• 한국컴퓨터정보학회논문지
• /
• 제20권6호
• /
• pp.37-42
• /
• 2015

본 논문에서는 악성코드에 대한 피해를 실시간으로 탐지하고 차단하기 위해 모바일 내부에 악성링크에 대한 데이터베이스를 저장하고 또한 악성링크 탐지 엔진을 통해 웹 서비스를 통제함으로 인해 보다 안전한 모바일 환경을 제공하고자 한다. 최근 모바일 환경에서의 악성코드는 PC 환경 못지않게 기승을 부리고 있으며 새로운 위협이 되고 있다. 특히 모바일 특성상 악성코드의 피해는 사용자의 금전적인 피해로 이어진다는 것이 더 중요한 이유이다. 이러한 사이버 범죄를 어떻게 예방하고 실시간으로 차단할 수 있을 것 인지에 대해 많은 연구가 진행되고 있지만 초보적인 수준에 불과한 실정이다. 추가적으로 SMS나 MMS를 통해 전달되는 스미싱도 탐지 및 차단할 수 있는 방안을 제안하고자 한다. 향후 모바일 사업자는 본 연구를 바탕으로 한 근본적인 대책을 수립하여 안전한 모바일 환경을 구축해야 할 것이다.

• 한국정보통신학회논문지
• /
• 제20권7호
• /
• pp.1290-1295
• /
• 2016

최근 모바일 인터넷 이용률이 급증하면서 인터넷 이용자의 웹 브라우저를 통한 사회 공학적 또는 드라이브 바이 다운로드 방식으로 악성코드 유포 공격이 확산되고 있다. 현재 드라이브 바이 다운로드 공격 방어 초점은 최종 다운로드 사이트 및 유포 경로에 초점을 두어 진행되어 왔으나 공격 초기 악성코드를 주입하는 인젝션 사이트에 대한 특성 탐지 및 차단에 대해서는 충분히 연구되지 않았다. 본 논문에서는 이러한 악성 코드 다운로드 공격에 대한 방어메커니즘 향상을 목적으로, 악성코드 다운로드의 핵심 근원지인 인젝션 사이트를 탐지하는 방안에 대해서 연구한다. 결과적으로 악성코드의 확산을 방지하기 위해 다운로드 공격의 최종 사이트를 탐지 및 차단하는 현재의 URL 블랙리스트 기법에 추가하여, 악성코드를 주입하는 인젝션 사이트를 탐지 특징을 추출 하는 방안을 제시한다. 또한 URL 블랙리스트 기반의 접근법과 비교하여 악성코드 감염률을 효율적으로 최소화 할 수 있는 방안임을 보인다.

• 정보보호학회논문지
• /
• 제22권4호
• /
• pp.869-882
• /
• 2012

웹 서비스의 증가와 자동화된 공격 도구의 발달로 최근 대부분의 악성코드 유포 경로는 웹 서비스를 통하여 이루어지고 있다. 또한 웹의 기본 언어인 자바스크립트를 이용한 난독화 기법을 통해 악성코드 은닉 사이트의 URL이나 공격 코드를 숨기기 때문에, 기존 패턴 매칭 기반의 네트워크 보안 솔루션으로는 탐지에 한계가 존재하게 된다. 이를 해결하기 위하여 사용자의 웹브라우저에서 악성 자바스크립트를 탐지하기 위한 여러 방안이 제시되었지만, 최근 APT공격과 같이 특정 기업이나 조직 네트워크에 침투하기 위한 고도화된 공격에 대응하기에는 한계가 존재한다. 이런 유형의 공격에 대응하기 위해, 외부에서 유입되는 트래픽에 대해 난독화된 악성코드가 웹을 통해 유입되는지 일괄적인 탐지가 필요하며, 기존 패턴 매칭 기반 솔루션에서 탐지율의 한계를 극복하기 위해 난독화된 자바스크립트를 복호화 하여 숨겨진 악성코드를 탐지할 수 있는 새로운 방법이 필요하다. 본 논문에서는 오픈소스인 Jsunpack-n[1] 을 개량하여 자바스크립트의 함수 오버라이딩 기법과 별도의 자바스크립트 인터프리터를 통해 악성코드에 적용된 난독화 기법에 상관없이 숨겨진 악성코드를 자동적으로 탐지할 수 있는 도구를 제안한다.

