• Proceedings of the Korea Institutes of Information Security and Cryptology Conference
• /
• 2001.11a
• /
• pp.91-95
• /
• 2001

본 논문은 현재 컴퓨터 사용자들에게 많은 피해를 입히고 있는 악성 스크립트 코드에 대한 탐지기법을 제시하고자 한다. 스크립트 언어는 타 언어에 비해서 단순하며, 상위 수준의 언어로 작성된 소스를 직접 분석가능하기 때문에 기존의 이진 파일 형태의 바이러스 비해 정적 분석 기법 적용이 용이하다. 제안하는 탐지 기법은 기존의 스코어링 방식을 기반으로 한 패턴 매칭과는 달리 스크립트가 수행하는 악성 행위의 분석을 통해 행위 패턴을 생성하고, 이 패턴들을 정적 분석 기법을 통해 패턴간의 관계 분석을 통해 보다 확실한 악성 행위를 탐지하여 스크립트에 포함된 악성행위들을 보고한다. 기존 대부분의 바이러스 탐지 도구들은 이미 알려진 바이러스들만을 탐지 할 수 있다. 정적 분석 기법을 이용한 악성 스크립트 탐지 방법은 악성 행위 별 패턴 존재 여부를 판단하므로 이미 알려진 바이러스는 물론 알려지지 않은 바이러스를 탐지 할 수 있는 방안을 제시한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2001.10b
• /
• pp.1013-1016
• /
• 2001

최근 인터넷의 전자 메일 서비스 사용의 증가로 인해 스크립트형 웜 바이러스에 대한 피해가 확산되고 있다. 전자 메일을 통하여 유포되는 스크립트형 웜 바이러스는 지속적으로 새로운 형태로 변이되어 나타나고 있지만, 이에 대한 예방 방법은 새로운 패턴이 분석된 후 이를 토대로 탐지하기 때문에 적극적인 대응을 하지 못하는 실정이다. 이에 본 논문에서는 스크립트형 웜 바이러스의 행위를 추출하여 일정한 패턴을 정의한 후 이를 기반으로 스크립트형 웜 바이러스 탐지 시스템을 설계하고, 기존의 패턴에 유전자 알고리즘을 적용하여 알려지지 않은 새로운 패턴을 생성한 후 바이러스 탐지에 활용할 수 있는 방안을 연구한다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2003.04a
• /
• pp.407-409
• /
• 2003

매크로 바이러스를 비롯한 악성 스크립트 바이러스는 이진 코드와는 달리 텍스트 형식으로 코드가 저장되기 때문에 많은 수의 변종이 가능하고 다형성을 지닌 형태로의 제작이 쉬워 새로운 형태의 출현이 빈번하다［1］. 이에 따라 시그니처 기반의 감지 기법을 탈피한 다양한 기법들이 제안되고 있으나 세밀한 수준의 분석으로 인한 시간 지연과 높은 긍정 오류의 문제로 현실적으로 적용되지 못하는 실정이다. 이를 개선하여 비교적 짧은 시간에 정적 분석을 끝내고 코드 삽입 기법을 병행하여 긍정 오류 문제를 해결한 기법이 제안 되었다［2］. 그러나 이 기법에서 사용하는 정적 분석은 다형성 스크립트 바이러스에 대하여 고려하고 있지 않다. 본 논문에서는 제안된 정적 분석 기법을 확장 하여 다형성 스크립트 바이러스를 탐지할 수 있는 기법을 제시 한다.

• The KIPS Transactions:PartC
• /
• v.10C no.7
• /
• pp.843-850
• /
• 2003

Script viruses are easy to make a variation because they can be built easily and be spread in text format. Thus signature-based method has a limitation in detecting script viruses. In a consequence, many researches suggest simple heuristic methods, but high false-positive error is always being an obstacle. In order to overcome this problem, our previous study concentrated on analyzing data flow of codes and has low-false positive error, but still could not detect a polymorphic virus because polymorphic virus loads self body and changes it before make a descendent. We suggest a heuristic detection method which expands the detection range of previous method to include polymorphic script viruses. Expanded data flow analysis heuristic has an expanded grammar to detect Polymorphic copy Propagation. Finally, we will show the experimental result for the effectiveness of suggested method.

• Journal of KIISE:Information Networking
• /
• v.29 no.6
• /
• pp.663-673
• /
• 2002

Server-side anti-viruses are useful to protect their domains, because they can detect malicious codes at the gateway of their domains. In prevailing local network, all clients cannot be perfectly controlled by domain administrators, so server-side inspection, for example in e-mail server, is used as an efficient technique of detecting mobile malicious codes. However, current server-side anti-virus systems perform only signature-based detection for known malicious codes, simple filtering, and file name modification. One of the main reasons that they don't have detection features, for unknown malicious codes, is that activity monitoring technique is unavailable for server machines. In this paper, we propose a detection technique that is executed at the server, but it can monitor activities at the clients without any anti-virus features. we describe its implementation.

