• 정보보호학회논문지
• /
• 제23권6호
• /
• pp.1121-1129
• /
• 2013

최근 악성코드 유포는 단순한 개인적 피해를 넘어 3 20 사이버테러와 같은 사회적인 심각한 문제점을 야기하고 있다. 특히 취약한 웹을 통한 유포방법인 드라이브 바이 다운로드(Drive-by download) 공격은 가장 심각한 위협이 되고 있다. 따라서 드라이브 바이 다운로드 공격에 사용되는 악성코드 유포 네트워크(Malware Distribution Network, MDN)를 효과적으로 분석하는 것은 악성코드로 인한 피해를 예방하기 위해 매우 중요하다. 악성코드 유포 네트워크를 효과적으로 분석하기 위해서는 웹페이지 내에 포함된 난독화하고 은닉화한 스크립트를 식별해야 하며, 본 논문에서는 이를 식별하기 위해 멀티레벨 에뮬레이션 기법을 제안한다. 이를 통해 다양한 형태로 숨겨져 있는 유포지로 연결하는 링크를 분석하여 악성코드 유포 네트워크 분석의 기반을 제공하고자 한다.

• Journal of Information Processing Systems
• /
• 제12권3호
• /
• pp.422-435
• /
• 2016

Despite the convenience brought by the advances in web and Internet technology, users are increasingly being exposed to the danger of various types of cyber attacks. In particular, recent studies have shown that today's cyber attacks usually occur on the web via malware distribution and the stealing of personal information. A drive-by download is a kind of web-based attack for malware distribution. Researchers have proposed various methods for detecting a drive-by download attack effectively. However, existing methods have limitations against recent evasion techniques, including JavaScript obfuscation, hiding, and dynamic code evaluation. In this paper, we propose an emulation-based malicious webpage detection method. Based on our study on the limitations of the existing methods and the state-of-the-art evasion techniques, we will introduce four features that can detect malware distribution networks and we applied them to the proposed method. Our performance evaluation using a URL scan engine provided by VirusTotal shows that the proposed method detects malicious webpages more precisely than existing solutions.

• 한국정보통신학회논문지
• /
• 제20권7호
• /
• pp.1290-1295
• /
• 2016

최근 모바일 인터넷 이용률이 급증하면서 인터넷 이용자의 웹 브라우저를 통한 사회 공학적 또는 드라이브 바이 다운로드 방식으로 악성코드 유포 공격이 확산되고 있다. 현재 드라이브 바이 다운로드 공격 방어 초점은 최종 다운로드 사이트 및 유포 경로에 초점을 두어 진행되어 왔으나 공격 초기 악성코드를 주입하는 인젝션 사이트에 대한 특성 탐지 및 차단에 대해서는 충분히 연구되지 않았다. 본 논문에서는 이러한 악성 코드 다운로드 공격에 대한 방어메커니즘 향상을 목적으로, 악성코드 다운로드의 핵심 근원지인 인젝션 사이트를 탐지하는 방안에 대해서 연구한다. 결과적으로 악성코드의 확산을 방지하기 위해 다운로드 공격의 최종 사이트를 탐지 및 차단하는 현재의 URL 블랙리스트 기법에 추가하여, 악성코드를 주입하는 인젝션 사이트를 탐지 특징을 추출 하는 방안을 제시한다. 또한 URL 블랙리스트 기반의 접근법과 비교하여 악성코드 감염률을 효율적으로 최소화 할 수 있는 방안임을 보인다.

• 정보보호학회논문지
• /
• 제29권1호
• /
• pp.93-103
• /
• 2019

최근 드라이브 바이 다운로드 공격 기반의 웹사이트를 통한 랜섬웨어 악성코드 유포로 인해 웹사이트 서비스 마비, 일반 이용자 PC 파일 손상 등의 피해가 발생하고 있다. 따라서 악성코드 경유지 및 유포지 사이트의 현황과 추이 파악을 통해 악성코드 유포의 공격 대상 웹사이트 업종, 유포 시간, 악용되는 어플리케이션 종류, 유포되는 악성 코드 유형에 대한 특성을 분석하는 것은 공격자의 공격활동을 예측하고 대응이 가능하다는 점에서 의미가 크다. 본 논문에서는 국내 343만개의 웹사이트를 대상으로 악성코드 유포여부를 점검하여 탐지된 악성코드 경유지 사이트, 익스플로잇 사이트, 악성코드 유포지 사이트별로 어떠한 특징들이 나타나는지를 도출하고, 이에 대한 대응방안을 고찰하고자 한다.