• 한국컴퓨터정보학회:학술대회논문집
• /
• 한국컴퓨터정보학회 2014년도 제50차 하계학술대회논문집 22권2호
• /
• pp.365-367
• /
• 2014

최근 웹 서비스의 증가와 악성코드는 그 수를 판단 할 수 없을 정도로 빠르게 늘어나고 있다. 매년 늘어나는 악성코드는 금전적 이윤 추구가 악성코드의 주된 동기가 되고 있으며 이는 공공기관 및 보안 업체에서도 악성코드를 탐지하기 위한 연구가 활발히 진행되고 있다. 본 논문에서는 실시간으로 패킷을 분석할수 있는 필터링과 웹 크롤링을 통해 도메인 및 하위 URL까지 자동적으로 탐지할 수 있는 악성코드 탐지 시스템을 제안한다.

• 한국정보통신학회논문지
• /
• 제25권9호
• /
• pp.1227-1233
• /
• 2021

QR코드는 간단한 명함이나 URL 등 다양한 형태로 사용되어 왔다. 최근 코로나19 팬데믹의 영향으로 방문 및 출입 기록을 통한 이동 경로를 추적하기 위해 QR코드를 사용하게 되면서 QR코드의 사용량이 급증하였다. 이렇듯 대부분의 사람들이 대중적으로 사용하게 되면서 위협에 항상 노출되어 있다. QR코드의 경우 실행을 하기 전까지 어떠한 행위를 하는지 알 수 없다. 그렇기 때문에 악성URL이 삽입된 QR코드를 아무 의심없이 실행을 하게 되면 보안 위협에 바로 노출되게 된다. 따라서 본 논문에서는 QR코드를 스캔할 때 악성 QR코드인지를 판단한 후 이상이 없을 경우에만 정상적인 접속을 할 수 있는 클라우드 기반 악성 QR코드 탐지 시스템을 제안한다.

• 한국컴퓨터정보학회논문지
• /
• 제27권5호
• /
• pp.149-156
• /
• 2022

최근 전 세계적으로 사용되는 Microsoft Office 파일에 악성코드를 삽입하는 문서형 악성코드 사례가 증가하고 있다. 문서형 악성코드는 문서 내에 악성코드를 인코딩하여 숨기는 경우가 많기 때문에 백신 프로그램을 쉽게 우회할 수 있다. 이러한 문서형 악성코드를 탐지하기 위해 먼저 Microsoft Office 파일의 형식인 OLE(Object Linking and Embedding) 파일의 구조를 분석했다. Microsoft Office에서 지원하는 기능인 VBA(Visual Basic for Applications) 매크로에 외부 프로그램을 실행시키는 쉘코드, 외부 URL에서 파일을 다운받는 URL 관련 코드 등 다수의 악성코드가 삽입된 것을 확인했다. 문서형 악성코드에서 반복적으로 등장하는 키워드 354개를 선정하였고, 각 키워드가 본문에 등장하는 횟수를 feature 로 정의했다. SVM, naïve Bayes, logistic regression, random forest 알고리즘으로 머신러닝을 수행하였으며, 각각 0.994, 0.659, 0.995, 0.998의 정확도를 보였다.

