• Proceedings of the Korea Multimedia Society Conference
• /
• 2004.05a
• /
• pp.117-120
• /
• 2004

본 고에서는 악성 프로그램을 탐지하기 위해 특정 프로그램 실행시 해당 파일 구조를 분석하여 악성 프로그램을 탐지하기 위해 Michael Weber, Matthew Schmid, Michaei Schatz와 David Geyer에 의해 제안된 실행코드 탐지 방식을 분석하고 있다. 제안된 방식에서는 기존 방법에서 사용하고 있는 악성 프로그램의 시그니처 분석을 통한 탐지 방법과 다르게 윈도우 PE 파일 형태의 파일 구조를 가지고 있는 실행 프로그램의 문맥 분석을 통해 알려지지 않은 악성 프로그램을 탐지함을 목적으로 하고 있다. 제안된 방식에서는 특히 PEAT(Portable Executable Analysis Toolkit)라는 이동 실행 분석 툴 킷을 개발, 사용함으로써 악성프로그램을 탐지 하고 있는데 이 툴 킷은 PE 파일 구조를 가진 임의의 애플리케이션에 대해 악성코드의 존재 여부를 밝힐 수 있는 실행시 구조적 특징을 이용한다.

• Journal of KIISE:Computing Practices and Letters
• /
• v.14 no.6
• /
• pp.589-593
• /
• 2008

These days, as a side effect of the growth of the mobile devices, malwares for the mobile devices also tend to increase and become more dangerous. Because embedded Linux is one of the advanced OSes on mobile devices, a solution to preventing malwares from infecting and destroying embedded Linux will be needed. We present a scheme using signature verification for embedded Linux that prevents executallle-Infecting malwares. The proposed scheme works under collaboration between mobile devices and a server. Malware detection is delegated to the server. In a mobile device, only integrity of all executables and dynamic libraries is checked at kernel level every time by kernel modules using LSM hooks just prior to loading of executables and dynamic libraries. All procedures in the mobile devices are performed only at kernel level. In experiments with a mobile embedded device, we confirmed that the scheme is able to prevent all executable-Infecting malwares while minimizing damage caused by execution of malwares or infected files, power consumption and performance overheads caused by malware check routines.

• Proceedings of the Korean Information Science Society Conference
• /
• 2012.06a
• /
• pp.428-430
• /
• 2012

악성코드의 위협이 점차 증가하고 있다. 악성코드를 보다 잘 탐지하기 위해 의미 구조를 기반으로 탐지하는 안티바이러스 프로그램이 필요하게 되었다. 의미구조를 기반으로 악성코드를 검출하기 위해서는 프로그램의 어떤 행동이 나쁜 행동인지를 구체적으로 서술하는 것이 필요하다. 이 논문에서는 악성코드의 행동을 형식적으로 나타내는 기술 언어를 만들고 그것이 얼마나 표현가능한지를 악성코드의 행동을 직접 표현해 봄으로써 구체적으로 설명한다. 이 기술 언어를 사용하여 특정 프로그램과 기술 언어를 입력으로 받아 악성코드인지 여부를 알아내는 정적 분석기를 만들 수 있을 것이다. 여기서 제시하는 행동 기술 언어는 프로그램의 행동을 구체적으로 고차원으로 표현할 수 있고, 악성코드의 대표적인 행동들을 충분히 담을 수 있을 만큼 강력하다.

• Proceedings of the Korean Institute of Information and Commucation Sciences Conference
• /
• 2015.05a
• /
• pp.712-714
• /
• 2015

기존의 정보보호시스템들은 이미 확보된 시그니처 또는 이전에 분석된 정보를 기반으로 악성코드에 대응하고 있기 때문에, 시그니처가 알려지지 않은 악성코드 또는 변형된 악성코드의 경우, 탐지 및 식별에 한계를 지니고 있다. 본 연구는 이와 같은 문제를 해결하기 위해, 무결성을 검증하는 화이트리스트 기반의 응용프로그램 실행제어, 매체제어, 레지스트리 보호, 중요 파일 변경 방지, 프로세스 접근 역접속 IP/포트 통제 등의 기술을 복합적으로 적용하여, 악성코드의 침입뿐만 아니라 운영체제 및 응용프로그램 취약점을 기반으로 한 익스플로잇 공격으로부터 단말 PC를 더욱 확실하게 보호할 수 있도록 한 엔드포인트 응용프로그램 실행 통제 방안을 제시하였다. 본 연구의 결과는 프로토타입 형태로 개발하여 실 환경에서 통합테스트를 하여 공공기관, 금융기관, 통신사 등 실제 환경에 적합한 기술 및 기능임을 확인하였다. 본 연구를 통해, 실행 전 응용프로그램 무결성 검증과 실행 후 응용프로그램 실행 흐름 통제를 복합적으로 사용하여 알려진 악성코드 시그니처 정보에 의존한 기존 정보 보호 시스템과는 달리 알려지지 않은 악성코드까지 원천적으로 차단할 수 있을 것으로 기대된다.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2018.01a
• /
• pp.81-84
• /
• 2018

