• Proceedings of the Korean Society of Computer Information Conference
• /
• 2023.01a
• /
• pp.103-106
• /
• 2023

코로나 팬데믹 사태로 인해 업무환경이 재택근무를 하는 환경으로 바뀌고 악성코드의 변종 또한 빠르게 발전하고 있다. 악성코드를 분석하고 백신 프로그램을 만들면 새로운 변종 악성코드가 생기고 변종에 대한 백신프로그램이 만들어 질 때까지 변종된 악성코드는 사용자에게 위협이 된다. 본 연구에서는 머신러닝 알고리즘을 사용하여 악성파일 여부를 예측하는 방법을 제시하였다. 일반적인 악성코드의 구조를 갖는 Portable Executable 구조 파일을 파이썬의 LIEF 라이브러리를 사용하여 Certificate, Imports, Opcode 등 3가지 feature에 대해 정적분석을 하였다. 학습 데이터로는 정상파일 320개와 악성파일 530개를 사용하였다. Certificate는 hasSignature(디지털 서명정보), isValidcertificate(디지털 서명의 유효성), isNotExpired(인증서의 유효성)의 feature set을 사용하고, Imports는 Import Address Table의 function 빈도수를 비교하여 feature set을 구축하였다. Opcode는 tri-gram으로 추출하여 빈도수를 비교하여 feature set을 구축하였다. 테스트 데이터로는 정상파일 360개 악성파일 610개를 사용하였으며 Feature set을 사용하여 random forest, decision tree, bagging, adaboost 등 4가지 머신러닝 알고리즘을 대상으로 성능을 비교하였고, bagging 알고리즘에서 약 0.98의 정확도를 보였다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2022.11a
• /
• pp.905-907
• /
• 2022

악성코드를 분석하는 기존 기법인 정적분석은 빠르고 효율적으로 악성코드를 탐지할 수 있지만 난독화된 파일에 취약한 반면,, 동적분석은 난독화된 파일에 적합하지만 느리고 비용이 많이 든다는 단점을 가진다. 본 연구에서는 두 분석 기법의 단점을 해결하기 위해 딥러닝 모델을 활용한 난독화에 강한 정적분석 모델을 제안하였다. 본 연구에서 제안한 방법은 원본 코드 및 난독화된 파일을 grayscale 이미지로 변환하여 데이터셋을 구축하고 AutoEncoder 를 사전학습시켜 encoder 가 원본 파일과 난독화된 파일로부터 원본 파일의 특징을 추출할 수 있도록 한 이후, encoder 의 output 을 fully connected layer 의 입력으로 넣고 전이학습시켜 악성코드를 탐지하도록 하였다. 본 연구에서는 제안한 방법론은 난독화된 파일에서 악성코드를 탐지하는 성능을 F1 score 기준 14.17% 포인트 향상시켰고, 난독화된 파일과 원본 파일을 전체를 합친 데이터셋에서도 악성코드 탐지 성능을 F1 score 기준 7.22% 포인트 향상시켰다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2020.11a
• /
• pp.370-373
• /
• 2020

본 연구는 파일기반 악성파일 탐지시간을 줄이는 알고리즘 사용에 대해 기술하고 있다. 기존 탐지방식은 파일의 시그니처 값에 대한 유사도를 단순히 비교하는 것에만 그쳐 오탐율이 높거나 새롭게 생성되는 악성파일을 대응할 수 없는 제한점이 있다. 또한 정확도를 높이고자 딥 러닝을 통한 탐지방식이 제안되고 있으나 이 또한 동적분석으로 진행이 되기 때문에 시간이 오래 걸리는 제한이 있다. 그래서 우리는 이를 보완하는 VP Tree 탐지를 제안한다. 이 방법은 시그니처 값이 아닌 다차원에서의 해시 값의 데이터 위치를 기반으로 거리를 척도 한다. 유클리드 거리 법, 맨해튼 거리법이 사용되며 삼각부등식의 만족하는 기준으로 K-NN 이 생성이 되며, K-NN 을 이진 트리로 구성하여 인덱스를 통한 탐지를 진행하기에 기존 방법들을 보완할 수 있는 대안점이 될 수 있으며, 악성파일과 정상파일이 섞여 존재하는 총 3 만개의 데이터를 대상으로 악성파일 탐지 테스트를 진행하였으며 기본 방식에 비해 약 15~20%정도 속도가 단축된다는 것을 입증했다.

