• 융합보안논문지
• /
• 제8권2호
• /
• pp.63-70
• /
• 2008

최근 발생하는 다양한 악성 프로그램을 분석해 보면, 해당 악성 프로그램을 쉽게 분석할 수 없도록 하기 위해 다양한 분석 방해 기법들이 적용되고 있다. 그러나, 분석 방해 기법들이 적용될수록, 악성프로그램의 PE파일 헤더에는 정상적인 일반 PE파일의 헤더와는 다른 특징이 더 많이 나타난다. 본 논문에서는 이를 이용하여 악성 프로그램을 탐지할 수 있는 방법을 제안하고자 한다. 이를 위해, PE파일 헤더의 특징을 표현할 수 있는 특징 벡터(Characteristic Vector, CV)를 정의하고, 정상 실행 파일의 특징 벡터의 평균(ACVN)과 악성 실행 파일의 특징 벡터의 평균(ACVM)을 사전 학습을 통해 추출한다. 이후, 임의 파일의 특징 벡터와 ACVN, ACVM간의 Weighted Euclidean Distance(WED)를 계산하고, 이를 기반으로 해당 파일이 정상파일인지 혹은 악성 실행 파일인지를 판단하는 기술을 제안한다.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제2권1호
• /
• pp.43-50
• /
• 2013

파일 식별과 분석은 컴퓨터 포렌식 수사과정에서 디지털증거 획득 및 증거분석에 중요한 요소이며 지금까지 많은 연구가 진행되었다. 그러나 실행파일의 식별과 분석은 주로 악성코드에 대해 연구되어 왔기 때문에, 저작권침해 사고와 같은 일반적인 실행파일을 세부적으로 분류하고 탐지해야 할 경우에는 기존의 악성코드 분류 방법은 적용되기 어렵다. 따라서, 본 논문에서는 실행파일 헤더내 문서화되지 않은 정보의 유사도 측정에 근거한 비교를 통해 실행파일을 세부적으로 분류할 수 있는 방법을 제시한다. 제안한 방법은 실행파일의 헤더에 포함된 정보를 이용하기 때문에 일반적인 실행파일뿐만 아니라 기존의 악성코드 및 새로운 악성코드와 변종 그리고 실행압축, 코드변형, 가상화 및 난독화된 실행파일 분류에도 활용이 가능하다.

• 정보처리학회논문지C
• /
• 제16C권5호
• /
• pp.555-562
• /
• 2009

악성코드 사고 조사에서 가장 중요한 것은 신속하게 악성코드를 탐지하고 수집하는 것이다. 기존의 조사 방법은 시그니쳐 기반의 안티바이러스 소프트웨어를 이용하는 것이다. 시그니쳐 기반의 탐지는 실행파일 패킹, 암호화 등을 통해 쉽게 탐지를 회피할 수 있다. 그렇기 때문에 악성코드 조사에서 패킹을 탐지하는 것도 중요한 일이다. 패킹탐지는 패킹 시그니쳐 기반과 엔트로피 기반의 탐지 방법이 있다. 패킹 시그니쳐기반의 탐지는 새로운 패킹을 탐지하지 못하는 문제가 있다. 그리고 엔트로피 기반의 탐지 방법은 오탐의 문제가 존재한다. 본 논문에서는 진입점 섹션의 엔트로피 통계와 패킹의 필수적인 특징인 'write' 속성을 이용하여 패킹을 탐지하는 기법을 제시한다. 그리고 패킹 PE 파일을 탐지하는 도구를 구현하고 도구의 성능을 평가한다.

• Journal of Information Processing Systems
• /
• 제12권4호
• /
• pp.644-660
• /
• 2016

The real-time detection of malware remains an open issue, since most of the existing approaches for malware categorization focus on improving the accuracy rather than the detection time. Therefore, finding a proper balance between these two characteristics is very important, especially for such sensitive systems. In this paper, we present a fast portable executable (PE) malware detection system, which is based on the analysis of the set of Application Programming Interfaces (APIs) called by a program and some technical PE features (TPFs). We used an efficient feature selection method, which first selects the most relevant APIs and TPFs using the chi-square ($KHI^2$) measure, and then the Phi (${\varphi}$) coefficient was used to classify the features in different subsets, based on their relevance. We evaluated our method using different classifiers trained on different combinations of feature subsets. We obtained very satisfying results with more than 98% accuracy. Our system is adequate for real-time detection since it is able to categorize a file (Malware or Benign) in 0.09 seconds.