• 한국정보과학회논문지:컴퓨팅의 실제 및 레터
• /
• 제15권12호
• /
• pp.1003-1007
• /
• 2009

Drive-by download와 같은 클라이언트 측 공격은, 악의적인 서버와 상호작용하거나 악의적인 데이터를 처리하는 클라이언트 애플리케이션의 취약점을 대상으로 이루어진다. 전형적인 공격은 특정 브라우저 취약점을 악용하는 악성 웹 페이지와 관련된 웰 기반 공격으로, 클라이언트 시스템에 멀웨어를 실행하거나 클라이언트의 제어를 악의적인 서버에게 완전히 넘겨주기도 한다. 이러한 공격을 방어하기 위해, 본 논문에서는 Capture-HPC를 이용하여 가상 머신에서 실행기반으로 악성 웹 페이지를 탐지하는 고 상호작용(high interaction) 클라이언트 허니팟을 구축하였다. 이 실행기반 탐지 시스템을 이용하여 악성 웰 페이지를 탐지하고 분류하였다. 또한 가상머신의 이미지 개수 및 한 가상머신에서 동시 수행하는 브라우저 수에 따른 시스템 성능을 분석하였다. 실험 결과, 가상머신의 이미지 수는 하나이고 동시 수행하는 브라우저의 수가 50개일 때 시스템이 적은 리버팅 오버헤드를 유발하여 더 나은 성능을 보였다.

• 융합보안논문지
• /
• 제14권4호
• /
• pp.61-71
• /
• 2014

최근 안드로이드 스마트폰에서 악성 앱의 출현이 증가하고 있다. 하지만 매일 많은 앱이 출현되기 때문에 이들 앱을 분석하여 악성 앱을 탐지하기에는 많은 시간과 자원이 요구된다. 이로 인해 악성 앱이 많이 확산된 후에 대처하는 상황도 적지 않다. 본 논문은 악성 앱 가능성이 높은 앱을 우선적으로 분석할 수 있도록 앱 행위를 동적으로 추적하고 고위험성의 앱을 분류하는 TAU 기법을 제안한다. 이 기법은 사용자와 스마트폰의 상호작용으로 발생하는 앱의 설치, 유포 경로 및 실행 행위를 추적한다. 이런 추적된 행위 분석하여 Drive-by download 및 Update attack 공격 가능성이 있는 앱을 분류한다. 또한 악성 앱의 유포 경로로 많이 사용되는 리패키징 여부를 판별한다. 이런 분류를 통해 고위험성의 앱에 대한 악성 코드 분석을 우선적으로 실행하게 하여 악성 앱의 유포를 빨리 막을 수 있도록 한다.

• 융합보안논문지
• /
• 제18권3호
• /
• pp.37-44
• /
• 2018

오늘날 우리는 웹 사이트의 홍수 속에 살고 있으며, 다양한 정보를 얻기 위해서 인터넷을 통해 수많은 웹 사이트에 접속을 하고 있다. 하지만 웹 사이트의 보안성이 담보되지 않는다면, 여러 악의적인 공격들로부터 웹 사이트의 안전성을 확보할 수가 없다. 특히 금전적인 목적, 정치적인 목적 등 다양한 이유로 웹 사이트의 보안 취약점을 악용한 해킹 공격이 증가하고 있다. SQL-Injection, 크로스사이트스크립트(XSS), Drive-By-Download 등 다양한 공격기법들이 사용되고 있으며, 그 기술 또한 갈수록 발전하고 있다. 이와 같은 다양한 해킹 공격들을 방어하기 위해서는 웹 사이트의 개발단계부터 취약점을 제거하여 개발하여야 하지만, 시간 및 비용 등 여러 문제들로 인해 그러지 못하는 것이 현실이다. 이를 보완하기 위해 웹 취약점 점검을 통해 웹 사이트의 취약점을 파악하고 조치하는 것이 중요하다. 이에 본 논문에서는 웹 취약점 및 진단기법에 대해 알아보고 실제 웹 취약점 진단 사례를 통해 각 사례별 조치현황에 따른 개발단계에서의 취약점별 조치 우선 순위에 대해 알아보고자 한다.