• Proceedings of the Korea Multimedia Society Conference
• /
• 2004.05a
• /
• pp.117-120
• /
• 2004

본 고에서는 악성 프로그램을 탐지하기 위해 특정 프로그램 실행시 해당 파일 구조를 분석하여 악성 프로그램을 탐지하기 위해 Michael Weber, Matthew Schmid, Michaei Schatz와 David Geyer에 의해 제안된 실행코드 탐지 방식을 분석하고 있다. 제안된 방식에서는 기존 방법에서 사용하고 있는 악성 프로그램의 시그니처 분석을 통한 탐지 방법과 다르게 윈도우 PE 파일 형태의 파일 구조를 가지고 있는 실행 프로그램의 문맥 분석을 통해 알려지지 않은 악성 프로그램을 탐지함을 목적으로 하고 있다. 제안된 방식에서는 특히 PEAT(Portable Executable Analysis Toolkit)라는 이동 실행 분석 툴 킷을 개발, 사용함으로써 악성프로그램을 탐지 하고 있는데 이 툴 킷은 PE 파일 구조를 가진 임의의 애플리케이션에 대해 악성코드의 존재 여부를 밝힐 수 있는 실행시 구조적 특징을 이용한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2011.04a
• /
• pp.941-944
• /
• 2011

컴퓨팅 환경에서 각종 보안 위협들의 핵심에는 악성 실행파일들이 있다. 전통적인 시그니처 기반의 보안 시스템들은 악의적인 실행파일들 중에서 알려지지 않은 것들에 대해서는 런타임 탐지에 어려움이 있다. 그러한 이유로 런타임 탐지를 위해 시그니처가 필요 없는 정적, 동적 분석 방법들이 다각도로 연구되어 왔으며, 특히 악성 실행파일을 실제 실행한 후 그 동작상태를 모니터링 하는 행위기반 동적 분석방법들이 많은 발전을 이루어왔다. 그러나 대부분의 행위기반 분석방법들은 단순히 몇 가지 행위나 비순차적인 분석정보를 제공하기 때문에, 차후 악성여부를 최종 판단하는 방법론에 적용하기에는 그 분석정보가 충분하지 않다. 본 논문에서는 악성 실행파일이 실행되는 동안 발생할 수 있는 행위들을 분류하고, 이를 모니터링 하는 프로토타입 프로그램을 구현하였다. 또한, 악성 실행파일을 직접 실행하는 것은 제한된 컴퓨팅 환경에서 이루어지기 때문에, 실제 악성 실행파일을 모니터링 한 결과를 토대로 행위기반 모니터링 방법이 극복해야 될 이슈들에 대해서도 언급하고 있다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2010.11a
• /
• pp.1308-1311
• /
• 2010

급격히 증가하는 악성코드로 인해 Anti-Virus 연구소들은 대량의 악성코드를 자동으로 분석 및 진단해야 할 필요성을 느끼게 되었다. 이러한 자동 분석은 오진(False Positive)의 증가라는 부작용을 가져왔다. 주요 파일에 대한 오진단은 Anti-Virus 를 통해 최종 보안을 유지하고 있는 대다수의 시스템을 정지시켜, 국가적인 손실을 유발할 수 있다. 따라서, 관련업체들은 오진을 방지하기 위해 다양한 연구를 진행하고 있다. 하지만, 정상파일을 보유하지 않고 파일정보만으로 오진여부를 판단하는 방법은 근본적으로 오진단을 감소시키는데 한계를 가지고 있다. 따라서, 최근에는 정상파일 셋을 구축하여 Anti-Virus 의 오진여부를 최종적으로 판단하는 연구가 진행되고 있다. 하지만, 수많은 파일 중에서 수집이 필요한 파일에 대한 기준과 수집한 파일이 정상파일 인지를 판단할 기준이 존재하지 않아, Anti-Virus 연구소들은 정상파일 셋 구축에 어려움을 겪고 있다. 따라서, 본 고에서는 정상파일에 대한 개념과 정상파일이 악성코드 파일과 비교되는 7 대 특성을 개발하고, 이를 토대로 기존에 제시된 적이 없는 정상파일 취합기준과 판단기준을 제안하였다. Anti-Virus 연구소는 본 기준들을 통해 우수한 오진방지용 정상파일 셋을 구축하여, 악성코드의 증가로 인해 함께 증가하고 있는 오진을 줄이고, 사용자 시스템의 안정성을 도모함으로써, 오진으로 인한 국가적, 경제적 손실을 방지하는데 큰 기여를 할 것으로 기대된다.

