• 한국항행학회논문지
• /
• 제13권6호
• /
• pp.884-893
• /
• 2009

최근 윈도우 운영체제를 대상으로 하는 악의적인 공격은 윈도우 커널 단에서 동작하는 API를 후킹하여 이루어지고 있다. 본 논문에서는 윈도우 커널 단에서 동작하는 API 후킹 탐지를 위해 여러 후킹 기술과 방어 기술에 대해 연구, 분석한다. 이를 통해 커널 단에서 동작하는 dll파일들을 대상으로 현 시스템에서 동작하고 있는 API들을 탐지하는 윈도우 API 후킹 탐지 도구를 설계 및 개발한다. 제안하는 탐지 도구는 kernel32.dll, snmpai.dll, ntdll.dll 그리고 advapi.dll 등을 대상으로 import와 export 하는 동작을 탐지한다. 해당 도구를 이용한 탐지 결과 현 시스템의 커널 단에서 동작하고 API의 메모리상의 위치와 행위 등을 탐지 할 수 있다.

• 정보보호학회논문지
• /
• 제21권2호
• /
• pp.111-117
• /
• 2011

암호기술의 발전으로 통신의 비밀이나 정보보호가 강화되었지만, 암호기술을 역이용하는 Cryptovirus가 등장하였고 윈도우즈 CAPI(Crypto API)를 사용하는 악성코드도 누구나 쉽게 제작하여 배포할 수 있는 환경이 되었다. CAPI를 사용하는 악성코드는 윈도우즈에서 제공하는 정상적인 API를 사용하기 때문에 IPS(Intrusion Prevention System) 등 정보보호시스템은 물론 백신프로그램에서도 탐지 및 분석이 쉽지 않다. 본 논문에서는 Cryptovirus를 비롯하여 윈도우즈 CAPI를 사용하는 악성코드 무력화 방안 연구 및 이와 관련된 Hooking 도구 구현결과를 제시하고자 한다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2012년도 한국컴퓨터종합학술대회논문집 Vol.39 No.1(D)
• /
• pp.135-136
• /
• 2012

윈도우기반 게임 프로그램의 엔진은 대부분 DirectX를 사용하고 있다. 이는 게임 프로세스를 탐지하는데에 있어서 수많은 게임의 이름을 알고 있지 않아도, DirectX의 사용여부로 게임 프로세스를 탐지할 수 있음을 의미한다. 본 논문은 유저모드 후킹 Windows Message Hooking과 Direct3D Hooking을 이용하여 게임 프로세스를 탐지하는 방법을 제안하고자 한다.

• 예술인문사회 융합 멀티미디어 논문지
• /
• 제5권2호
• /
• pp.297-304
• /
• 2015

Zeus는 전 세계적으로 널리 퍼진 멀웨어 중 하나이다. 일반적으로 인터넷 상에서 특정 바이너리 파일을 다운 받아 실행함으로써 감염이 되며, 감염이 되면 현재 실행 중인 프로세스들의 특정 Windows API에 후킹을 시도하여, 해당 프로세스가 API를 실행하면 Zeus의 특정 코드를 실행하도록 변조가 되어 개인 정보들이 유출되도록 구성되어 있다. 본 논문에서는 Zeus의 기초 버전인 C&C(Command and Control)방식을 중심으로 Zeus가 어떤 방식으로 Windows API를 후킹하는지, 그리고 어떤 방법으로 후킹이 되었는지 탐지할 수 있는지 제시하여 현대의 P2P Zeus 탐지에 도움이 되고자 한다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제6권2호
• /
• pp.766-783
• /
• 2012

Recently, many malicious users have attacked web browsers using JavaScript code that can execute dynamic actions within the browsers. By forcing the browser to execute malicious JavaScript code, the attackers can steal personal information stored in the system, allow malware program downloads in the client's system, and so on. In order to reduce damage, malicious web pages must be located prior to general users accessing the infected pages. In this paper, a novel framework (JsSandbox) that can monitor and analyze the behavior of malicious JavaScript code using internal function hooking (IFH) is proposed. IFH is defined as the hooking of all functions in the modules using the debug information and extracting the parameter values. The use of IFH enables the monitoring of functions that API hooking cannot. JsSandbox was implemented based on a debugger engine, and some features were applied to detect and analyze malicious JavaScript code: detection of obfuscation, deobfuscation of the obfuscated string, detection of URLs related to redirection, and detection of exploit codes. Then, the proposed framework was analyzed for specific features, and the results demonstrate that JsSandbox can be applied to the analysis of the behavior of malicious web pages.

• 정보보호학회논문지
• /
• 제15권4호
• /
• pp.51-60
• /
• 2005

통신망과 저장장치의 발달에 따라 내부 사용자에 의한 중요 정보 자산의 외부 유출이 증가하고 있으므로 이에 대한 보안을 강화해야할 필요성이 증대되고 있다. 제안한 파일유출 모니터링시스템은 클라이언트에서 파일이 저장매체에 저장/복사되거나 파일이 종이문서로 인쇄되어 외부로 유출되는 경우에 로그를 발생시켜 서버에서 이를 모니터링한다. 모니터링 방법은 커널 레벨에서 I/O Manager에 의해 발생하는 IRP의 필터링과 Win32 API 후킹 기법을 사용하였다. 특히 파일을 저장매체에 저장하는 경우, 네트워크 공유를 통하여 파일을 저장하는 경우 및 파일의 인쇄를 통하여 유출하는 경우에 로그를 발생시키고 모니터링하는 방법을 구현하였다. 모니터링시스템은 윈도우즈 2000 및 XP 실험환경에서 파일의 복사와 인쇄 시 로그가 $100\%$ 발생되고 모니터링 기능이 수행됨을 확인하였다.

