• 융합보안논문지
• /
• 제16권4호
• /
• pp.69-78
• /
• 2016

IT 사회로의 발전이 가속화되면서 악성코드에 의한 테러 등의 사이버 범죄 빈도수 또한 높아지고 있다. 악성코드는 공격자의 의도에 따라 다양한 공격 유형을 보이며 피해 발생 시 아날로그 증거가 아닌 디지털 증거를 남긴다. 디지털 증거를 수집 분석하는 일련의 과정인 디지털 포렌식은 악성코드에 의한 피해 사고가 발생하였을 때 이루어져야 하는 주요 요소지만 현재 통상적으로 사용되는 침해사고 대응 절차엔 디지털 포렌식 과정에서 지켜져야 할 무결성, 진정성 등을 제대로 보존하지 못하는 어려움이 존재한다. 본 논문에선 그러한 문제점을 보완하기 위해 악성코드 침해사고를 피해 유형별로 정의하여 각각에 따른 포렌식 적용 절차를 제시한다.

• 한국융합학회논문지
• /
• 제8권5호
• /
• pp.37-43
• /
• 2017

윈도우 운영체제(Operating System)에서 OS와 어플리케이션 프로그램 운영에 필요한 정보를 저장하기 위해 개발된 계층형 DB인 registry는 부팅에서 사용자 로그인, 응용 서비스 실행, 어플리케이션 프로그램 실행, 사용자 행위 등 모든 활동에 관여하기 때문에, registry를 분석을 통한 디지털증거획득이 많이 사용되고 있다. 최근 사용자가 인식하지 못하는 방법으로 악성코드가 시스템에 침투하여 귀중한 기술정보를 유출하거나 도용하여 금전적 피해가 많이 발생하고 있다. 따라서 본 연구에서는 고가의 디지털포렌식 프로그램 사용 없이 셰어웨어 어플리케이션을 이용하여 악성코드를 탐지하는 방법을 제시하여 해킹의 피해를 분석하고 동일한 피해를 예방하기 위해 본 연구를 진행하였으며, 악성코드를 탐지하고 분석하기 위해 고가의 상용프로그램을 사용하지 않고도 정확히 분석할 수 있기 때문에 학문적 기여도는 클 것으로 기대한다.

• 정보보호학회논문지
• /
• 제24권1호
• /
• pp.107-122
• /
• 2014

DDoS 공격과 APT 공격은 좀비 컴퓨터들로 정해진 시간에 동시에 공격을 가하여 사회적 혼란을 유발하였다. 이러한 공격에는 공격자의 명령을 수행하는 많은 좀비 컴퓨터들이 필요하며 좀비 컴퓨터에는 안티바이러스 제품의 탐지를 우회하는 알려지지 않은 악성코드가 실행되어야한다. 그동안 시그니처로 탐지하던 안티바이러스 제품을 벗어나 알려지지 않은 악성코드 탐지에 많은 방법들이 제안되어 왔다. 본 논문은 디지털 포렌식 기법을 활용하여 알려지지 않은 악성코드 탐지 방법을 제시하고 정상 파일과 악성코드의 다양한 샘플들을 대상으로 수행한 실험 결과에 대하여 기술한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2010년도 춘계학술발표대회
• /
• pp.758-761
• /
• 2010

악성코드는 P2P, 전자메일, 메신저나 저장매체, 인터넷 사이트 등 여러 가지 경로를 통해 전파된다. 특히 USB 기반 악성코드는 USB가 시스템에 연결될 때 악성코드를 자동 실행시키고, 로컬 드라이브 영역에 자기복제를 하는 등 특정 행위를 보인다. 포렌식 수사에서는 이러한 악의적 행위를 빠르게 분석하고 여러 가지 증거를 수집하여 감염의 원인을 신속하게 파악하는 것이 요구된다. 본 논문에서는 USB 기반 악성코드에 감염된 시스템의 피해 흔적을 분석하고 패턴을 정형화하여 USB 기반 악성코드의 감염 여부를 판별하는 방법론을 제시한다.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제2권1호
• /
• pp.43-50
• /
• 2013

파일 식별과 분석은 컴퓨터 포렌식 수사과정에서 디지털증거 획득 및 증거분석에 중요한 요소이며 지금까지 많은 연구가 진행되었다. 그러나 실행파일의 식별과 분석은 주로 악성코드에 대해 연구되어 왔기 때문에, 저작권침해 사고와 같은 일반적인 실행파일을 세부적으로 분류하고 탐지해야 할 경우에는 기존의 악성코드 분류 방법은 적용되기 어렵다. 따라서, 본 논문에서는 실행파일 헤더내 문서화되지 않은 정보의 유사도 측정에 근거한 비교를 통해 실행파일을 세부적으로 분류할 수 있는 방법을 제시한다. 제안한 방법은 실행파일의 헤더에 포함된 정보를 이용하기 때문에 일반적인 실행파일뿐만 아니라 기존의 악성코드 및 새로운 악성코드와 변종 그리고 실행압축, 코드변형, 가상화 및 난독화된 실행파일 분류에도 활용이 가능하다.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제6권2호
• /
• pp.87-94
• /
• 2017

