해 특성의 차원 축소가 반드시 선행되어야 한다. 본 논문에서는 특성의 차원이 극단적으로 다른 2종의 데이터세트를 대상으로 3종의 기계학습 모델과 2종의 특성 추출기법을 적용하여 랜섬웨어 분류를 수행하였다. 실험 결과, 이진 분류에서는 특성 차원 축소기법이 성능 향상에 큰 영향을 미치지 않았으며, 다중 분류에서도 데이터세트의 특성 차원이 작을 경우에는 동일하였다. 그러나 학습데이터가 고차원의 특성을 가지는 상황에서 다중 분류를 시도했을 경우 LDA(Linear Discriminant Analysis)가 우수한 성능을 나타냈다.

• 한국컴퓨터정보학회:학술대회논문집
• /
• 한국컴퓨터정보학회 2019년도 제59차 동계학술대회논문집 27권1호
• /
• pp.359-360
• /
• 2019

본 논문에서는 2018년에 성횡한 악성코드에 대한 피해 사례를 살펴본 후 이를 적극적으로 대응하기 위한 방안을 살펴본다. 특히 가상통화 거래소에 대한 해킹 사고 및 가상화폐에 대한 지속적인 해킹 시도가 탐지되면서 관련 소식들이 언론에 지속적으로 보도되었다. 또한 이와 관련하여 PC 및 서버 자원을 몰래 훔쳐 가상통화 채굴에 사용하는 크립토재킹 공격기법도 함께 주목받았다. 랜섬웨어 부문은 갠드크랩 관련 보도가 대부분을 차지할 정도로 국내에서 지속적으로 이슈가 되었다. 또한 미국 법무부에서 최초로 북한 해커조직의 일원을 재판에 넘기면서 해커 그룹에 대한 관심이 집중되기도 했다. 2018년 전반적으로 이러한 가상통화 거래소 해킹, 크립토재킹, 랜섬웨어, 해커 그룹의 4가지 키워드를 도출하였으며, 이 중 해커 그룹은 북한과 중국의 경우를 나누어 총 5가지 주제를 통해 악성코드에 대한 주요 이슈들을 살펴본다. 본 논문에서는 이러한 악성코드의 공격을 근본적으로 해결할 수 있는 방안으로 클라이언트 측에 USB형태의 BBS(Big Bad Stick) 하드웨어를 통하여 제안하는 환경을 제안하고 안전한 서비스가 제공됨을 증명하여 본 연구가 새로운 보안성을 갖춘 시스템임을 보인다.

• 정보보호학회논문지
• /
• 제31권5호
• /
• pp.1001-1010
• /
• 2021

스마트공장은 운영 기술에 최신 정보 기술이 융합된 복합 체계이다. 스마트공장은 복합 기술의 융합으로 기존 공장에 비해 제조 능력 향상, 맞춤형 생산, 자원 절감 등을 목표로 두고 있다. 이처럼 스마트공장은 개방된 환경으로 공장의 효율성을 증가시킬 수 있음에도, 기존 정보 기술의 취약점이 그대로 전이되어 공장의 보안 수준은 낮다. 게다가 스마트공장의 보안 전문가의 부재로 피해 발생 시 업무연속성계획의 대응 및 복구가 미흡한 실정이다. 상기 문제에 대응하기 위해, 우리는 실제와 유사한 디지털트윈 기반의 스마트공장에서 랜섬웨어 공격을 발생 시켜 피해를 분석하는 정보보안 실습 콘텐츠를 제안한다. 우리의 정보보안 콘텐츠에서는 디지털트윈의 실습 환경 구축을 위해 물리적 기기들을 가상 머신 또는 시뮬레이션 모델로 전환하는 기술을 소개한다. 이 콘텐츠는 구현된 디지털트윈에서 정해진 시나리오에 따라 두 가지 유형의 랜섬웨어 공격을 발생한다. 이 발생된 공격이 성공적으로 완료될 경우 23대의 가상 요소 중 최소 8대와 5대에서 각각 피해를 본다. 그리하여 우리의 제안 콘텐츠는 가상세계의 스마트공장에서 두 가지 유형의 랜섬웨어를 발생시켜 이의 피해를 직접 확인한다.