• 융합보안논문지
• /
• 제23권2호
• /
• pp.3-10
• /
• 2023

웹에 존재하는 악성코드 배포 네트워크에는 악성코드 배포를 위해 핵심 역할을 수행하는 중심 노드가 있다. 이노드를 찾아 차단하면 악성코드 전파를 효과적으로 차단할 수 있다. 본 연구에서는 복잡계 네트워크에서 위험 분석이 적용된 centrality 검색 방법을 제안하였고, 이 방식을 통해 악성코드 배포 네트워크 내에서 핵심노드를 찾는 방법을 소개한다. 그 외에, 정상 네트워크와 악성 네트워트는 in-degree와 out-degree 측면에서 큰 차이가 있고, 네트워크 레이아웃 측면에서도 서로 다르다. 이 특징을 통해 우리는 악성과 정상 네트워크를 분별할 수 있다.

• 정보보호학회논문지
• /
• 제32권3호
• /
• pp.555-564
• /
• 2022

최근 사이버 공격은 지능적이고 고도화된 악성코드를 활용한 해킹 기법을 활용하여 재택근무 및 원격의료, 자동산업설비를 공격하고 있어서 피해 규모가 커지고 있다. 안티바이러스와 같은 전통적인 정보보호체계는 시그니처 패턴 기반의 알려진 악성 URL을 탐지하는 방식이어서 알려지지 않은 악성 URL을 탐지할 수 없다. 그리고 종래의 정적 분석 기반의 악성 URL 분석 방식은 동적 로드와 암호화 공격에 취약하다. 본 연구에서는 악성 URL 데이터를 동적으로 학습하여 효율적으로 악성 URL 탐지하는 기법을 제안한다. 제안한 탐지 기법에서는 머신러닝 기반의 특징 선택 알고리즘을 사용해 악성 코드를 분류했고, 가중 유클리드 거리(Weighted Euclidean Distance, WED)를 활용하여 사전처리를 진행한 후 난독화 요소를 제거하여 정확도를 개선한다. 실험 결과에 따르면 본 연구에서 제안한 머신러닝 기반 악성 URL 탐지 기법은 종래의 방법 대비 2.82% 향상된 89.17%의 정확도를 보인다.

• 융합보안논문지
• /
• 제15권1호
• /
• pp.3-9
• /
• 2015

본 논문에서는 테인트드로이드(TaintDroid)를 이용한 스미싱 탐지 기법을 제안한다. 제안하는 시스템은 스마트폰 사용자가 스미싱으로 의심되는 URL이 포함된 문자메시지를 수신 하였을 때 테인트드로이드 서버로 URL을 전송하여 테인트드로이드 서버의 가상디바이스에 해당 애플리케이션을 설치하여 악성행위를 탐지한다. 실제 스마트폰에서 스미싱으로 의심되어 설치하지 못하였던 애플리케이션은 가상 디바이스를 통하여 테스트하고 악성행위를 하는 애플리케이션인지의 여부를 판별한다. 본 논문에서 제안한 테인트드로이드를 이용한 스미싱 탐지 기법은 새로운 형태의 스미싱 문자메시지의 탐지가 가능하며 사용자가 분석결과를 통해 어떤 애플리케이션인지의 확인이 가능하다.

• Journal of Information Processing Systems
• /
• 제12권3호
• /
• pp.422-435
• /
• 2016

Despite the convenience brought by the advances in web and Internet technology, users are increasingly being exposed to the danger of various types of cyber attacks. In particular, recent studies have shown that today's cyber attacks usually occur on the web via malware distribution and the stealing of personal information. A drive-by download is a kind of web-based attack for malware distribution. Researchers have proposed various methods for detecting a drive-by download attack effectively. However, existing methods have limitations against recent evasion techniques, including JavaScript obfuscation, hiding, and dynamic code evaluation. In this paper, we propose an emulation-based malicious webpage detection method. Based on our study on the limitations of the existing methods and the state-of-the-art evasion techniques, we will introduce four features that can detect malware distribution networks and we applied them to the proposed method. Our performance evaluation using a URL scan engine provided by VirusTotal shows that the proposed method detects malicious webpages more precisely than existing solutions.