최근에 WMI를 악용한 악성코드 공격이 증가하고 있다. WMI는 악성 프로그램을 설치하지 않아도 레지스트리, 파일시스템 등 중요한 정보에 접근할 수 있다. 또한, 윈도우 운영체제에 내장된 프로그램이기 때문에 백신에서 탐지하기 어렵다. 본 논문에서는 WMI를 이용한 악성코드 탐지를 위하여 제안하는 방법은 API를 후킹하여 메모리에서 실행될 DLL을 보고 악성코드를 탐지하는 방법을 제안한다.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2020.07a
• /
• pp.85-88
• /
• 2020

최근 악성코드의 발전은 사이버 위협의 전방면에 걸쳐 영향을 주고 있다. DDoS, APT를 포함한 스팸 발송 등과 같은 사이버 공격은 악성코드를 기반으로 한다. 또한 이에 대응하기 위해 다양한 형태의 악성코드 솔루션이 존재하고 있다. 악성코드 솔루션은 오픈소스와 상업용 프로그램으로 나눌 수 있는데 상업용 프로그램은 악성코드뿐만 아니라 PC관리의 전반적인 부분을 담당하고 있다. 악성코드를 탐지하는 방법은 시그니처 방식과 해시DB를 이용한 방식 등 다양한 방식이 있다. 본 논문에서는 오픈소스기반 악성코드 솔루션을 비교하여 어떠한 방식이 더 효과적인가를 분석하였다. 이를 통해 악성코드 방지 프로그램을 개발하려는 개발자가 비용효과적인 악성코드 탐지 방법을 잘 선택할 수 있는 가이드라인을 제공한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2011.11a
• /
• pp.790-793
• /
• 2011

오늘날 인터넷의 발달과 스마트 기기들의 발달로 인해 우리의 일상생활 깊숙이까지 정보화가 이루어 졌다. 최근 스마트폰을 사용하는 사람들의 수가 1,000만 명이 넘어서고 있으며 스마트폰을 통해 필요한 프로그램을 다운받는 수도 급격하게 증가하고 있다. 그런데 프로그램을 제작 후 인터넷을 통해 배포할 시 보안상 안전하지 않다는 문제가 있다. 악의적인 제 3자가 배포 중인 프로그램에 악성코드를 삽입하여 악성코드도 같이 배포되도록 할 수 있기 때문이다. 이를 대비하기 위해 프로그램의 무결성을 보장하는 PAC(Program Authentication Code)을 제안한다. PAC은 기존 악성코드 정보를 가진 데이터베이스가 없어도 프로그램에 악성코드가 삽입되는 것을 탐지할 수 있다. 또한 해시함수를 사용하여 고정된 길이의 인증코드를 생성함으로 네트워크로 전송하거나 한정된 메모리에서 보관하기에 용이하다.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2018.01a
• /
• pp.153-154
• /
• 2018

전 세계 모바일 게임 소비 시장의 증가와 사용자들이 지속적으로 증가하는 반면 랜섬웨어와 같은 악성 프로그램들이 악의적인 목적을 위하여 모바일게임 시장에 피해를 주는 사례들도 지속적으로 증가하는 것도 사실이다. 본 논문에서는 모바일 게임을 이용한 악성코드 위협으로부터 보호하기 위하여 4차 산업의 가장 핵심 기술인 인공지능의 학습기술에 악성코드 분석기술을 연계시켜 새로운 모바일 악성코드 탐지와 속도를 향상시키는 기술의 필요성을 제시한다.

• Convergence Security Journal
• /
• v.8 no.2
• /
• pp.63-70
• /
• 2008

In order not to make the malwares be easily analyzed, the hackers apply various anti-reversing and obfuscation techniques to the malwares. However, as the more anti-revering techniques are applied to the malwares the more abnormal characteristics in the PE file's header which are not shown in the normal PE file, could be observed. In this letter, a new malware detection technique is proposed based on this observation. For the malware detection, we define the Characteristics Vector(CV) which can represent the characteristics of a PE file's header. In the learning phase, we calculate the average CV(ACV) of malwares(ACVM) and normal files(ACVN). To detect the malwares we calculate the 2 Weighted Euclidean Distances(WEDs) from a file's CV to ACVs and they are used to decide whether the file is a malware or not. The proposed technique is very fast and detection rate is fairly high, so it could be applied to the network based attack detection and prevention devices. Moreover, this technique is could be used to detect the unknown malwares because it does not utilize a signature but the malware's characteristics.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2020.11a
• /
• pp.424-427
• /
• 2020

인터넷의 활발한 이용으로 인해 악성코드의 유포 경로가 다양해지고 있다. 그 중, 문서형 악성코드 감염 사례가 증가하고 있다. 문서형 악성코드는 이메일, 온라인에서 다운로드 받는 PDF, DOCX 파일의 취약점을 통해 유포되고 있다. 이로 인해 우리는 쉽게 바이러스에 감염될 수 있다. 그러므로 문서형 악성코드의 예방은 매우 중요하다. 우리는 악성코드로 의심되는 문서 파일을 안전한 PDF 파일로 변환해 주는 오픈 소스 프로그램인 Dangerzone을 활용하여 개인과 기업에서 프로그램을 쉽고 편리하게 사용할 수 있도록 웹, 데스크톱 형태로 확장 개발한다.