• 한국재난정보학회 논문집
• /
• 제17권4호
• /
• pp.897-903
• /
• 2021

연구목적: 최근 국내외에서 해킹으로 피해자의 데이터를 암호화하고 이를 풀어주는 대가로 금전적 대가를 요구하는 랜섬웨어 피해가 증가하고 있다. 이에 다양한 방식의 대응기술과 솔루션에 대한 연구개발이 진행되고 있으며, 본 연구에서는 데이터를 저장하는 저장장치에 대한 보안 연구개발을 통해 근본적인 대응방안을 제시하고자 한다. 연구방법: 동일한 가상환경에 보안 저장영역과 일반 저장영역을 생성하고 접근 프로세스를 등록하여 샘플 데이터를 저장하였다. 저장된 샘플 데이터의 침해 여부를 확인하기 위해 랜섬웨어 샘플을 실행하여 침해 여부를 해당 샘플 데이터의 Hash 함수를 확인하였다. 접근 제어 성능은 등록된 접근 프로세스와 동일한 이름과 저장위치를 통해 샘플 데이터의 접근 여부를 확인하였다. 연구결과: 실험한 결과 보안 저장 영역의 샘플 데이터는 랜섬웨어 및 비인가된 프로세스로부터 데이터의 무결성을 유지하였다. 결론: 본 연구를 통해 보안 저장영역의 생성과 화이트리스트 기반의 접근 제어 방법이 중요한 데이터를 보호하는 방안으로 적합한 것으로 평가되며, 향후 기술의 확장성과 기존 솔루션과의 융합을 통해 보다 안전한 컴퓨팅 환경을 제공할 수 있을 것으로 기대된다.

• 정보보호학회논문지
• /
• 제33권3호
• /
• pp.499-510
• /
• 2023

최근 지능적이고 고도화된 사이버 공격은 악성코드가 포함된 파일을 이용하여 공공기관의 전산망을 공격하거나 정보를 유출하는 공격으로 그 피해가 커지고 있다. 다양한 정보 보호시스템이 구축된 공공기관에서도 기존의 시그니처 기반이나 정적 분석을 기반으로 하는 악성코드 및 랜섬웨어 파일 탐지하는 방식을 사용하는 경우는 알려진 공격은 탐지가 가능하나 알려지지 않은 동적 및 암호화 공격에 대해서는 취약하다. 본 연구에서 제안하는 탐지 방안은 공공기관에서 실제로 사용하는 정보보호시스템 중 악성코드 및 랜섬웨어를 탐지할 수 있는 시스템의 탐지 결과 데이터를 추출한 후 결합하여 여러 가지 속성을 도출해 내고, 머신러닝 분류 알고리즘을 통해 도출한 속성들이 어떻게 분류되고 어떤 속성이 분류 결과와 정확도 향상에 중대한 영향을 미치는지 실험을 통해 결과를 도출한다. 본 논문의 실험 결과에서는 특정 속성이 포함된 경우와 포함되지 않은 경우 알고리즘마다 상이하지만, 특정 속성이 포함된 학습에서는 정확도가 높아지는 결과를 보였으며 추후 정보보호시스템의 랜섬웨어 파일 및 이상행위 탐지 알고리즘 제작 시 속성 선택에 활용할 수 있을 것으로 기대한다.

• 융합보안논문지
• /
• 제23권2호
• /
• pp.27-36
• /
• 2023

최근 몇 년 동안 랜섬웨어 공격이 사회 공학, 스피어피싱, 심지어 기계 학습과 같은 전술을 사용하여 특정 개인이나 조직을 대상으로 하는 공격의 정교함과 더불어 더욱 조직화 되고 전문화되고 있으며 일부는 비즈니스 모델로 운영되고 있다. 이를 효과적으로 대응하기 위해 심각한 피해를 입히기 전에 공격을 감지하고 예방할 수 있는 다양한 연구와 솔루션들이 개발되어 운영되고 있다. 특히, 허니팟은 조기 경고 및 고급 보안 감시 도구 역할 뿐만 아니라, IT 시스템 및 네트워크에 대한 공격 위험을 최소화하는 데 사용할 수 있으나, 랜섬웨어가 미끼파일에 우선적으로 접근하지 않은 경우나, 완전히 우회한 경우에는 효과적인 랜섬웨어 대응이 제한되는 단점이 있다. 본 논문에서는 이러한 허니팟을 사용자 환경에 최적화하여 신뢰성 있는 실시간 동적 허니팟 파일을 생성, 공격자가 허니팟을 우회할 가능성을 최소화함으로써 공격자가 허니팟 파일이라는 것을 인지하지 못하도록 하여 탐지율을 높일 수 있도록 하였다. 이를 위해 동적 허니팟 생성을 위한 기본 데이터수집 모델 등 4개의 모델을 설계하고 (기본 데이터 수집 모델 / 사용자 정의 모델 / 표본 통계모델 / 경험치 축적 모델) 구현하여 유효성을 검증하였다.