• Proceedings of the Korea Information Processing Society Conference
• /
• 2018.10a
• /
• pp.218-221
• /
• 2018

최근 악성코드의 수가 급격하게 증가하고 있으며 단순히 악성 행위를 하는 것 뿐 아니라 안티디버깅과 같은 다양한 분석 방지 기능을 탑재하여 악성코드의 분석을 어렵게 한다. 역공학 방지 기법이 적용된 지능형 악성코드를 기존 분석 도구를 사용하여 분석하면 악성행위를 하지 않거나 임의로 자기 자신을 종료시키는 방식으로 분석이 용이하지 않다. 이러한 지능형 악성코드들은 분석하기 어려울 뿐만아니라 기존 백신의 탐지 기능에 전혀 제약을 받지 않는다. 본 논문은 이와 같은 최신 지능형 악성코드에 보다 빠르게 대처하기 위해 역공학 방지 기법이 적용된 악성코드들이 메모리상에서 종료되지 않고 정상 동작하여 악성행위를 자동으로 파악할 수 있는 동적 코드 계측 프레임워크를 제안한다. 또한, 제안한 프레임워크를 개념 검증하기 위해 프로토타입을 설계 및 구현하고, 실험을 통해 그 유효성을 확인한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2021.11a
• /
• pp.914-917
• /
• 2021

IoT 기기는 취약한 아이디와 비밀번호 사용, 저사양 하드웨어 등 보안 취약점으로 인해 사이버 공격 진입점으로 이용되고 있다. 본 논문은 IoT 악성코드를 탐지하기 위한 op 코드 카테고리 기반 특징 표현을 제안한다. Op 코드의 기능별 분류 정보를 이용해서 n-gram 특징과 엔트로피 히스토그램 특징을 추출하고 IoT 악성코드 탐지를 위한 기계학습 모델 평가를 수행한다. IoT 악성코드는 기능 개선과 추가를 통해 진화하였으나 기계학습 모델은 훈련 데이터에 포함되지 않은 진화된 IoT 악성 코드에 대한 예측 성능이 우수하였다. 또한 특징 시각화를 이용해서 악성코드의 비교 탐지가 가능하다.

• Journal of the Korea Society of Computer and Information
• /
• v.18 no.5
• /
• pp.69-76
• /
• 2013

In the recent years, cyber attacks by malicious codes called malware has become a social problem. With the explosive appearance and increase of new malware, innumerable disasters caused by metaphoric malware using the existing malicious codes have been reported. To secure more effective detection of malicious codes, in other words, to make a more accurate judgment as to whether suspicious files are malicious or not, this study introduces the malware analysis system, which is based on a profiling technique using the Finite Automata. This new analysis system enables realtime automatic detection of malware with its optimized partial execution method. In this paper, the functions used within a file are expressed by finite automata to find their correlation, and a realtime malware analysis system enabling us to give an immediate judgment as to whether a file is contaminated by malware is suggested.

• Smart Media Journal
• /
• v.8 no.1
• /
• pp.19-26
• /
• 2019

At the opening ceremony of 2018 Winter Olympics in PyeongChang, an unknown cyber-attack occurred. The malicious code used in the attack is based on in-memory malware, which differs from other malicious code in its concealed location and is spreading rapidly to be found in more than 140 banks, telecommunications and government agencies. In-memory malware accounts for more than 15% of all malicious codes, and it does not store its own information in a non-volatile storage device such as a disk but resides in a RAM, a volatile storage device and penetrates into well-known processes (explorer.exe, iexplore.exe, javaw.exe). Such characteristics make it difficult to analyze it. The most recently released in-memory malicious code bypasses the endpoint protection and detection tools and hides from the user recognition. In this paper, we propose a method to efficiently extract the payload by unpacking injection through IDA Pro debugger for Dorkbot and Erger, which are in-memory malicious codes.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2018.01a
• /
• pp.81-84
• /
• 2018

최근에 WMI를 악용한 악성코드 공격이 증가하고 있다. WMI는 악성 프로그램을 설치하지 않아도 레지스트리, 파일시스템 등 중요한 정보에 접근할 수 있다. 또한, 윈도우 운영체제에 내장된 프로그램이기 때문에 백신에서 탐지하기 어렵다. 본 논문에서는 WMI를 이용한 악성코드 탐지를 위하여 제안하는 방법은 API를 후킹하여 메모리에서 실행될 DLL을 보고 악성코드를 탐지하는 방법을 제안한다.