• 정보보호학회논문지
• /
• 제24권5호
• /
• pp.871-883
• /
• 2014

최근 경제적 이윤을 목적으로 한 해킹조직들이 국가 주요 웹사이트 및 포털사이트, 금융 관련 웹사이트 등을 해킹하여 국가적 혼란을 야기 시키거나 해킹한 웹사이트에 악성코드를 설치함으로서 해당 웹사이트를 접속하는 행위만으로도 악성코드에 감염되는 이른바 'Drive by Download' 공격이 빈번하게 발생하고 있는 실정이다. 이러한 웹사이트를 공격목표로 하는 사이버 위협에 대한 대응방안으로 웹사이트 위 변조 탐지 시스템이 주목을 받고 있으며, 국내에서는 국가사이버안전센터(NCSC)를 중심으로 분야별 사이버 보안을 담당하는 부문 보안관제센터에서 해당 시스템을 구축 운영하고 있다. 그러나 기존 위 변조 탐지기술의 대부분은 위 변조 탐지 시간이 오래 걸리고 오탐율 또한 높기 때문에, 신속성 및 정확성이 중요한 보안관제 분야에서는 직접적 활용이 어렵다는 문제점을 안고 있다. 따라서 본 논문은 웹사이트 위 변조 탐지시스템의 오탐률을 최소화하고 실시간 보안관제에 활용하기 위해 이미지 및 코드 분석기반의 웹사이트 위 변조 탐지 시스템을 제안한다. 제안 시스템은 웹크롤러에 의해 비교검증의 대상이 되는 정보만을 수집하고 정규화를 통해 위 변조 판별에 영향을 미치는 이미지 및 코드를 추출하여 유사도를 분석하고 이를 시각화함으로서 보안관제요원의 직관적인 탐지 및 웹사이트 위 변조에 대한 신속성 및 정확성을 향상하는데 목적을 둔다.

• 융합정보논문지
• /
• 제8권1호
• /
• pp.139-145
• /
• 2018

랜섬웨어란 악성코드의 일종이다. 랜섬웨어에 감염된 컴퓨터는 시스템 접근이 제한된다. 이를 해제하기 위해서는 악성 코드 제작자에게 대가를 제공해야 한다. 최근 최대 규모의 랜섬웨어 공격이 발생함에 따라 인터넷 보안 환경에 대한 우려가 점점 커지고 있다. 랜섬웨어에 대한 종류와 사이버테러 피해를 막기 위한 대응 방안을 알아본다. 강력한 감염성을 가지며 최근에도 끊임없이 공격해오는 랜섬웨어는 대표적으로 Locky, Petya, Cerber, Samam, Jigsaw가 있고, 점점 공격패턴이 진화중이며 요구 결제 금액 또한 증가하고 있다. 현재로써 랜섬웨어 방어는 100% 특효약이 있는 것이 아니다. 하지만 자동업데이트, 백신설치, 주기적 백업을 통해 랜섬웨어에 대응 할 수 있다. 본 연구에서는 네트워크와 시스템에 도달하지 못하도록 다층적인 접근 방법을 제시하여, 기업과 개인 사용자들의 랜섬웨어 예방 방법을 제시하였다.

• 전자공학회논문지
• /
• 제51권11호
• /
• pp.127-133
• /
• 2014

다양한 악성코드로부터 정보자산을 보호하기 위해서 허니팟 시스템을 구축한다. 허니팟 시스템은 내부 시스템이 공격받지 않도록 공격을 유인하는 목적으로 설계되거나, 악성코드 정보를 수집하기 위한 목적으로 설계된다. 그러나 기존의 하니팟은 정보 수집을 목적으로 구축되었기 때문에 위장서버 혹은 위장 클라이언트 서버를 구축하거나 위장 콘텐츠를 제공하여 공격자의 유입을 적극적으로 유도하도록 설계되었다. 그러나 위장서버구축의 경우는 빈번한 디스크 입출력으로 약 1년 주기로 하드웨어를 재설치하여야 하고, 위장 클라이언트 서버를 구축하는 경우는 획득한 정보 분석의 자동화에는 한계가 있기 때문에 전문 인력 확보와 같은 운영상의 문제가 있다. 이처럼 기존 허니팟의 하드웨어적인 문제와 운영상의 문제들을 해결 및 보완할 수 있도록 본 연구에서는 하이브리드 허니팟을 제안하였다. 제안한 하이브리드 허니팟은 허니월, 분석서버, 통합콘솔을 두고 공격유형을 2가지 유형으로 분류하여 처리한다. 유형1인 고수준 상호작용서버와 유형2인 저수준 상호작용서버를 동작하도록 하여 위장(유인용)과 거짓응답(에뮬레이션)이 공통스위치 영역에 연계되도록 설계하였다. 이러한 하이브리드 허니팟은 허니월의 저수준 허니팟과 고수준 허니팟을 동작하도록 한다. 분석서버는 해킹유형을 해쉬값으로 변환하고 이를 상관분석 알고리즘으로 분리하여 허니월에 전송한다. 통합모니터링 콘솔은 지속적인 모니터링을 실시하므로 최신 해킹기법과 공격 툴에 대한 정보 분석뿐만 아니라 악성코드에 대한 선제적인 보안대응 효과를 제공할 수 있을 것으로 기대한다.