• Proceedings of the Korean Institute of Information and Commucation Sciences Conference
• /
• 2010.05a
• /
• pp.299-302
• /
• 2010

Recently, the malicious code is not easily detectable in the vaccine for the virus, malicious code as a compressed file by modulation pattern is the tendency to delay. Among the many antivirus engines on the market a compressed file that can be modulated by malicious code, and test whether the pattern will need to know. We cover a multi-compressed files, malicious code modulated secreted by examining patterns of test engine is being detected is through a computer simulation. Analysis of secreted activities of malicious code and infect the host file tampering with the system driver files and registry, it gets registered is analyzed. this study will contribute hidden malicious code inspection and enhance vaccine efficacy in reducing the damage caused by malicious code.

• Convergence Security Journal
• /
• v.8 no.2
• /
• pp.63-70
• /
• 2008

In order not to make the malwares be easily analyzed, the hackers apply various anti-reversing and obfuscation techniques to the malwares. However, as the more anti-revering techniques are applied to the malwares the more abnormal characteristics in the PE file's header which are not shown in the normal PE file, could be observed. In this letter, a new malware detection technique is proposed based on this observation. For the malware detection, we define the Characteristics Vector(CV) which can represent the characteristics of a PE file's header. In the learning phase, we calculate the average CV(ACV) of malwares(ACVM) and normal files(ACVN). To detect the malwares we calculate the 2 Weighted Euclidean Distances(WEDs) from a file's CV to ACVs and they are used to decide whether the file is a malware or not. The proposed technique is very fast and detection rate is fairly high, so it could be applied to the network based attack detection and prevention devices. Moreover, this technique is could be used to detect the unknown malwares because it does not utilize a signature but the malware's characteristics.

• Journal of Internet of Things and Convergence
• /
• v.9 no.6
• /
• pp.1-9
• /
• 2023

Malware files containing concealed malicious scripts have recently been identified within MS Office documents frequently. In response, this paper describes the design and implementation of a system that automatically detects malicious digital files using machine learning techniques. The system is proficient in identifying malicious scripts within MS Office files that exploit the OLE VBA macro functionality, detecting malicious scripts embedded within the CDH/LFH/ECDR internal field values through OOXML structure analysis, and recognizing abnormal CDH/LFH information introduced within the OOXML structure, which is not conventionally referenced. Furthermore, this paper presents a mechanism for utilizing the VirusTotal malicious script detection feature to autonomously determine instances of malicious tampering within MS Office files. This leads to the design and implementation of a machine learning-based integrated software. Experimental results confirm the software's capacity to autonomously assess MS Office file's integrity and provide enhanced detection performance for arbitrary MS Office files when employing the optimal machine learning model.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2015.04a
• /
• pp.376-379
• /
• 2015

최근 발생한 다양한 해킹 사건에서와 같이, 신규 또는 알려지지 않은 악성코드를 이용한 지능형 지속 공격이 점차 증가하고 있다. 기존의 악성 코드가 해커의 단순한 호기심이나 해커 자신의 능력을 과시하기 위해 제작되어 불특정 다수를 공격했다면, 최근의 해킹 사건에서 사용된 악성코드는 오직 특정 대상만을 목표로 하여 제작, 사용되고 있는 것이 특징이다. 현재 대다수의 악성코드 탐지 방식인 블랙리스트 기반의 시그니처에 의한 탐지방식에서는 악성코드의 일부분이라도 변경이 되면 해당 악성코드를 탐지할 수가 없기 때문에 신규 악성 코드를 탐지하고 대응하는 것이 어렵다. 그러므로 지능형 지속 공격에 대응하기 위해서는 새로운 형태의 파일 탐지 기술이 필요하다. 이에 본 논문에서는 파일의 다양한 속성 및 사용자 분포에 따른 평판점수를 통해 신규 악성코드를 탐지하는 기법을 제안한다.