• Digital Contents
• /
• no.8 s.87
• /
• pp.50-51
• /
• 2000

안철수연구소(www.ahnlab.com)의 발표에 따르면 2000년 상반기에 국내에서 발견된 신종 바이러스가 346종에 달한다고 발표했다. 이는 99년 상반기(127종)대비 172% 증가한 수치로, 1일 2종 꼴로 신종 바이러스가 제작된 셈이다. 종류별로는 매크로바이러스 65.3%(226종), 트로이목마 23.7%(82종)가 주종을 이루었고, 러브레터를 비롯한 스크립트 바이러스가 급증해 12종(3.5%)에 달한다는 것이 특징적이다. 출처별로는 외산이 83.2%(288종), 국산(16.8%, 58종)보다 비중이 높게 나타났다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2001.10b
• /
• pp.1025-1028
• /
• 2001

인터넷의 확산과 이용자의 급증으로 웜바이러스에 대한 문제가 최근에 크게 대두되고 있다. 스크립트 형 웜바이러스의 경우 제작이 쉬워 누구나 몇 시간의 학습을 통하여 바이러스를 제작찬 수 있다. 이러한 문제의 심각성은 최근 7개월 동안의 바이러스 통계에서도 나타나는데 전체 바이러스 중 평균 22.5%를 차지하고 있다. 이러한 웜바이러스를 차단하기 위해서 여러 가지 방법들이 사용되고 있으나 E-mail로 급속하게 퍼지는 웜바이러스의 확산을 차단하기 위해서 네트워크 기반의 시스템 보호방법이 요구되어지고 있다. 이에 본 논문에서는 알려지지 않은 웜바이러스로부터 내부 네트워크를 방어하기 위한 면역시스템을 제안한다. 자동화된 면역 시스템은 분산된 각각의 웜바이러스 탐지 시스템들이 새로운 바이러스 정보를 동적으로 공유할 수 있도록 하여 새로운 바이러스로부터 해당 시스템과 그 시스템이 속해 있는 내부 네트워크를 바이러스로부터 보호할 수 있도록 한다.

• Digital Contents
• /
• no.11 s.102
• /
• pp.74-77
• /
• 2001

올해 상반기에 발견된 신종 바이러스는 지난해 동기간 대비 현격히 감소했으며, 소수의 바이러스에 의해서만 피해사례가 발생하는 집중화 현상은 증가한 것으로 조사됐다.이는 지난 7월 통합 보안기업 안철수 연구소에서 발표한 자료에 의하면 안철수 연구소 분석 결과 2001년 상반기에 국내에서 발견된 신종 바이러스는 모두 64종으로, 2000년 상반기에 발견된 346종에 비해 20%감소한 것으로 집계됐다.종류별로는 매크로 바이러스 71.9%(46종)로 가장 많이 발견 됐으며, 이어 트로이목마 20.3%(13종), 웜과 스크립트 바이러스가 각각 3.1%(2종)와 4.7%(3종)으로 종류별 비율은 작년 상반기와 비슷한 것으로 조사됐다. 출처별로는 외산이 92.2%인 59종으로 국산 9종에 비해 압도적으로 많은 것으로 나타났다.

• Journal of KIISE:Information Networking
• /
• v.29 no.5
• /
• pp.473-481
• /
• 2002

Decryption of encrypted malicious scripts is essential in order to analyze the scripts and to determine whether they are malicious. An effective decryption technique is one that is designed to consider the characteristics of the script languages rather than the specific encryption patterns. However, currently X-raying and emulation are not the proper techniques for the script because they were designed to decrypt binary malicious codes. In addition to that, heuristic techniques are unable to decrypt unknown script codes that use unknown encryption techniques. In this paper, we propose a new technique that will be able to decrypt malicious scripts based on analytical approach. we describe its implementation.

• The KIPS Transactions:PartC
• /
• v.9C no.5
• /
• pp.765-774
• /
• 2002

Analyzing the code using static heuristics is a widely used technique for detecting unknown malicious codes. It decides the maliciousness of a code by searching for some fragments that had been frequently found in known malicious codes. However, in script codes, it tries to search for sequences of method calls, not code fragments, because finding such fragments is much difficult. This technique makes many false alarms because such method calls can be also used in normal scripts. Thus, static heuristics for scripts are used only to detect malicious behavior consisting of specific method calls which is seldom used in normal scripts. In this paper. we suggest a static analysis that can detect malicious behavior more accurately, by concerning not only the method calls but also parameters and return values. The result of experiments show that malicious behaviors, which were difficult to detect by previous works, due to high false positive, will be detected by our method.