최근 각종 공문서와 증빙 서류를 비롯하여 대부분의 문서가 디지털 데이터의 형태로 사용되고 있다. 특히 MS 오피스는 전 세계적으로 공공기관, 기업, 학교, 가정 등 다양한 곳에서 가장 많이 사용하고 있는 문서 편집 소프트웨어로써 악의적인 목적을 가진 사용자들이 해당 문서 프로그램의 범용성을 이용하여 MS 오피스 문서 파일을 악성 행위를 위한 매개체로 사용하고 있으며, 최근에는 단순한 사용자뿐만 아니라 국내외 정부 기관과 주요기업을 비롯하여 기반시설에서도 MS 오피스 문서 파일 형태의 악성코드가 유입되고 있다. MS 오피스 문서에 악성 코드를 삽입하는 방법은 단순히 미할당 영역에 은닉하는 방법을 사용할 뿐만 아니라 매크로 기능을 이용하는 등 다양한 방법을 통해 점점 정교한 형태로 진화되고 있다. 이러한 악성 코드들을 탐지하기 위해서 시그니처를 이용하거나 샌드박스를 이용한 탐지방법이 존재하지만, 유동적이고 복잡해지는 악성 코드들을 탐지하기에는 한계가 있다. 따라서 본 논문에서는 디지털 포렌식 관점에서 MS 오피스 문서 분석에 필요한 주요 메타데이터와 파일 포맷 구조 분석을 통해 매크로 영역과 그 외 악성 코드가 삽입될 가능성이 존재하는 영역들을 확인함으로써 MS 오피스 문서 파일 내 비정상 요소를 탐지하는 기법을 제안한다.

• 정보처리학회논문지C
• /
• 제16C권5호
• /
• pp.555-562
• /
• 2009

악성코드 사고 조사에서 가장 중요한 것은 신속하게 악성코드를 탐지하고 수집하는 것이다. 기존의 조사 방법은 시그니쳐 기반의 안티바이러스 소프트웨어를 이용하는 것이다. 시그니쳐 기반의 탐지는 실행파일 패킹, 암호화 등을 통해 쉽게 탐지를 회피할 수 있다. 그렇기 때문에 악성코드 조사에서 패킹을 탐지하는 것도 중요한 일이다. 패킹탐지는 패킹 시그니쳐 기반과 엔트로피 기반의 탐지 방법이 있다. 패킹 시그니쳐기반의 탐지는 새로운 패킹을 탐지하지 못하는 문제가 있다. 그리고 엔트로피 기반의 탐지 방법은 오탐의 문제가 존재한다. 본 논문에서는 진입점 섹션의 엔트로피 통계와 패킹의 필수적인 특징인 'write' 속성을 이용하여 패킹을 탐지하는 기법을 제시한다. 그리고 패킹 PE 파일을 탐지하는 도구를 구현하고 도구의 성능을 평가한다.

• 정보보호학회지
• /
• 제17권2호
• /
• pp.39-44
• /
• 2007

마이크로소프트(MS)의 윈도우 비스타(Vista, 이하 비스타)는 윈도우 XP의 뒤를 잇는 버전으로 06년 11월말 기업용이 출시되었고 2007년 1일 31일 개인사용자용이 출시되었다. 비스타는 이전 버전인 윈도우 XP에 비하여 한층 강화된 보안기능을 탑재하고 있어 인터넷 사용시 악성코드 감염 등의 위험이 많이 줄어들 것으로 예측되고 있다. 그러나 비스타에서는 하드디스크 전체를 암호화 할 수 있는 BitLocker 기능 등이 추가되어 포렌식의 관점에서 보면 기존 XP와 달라진 점이 다수 존재한다. 본고에서는 기존 XP와 비교하여 비스타에서 변경된 부분을 포렌식 관점을 중심으로 기술하고자 한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2013년도 추계학술발표대회
• /
• pp.857-860
• /
• 2013

스마트폰의 다양하고 편리한 기능은 휴대전화기 시장의 급속한 성장을 이루어 최근에는 3000만 사용자 수를 넘어서고 있지만, 악성코드와 같은 공격으로 인한 보안 사고 또한 증가하고 있다. 개방성을 지향하는 안드로이드 플랫폼에서는 스미싱과 같은 신종 공격으로 인해 보안 사고가 최근 크게 이슈가 되고 있는 상황이다. 이러한 취약성을 보완하기 위해 기존 스마트폰 운영체제와 별도의 도메인을 분리하여 금융거래나 사용자의 중요 정보는 별도의 보안 운영체제에서 처리하는 모바일 가상화 기술이 대두되고 있다. 향후 이러한 모바일 가상화 기술이 대중화될 경우, 일반적인 포렌식 조사 절차로는 현장에서 확보한 스마트폰의 보안 영역에서는 사건 조사에 필요한 증거 수집이 불가능할 수 있다. 따라서 본 논문에서는 최근의 모바일 가상화 기술을 살펴보고, 이를 바탕으로 가상화 플랫폼 기반 모바일 장비의 포렌식 조사 방안에 대해 살펴보고자 한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2018년도 추계학술발표대회
• /
• pp.272-275
• /
• 2018

금전적 이득을 극대화하기 위해 특정 기업, 기관을 대상으로 하는 공격이 증가하고 있다. 공격에 사용되는 일반적인 악성코드의 특징은 기존 시그니처 탐지 방법으로는 탐지하기 어렵다는 것과 공격자의 C&C 서버와의 통신이 일어난다는 점이다. 기업, 기관을 대상으로 이러한 악성코드를 이용한 공격이 시도된다면 감염된 모든 PC로부터 공통적인 네트워크 접속 기록이 발견될 수 있다. 따라서 본 논문에서는 이러한 특징에 중점을 두고 라이브 포렌식 오픈 소스를 활용하여 엔드포인트의 네트워크 접속 기록을 활용해 공통 행위를 탐지하는 기법을 제시하고자 한다.