• 정보처리학회논문지B
• /
• 제11B권1호
• /
• pp.45-52
• /
• 2004

본 연구에서는 ESS_WMCE를 제안한다. 이 논문은 ESS_WMCE상에서 실행되는 EDSS의 설계와 구축을 기술한다. EDSS는 웹 기반 멀티미디어 공동 작업 환경에서의 동기화 오류 제어 시스템이다. 훅킹 방법에 의하여 오류를 감지하고 오류 전단 기법은 응용 공유 시스템을 이용한 수정된 모델이다. 두레는 컴퓨터 지원 협동 작업을 위한 응용을 개발하기 위하여 지원되는 좋은 프레임워크 모델이다. 이 시스템은 기본적인 서비스 기능을 가지고 있고 기능들은 객체 지향 개념으로 구현되어 있다. 이것은 소프트웨어 기술을 사용하여 웹 기반 멀티미디어 공동 작업 환경에서 발생되는 소프트웨어 오류를 신속하게 감지하고 공유시키는 데 적합하다. 본 논문은 공유되는 객체를 접근하기 위하여 URL 동기화뿐만 아니라 오류를 공유할 수 있다. 오류 발생 시에 오류 감지는 MS-Windows API에 있는 훅 킹(hooking) 방법을 이용한다. 감지된 오류는 공유되는 객체를 접근하기 위하여 오류공유가 가능하다.

• 한국정보통신학회:학술대회논문집
• /
• 한국해양정보통신학회 2011년도 추계학술대회
• /
• pp.551-553
• /
• 2011

네트워크 구축 시 방화벽 설치에 대한 어려움이 있으며, 이를 운용하기에 막대한 비용이 요구된다. 개인용 컴퓨터에 홈 네트워크 방화벽을 구축하기에는 경제적으로 많은 부담이 된다. 이러한 경제적 부담에 의해 각 가정에 대해 방화벽을 구축하지 않고 개인용 PC들은 기업용 방화벽을 적용해서 방화벽 내부 해킹에 대해서 많은 문제점이 나타난다. 본 논문에서는 API 후킹 모듈을 이용한 개인 방화벽 운용에 관한 것으로 휴대용 저장장치에 쓰기 및 삭제가 불가한 영역을 형성하였다. 그리고 해당 영역으로 API 후킹을 위한 알고리즘을 제안하였다. 제안한 알고리즘은 개인용 컴퓨터에 방화벽 설치 및 활용이 손쉽게 이루어져 사용 편의성을 증대시킬 수 있을 것으로 사료된다.

• 융합보안논문지
• /
• 제6권2호
• /
• pp.1-11
• /
• 2006

클라이언트에 저장된 파일이나 도면등의 자료가 외부로 유출되는 것을 방지하기 위해서는 파일을 생성한 자신도 관리자의 허락 없이는 저장장치로 파일을 저장/복사할 수 없는 제어가 필요하다. 저장장치 제어를 위하여 저장장치를 디바이스와 드라이브로 인식할 수 있어야 하고, 저장장치의 사용을 제어하기 위한 제어값 설정과 저장프로세스를 후킹하여 파일의 저장을 제한 할 수 있는 방법을 연구한다. 이를 수행하기 위하여 파일시스템의 Win32 API함수를 후킹하여 해당드라이브에 설정된 제어값을 참조하고 파일의 저장프로세스를 제어하는 기법을 제안하였다. 제안한 기법이 제어가 설정된 저장장치에 파일을 복사/저장하면 쓰기가 금지되어 제어가 수행됨을 실험으로 확인하였다.

• 정보보호학회논문지
• /
• 제27권6호
• /
• pp.1271-1280
• /
• 2017

런타임 실행 압축 기술을 이용하는 안드로이드 패커(packer) 서비스는 덱스클래스로더(DexClassLoader)를 이용하여 원본 어플리케이션으로 전환한다. 하지만 덱스클래스로더의 API 인터페이스는 로드할 덱스(Dalvik EXcutable)의 경로와 컴파일 된 파일의 경로를 입력 받으므로 원본이 파일시스템에 드러나는 문제점이 있다. 따라서 해당 API를 패커 서비스에 그대로 사용하는 것은 안전하지 않다. 본 논문에서는 이 문제를 해결하기 위해 덱스클래스로더 API의 컴파일 흐름과 로드 흐름을 변경하여 해결하였다. 이 변경된 실행 흐름으로 인해 컴파일 된 파일을 암호화하여 파일 시스템에 두거나 메모리에만 존재하도록 하고, 이후 로드할 때 복호화 또는 치환을 하여 원본 앱 전환을 가능하게 한다. 제안하는 기법을 통해 원본 파일이 파일시스템에 노출되지 않음으로써 패커의 안정성이 올라갈 것이라 예상한다.