• 한국정보통신학회:학술대회논문집
• /
• 한국정보통신학회 2017년도 춘계학술대회
• /
• pp.249-251
• /
• 2017

과거에는 소프트웨어 보안이 크게 중요하지 않게 생각해왔다. 그러나 소프트웨어를 공격하는 기술은 시대를 넘어 빠르게 성장하고 있으며 이로 인한 소프트웨어 산업의 성장은 감소하고 저작권자의 이익은 점점 감소하고 있다. 그래서 본 연구에서는 PE 포맷 조작을 통해 소프트웨어 크랙을 방지하는 것을 제안한다. 보통 해커는 프로그램을 정적으로 먼저 분석을 해서 1차적인 정보를 얻는데 PE 포맷의 약간의 조작만으로 정적 분석을 방해할 수 있다. 그리고 PE 포맷 조작을 통해 해당 프로그램에 여러 가지 보안 코드가 삽입 가능하며 이를 통해 해커들의 디버거를 이용한 접근이나 동적 분석을 방해 할 수 있다.

• 정보보호학회논문지
• /
• 제26권5호
• /
• pp.1313-1322
• /
• 2016

최근 인터넷을 통한 공공 기관이나 금융권에 대한 바이러스 및 해킹 공격이 더욱 지능화, 고도화되고 있다. 특히, 지능형 지속 공격인 APT(Advanced Persistent Threat)가 중요한 사이버 위협으로 주목을 받았는데 이러한 APT 공격은 기본적으로 네트워크상에서 악성 코드의 유포를 통해 이루어진다. 본 논문에서는 스마트 제조 산업에서 사용할 수 있도록 네트워크상에서 전송되는 PE(Portable Executable) 파일을 효과적으로 탐지하고 추출하여 악성코드 분석을 효과적으로 할 수 있는 방법을 제안하였다. PE 파일만 고속으로 추출하여 저장하는 기능을 공개 침입 탐지 툴인 Snort의 전처리기단에서 구현한 후 이를 하드웨어 센서 장치에 탑재하여 실험한 결과, 네트워크상에서 전송되는 악성 의심 코드인 PE 파일을 정상적으로 탐지하고 추출할 수 있음을 확인하였다.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제5권12호
• /
• pp.491-498
• /
• 2016

최근 Windows PE와 같은 포터블 OS를 USB, CD/DVD 등의 이동식 저장매체에 저장하여 부팅하는 기법으로 기밀자료 및 내부정보가 유출되는 사례가 증가하고 있다. 이동식 저장매체를 이용한 이 부팅 기법은 타깃 PC에 설치된 USB 보안, 매체제어솔루션 등의 보안 소프트웨어의 우회가 가능하고, 부팅 후 PC의 저장매체를 마운트하여 정보 추출 및 악성코드 삽입 등의 행위가 가능하며, 이동식 저장매체의 사용흔적과 같은 로그기록이 남지 않는 특징이 있어 자료유출여부 확인과 역추적이 어렵다. 이에 본 논문에서는 플래시 메모리에서 BIOS 설정과 관련된 데이터가 기록되는 BIOS 펌웨어 이미지를 수집 및 분석하여 이상행위로 추정할 수 있는 이동식 저장매체를 이용한 부팅 흔적을 찾아 기업의 감사 또는 디지털 포렌식 수사를 수행하는데 도움이 될 수 있는 방안을 제시한다.

• Journal of Platform Technology
• /
• 제11권2호
• /
• pp.39-53
• /
• 2023

무 설치 프로그램(이하 '포터블 프로그램'이라 한다.)은 일반적 소프트웨어와는 다르게 설치과정 없이 사용할 수 있는 프로그램이다. 별도의 설치 과정이 없기 때문에 포터블 프로그램은 높은 이동성을 가지며 다양하게 활용된다. 예를 들어, 다수의 PC의 초기 설정이 필요할 때 하나의 USB 드라이브에 다양한 포터블 프로그램을 저장하여 초기설정을 할 수 있다. 또는 PC에 문제가 발생하여 정상적인 부팅이 어려울 때 USB 드라이브에 Windows PE를 구성하고 저장된 포터블 프로그램으로 PC 복구에 사용될 수 있다. 그리고 포터블 프로그램은 레지스트리 값 변경 등 PC 설정에 직접적인 영향을 끼치지 않으며 흔적을 남기지 않는다. 이는 다시 말해, 포터블 프로그램이 높은 보안성을 가진다는 것을 의미한다. 포터블 프로그램을 사용 후 삭제하면 일반적인 방식으로의 행위분석에 어려움이 존재한다. 만약 사용자가 악성 행위에 포터블 프로그램을 사용하였다면 일반적인 방식으로의 분석으로는 증거 수집에 한계가 따른다. 따라서 포터블 프로그램은 일반적인 설치 소프트웨어와는 다른 새로운 방식의 행위분석이 이루어져야 한다. 본 논문에서는 가상머신 상에서 Windows 10 운영체제를 설치한 후 Opera, Notepad++의 포터블 프로그램으로 시나리오를 진행한다. 그리고 이를 운영체제의 파일분석, 메모리 포렌식 등의 다양한 방법으로 분석하여, 프로그램 실행시간, 횟수 등의 정보를 수집하고, 사용자의 구체적 행위분석을 실시한다.