• The Journal of the Korea Contents Association
• /
• v.14 no.10
• /
• pp.32-40
• /
• 2014

While there is a great demand for malware classification to reduce the time required in malware analysis and find a new type of malware, various similarity measurement methods of malware to classify a lot of malwares have been proposed. But, the existing methods to measure similarity just represented the classification results by them and have not carried out performance comparison with other methods. This is because an evaluation model to compare the performance of similarity measurement methods is non-existent. In this paper, we propose a new performance evaluation model on similarity measurement methods of malware by using two indicators: success rate and degree of confidence. In addition, we compare and evaluate the performance of existing similarity measurement methods by using these two indicators.

• KIPS Transactions on Computer and Communication Systems
• /
• v.11 no.7
• /
• pp.225-232
• /
• 2022

Recent development in information and communication technology has been beneficial to many, but at the same time, malicious attack attempts are also increasing through vulnerabilities in new programs. Among malicious attacks, malware operate in various ways and is distributed to people in new ways every time, and to solve this malware, it is necessary to quickly analyze and provide defense techniques. If new malware can be classified into the same type of malware, malware has similar behavioral characteristics, so they can provide defense techniques for new malware using analyzed malware. Therefore, there is a need for a solution to this because the method of accurately and quickly classifying malware and the number of data may not be uniform for each family of analyzed malware. This paper proposes a system that combines image preprocessing and ensemble techniques to increase accuracy in imbalanced data.

• Journal of the Korea Society of Computer and Information
• /
• v.14 no.9
• /
• pp.47-54
• /
• 2009

Malicious codes, which are spread through WWW are now evolved with various hacking technologies However, detecting technologies for them are seemingly not able to keep up with the improvement of hacking and newly generated malicious codes. In this paper, we define the requirements of detecting systems based on the analysis of malicious codes and their spreading characteristics, and propose an improved detection scheme which monitors HTTP Outbound traffic and detects spreading malicious codes in real time. Our proposed scheme sets up signatures in IDS with confirmed HTML tags and Java scripts which spread malicious codes. Through the verification analysis under the real-attacked environment, we show that our scheme is superior to the existing schemes in satisfying the defined requirements and has a higher detection rate for malicious codes.

• Electronics and Telecommunications Trends
• /
• v.28 no.3
• /
• pp.39-46
• /
• 2013

스마트폰은 언제 어디서나 이용 가능한 소형 컴퓨터로 진화함으로써, 해커들의 주요 공격 타깃이 되고 있다. 해커는 스마트폰에 설치된 악성코드를 통해 개인정보를 탈취할 수 있을 뿐만 아니라, 휴대폰 소액 결제 및 프리미엄 SMS 서비스를 이용하여 금전적 이득을 취할 수 있다. 악성코드에 감염된 스마트폰으로부터 얻을 수 있는 이러한 이득과 함께 모바일 악성코드는 그 수가 급속히 증가하고 있다. 특히, 안드로이드 마켓의 개방성과 안드로이드 단말의 높은 시장 점유율은 악성코드의 유포를 용이하게 하며, 이러한 이유로 모바일 악성코드의 대부분은 안드로이드 단말을 공격 대상으로 삼고 있다. 본고에서는 이렇게 급속히 증가하고 있는 안드로이드 기반 모바일 악성코드의 특징을 살펴보고, 이들을 탐지하기 위하여 연구되고 있는 다양한 보안 기법들을 소개하고자 한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2012.04a
• /
• pp.770-773
• /
• 2012

특정 기업 및 국가를 대상으로 하는 APT(Advanced Persistent Threat)공격의 경우 특정 시스템을 겨냥하여 제작되기 때문에 기존의 시그니처 기반의 악성코드 탐지 방식으로는 해당 악성코드를 탐지할 수 없다. 따라서 알려지지 않은 악성코드를 탐지할 수 있는 행위 기반의 악성코드 탐지 방식이 최근 이슈화되었다. 본 논문에서는 연구되고 있는 행위 분석 기반의 악성코드 탐지 방식들을 분석함으로써 향후 행위 기반 악성코드 탐지 기술 개발 및 연구에 기여하고자 한다.