• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.33 no.6
• /
• pp.929-938
• /
• 2023

ARM processors, utilized in mobile devices, have integrated the hardware isolation framework, TrustZone technology, to implement two execution environments: the trusted domain "Secure World" and the untrusted domain "Normal World". Rootkit is a type of malicious software that gains administrative access and hide its presence to create backdoors. Detecting the presence of a rootkit in a Secure World is difficult since processes running within the Secure World have no memory access restrictions and are isolated. This paper proposes a technique that leverages the hardware based PMU(Performance Monitoring Unit) to measure events of the Secure World rootkit and to detect the rootkit using deep learning.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2003.05c
• /
• pp.2133-2136
• /
• 2003

해커들은 공격당한 시스템에서 공격자의 흔적을 숨기는 많은 테크닉을 오랫동안 개발해 왔다. 자신의 모습을 감추고 보다 용이한 재침입을 위해, 최근의 백도어(Backdoor)는 커널(Kenel) 구조와 코드 자체를 변경할 수 있는 기능을 가지고 있어서, 우리는 더 이상 커널 자체를 신뢰할 수 없게 되었다. 이 논문에서는 LKM(Loadable Kernel Module) Rootkit에 대한 체계적인 분석을 통해 이에 대한 보다 향상된 대응책을 찾고자 한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2016.04a
• /
• pp.233-236
• /
• 2016

루트킷은 쉽게 말해 루트(root)권한을 쉽게 얻게 해주는 킷(kit)이다. 루트킷은 주로 운영체제의 커널 객체를 조작함으로서 프로세스, 파일 및 레지스트리가 사용자에게 발견되지 않도록 은닉하는 일을 수행한다. 본 논문에서는 루트킷의 은닉 기법중 하나인 직접 커널 오브젝트 조작 기법 (DKOM, Direct Kernel Object Manipulation)에 대해 연구한다. 그동안 루트킷에서 많이 이용되던 DKOM 기법은 작업 관리자로부터 프로세스를 은닉하는 일을 수행하였다. 그러나 본 논문에서는 이를 응용하여 작업 관리자로부터 프로세스를 은닉할 뿐만 아니라 Anti Rootkit 도구까지 우회하는 커널모드 디바이스를 설계하고, 이를 탐지할 수 있는 새로운 방법에 대하여 제안한다.

• Proceedings of the Korean Institute of Information and Commucation Sciences Conference
• /
• 2017.05a
• /
• pp.434-437
• /
• 2017

After the first malware, the brain virus, was founded in 1986, various types of malwares have been created Including worm, dropper, trojan, backdoor, rootkit and downloader. Especially in recent years, driver-type malware have made then more difficult to analyze. therefore, malware analyst require competitive skills. To analyze malware well, you need to know how it works and have to do it by yourself. So in this paper, we develop the dropper, backdoor, trojan, rootkit and driver similar to malware distributed in the real world. It shows the execution behavior on the virtual environment system We propose a method to analyze malware quickly and effectively with static analysis and dynamic analysis.

• Review of KIISC
• /
• v.20 no.2
• /
• pp.44-50
• /
• 2010

가상화는 컴퓨팅 자원의 최적화를 지원하고 사용자에게 동일한 환경을 제공하는 기술이다. 이러한 가상화 기술은 클라우드 컴퓨팅 환경의 핵심 기술로 사용되고 있다. 그러나 가상화 환경을 구축하는 소프트웨어는 취약점을 가짐으로 감염된 가상환경은 게스트 OS와 물리적 컴퓨팅 지원 천체에 커다란 파급효과를 가져오게 된다. 본 논문은 가상화 개요와 가상화 네트워크 구조를 설명하고, 가상환경에서 발생 가능한 6가지 위협에 대하여 분류한다. 또한 가상화 환경에서의 악성코드 루트킷(rootkit)인 Blue Pill과 SubVirt의 동작원리에 대하여 기술한다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• v.11 no.3
• /
• pp.1722-1741
• /
• 2017

Intrusion detection techniques based on virtual machine introspection (VMI) provide high temper-resistance in comparison with traditional in-host anti-virus tools. However, the presence of semantic gap also leads to the performance and compatibility problems. In order to map raw bits of hardware to meaningful information of virtual machine, detailed knowledge of different guest OS is required. In this work, we present VDSM, a lightweight and general approach based on driver separation mechanism: divide semantic view reconstruction into online driver of view generation and offline driver of semantics extraction. We have developed a prototype of VDSM and used it to do intrusion detection on 13 operation systems. The evaluation results show VDSM is effective and practical with a small performance overhead.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2017.01a
• /
• pp.207-208
• /
• 2017

악성코드는 매년 그 수가 증가하고 있으며, 악성코드의 공격기법이 지능적이고 복합적으로 진화함에 따라 이에 대한 분석과 대응이 요구된다. 하지만 일부 악성코드는 감염여부를 숨기기 위하여 분석에 대한 회피방법으로 루트킷을 통하여 방어자에 의한 악성코드의 코드 분석을 우회함으로써 은폐된 상태로 악의적인 공격을 수행한다. 따라서 본 논문에서는 유저레벨에서 IAT(Import Address Table)의 정보를 후킹하여 악성 행위를 수행하는 루트킷을 탐지하는 대응방안을 제안한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2018.10a
• /
• pp.264-267
• /
• 2018

본 연구에서는 API 호출을 은닉할 수 있는 새로운 유형의 유저모드 기반 루트킷으로 Cuckoo Sandbox를 회피하는 기법과 이를 탐지하기 위한 연구를 한다. Cuckoo Sandbox의 행위 분석을 회피하기 위해 잠재적으로 출현 가능한 은닉된 코드 이미지 기반의 신종 루트킷 원리를 연구하고 탐지하기 위한 방안을 함께 연구한다. 네이티브 API 호출 코드 영역을 프로세스 공간에 직접 적재하여 네이티브 API를 호출하는 기법은 Cuckoo Sandbox에서 여전히 잠재적으로 행위 분석 회피가 가능하다. 본 연구에서는 은닉된 외부주소 호출 코드 영역의 탐지를 위해 프로세스의 가상메모리 공간에서 실행 가능한 페이지 영역을 탐색 후 코사인 유사도 분석으로 이미지 탐지 실험을 하였으며, 코드 영역이 맵핑된 정렬 단위의 4가지 실험 조건에서 평균 83.5% 유사도 탐지 결과를 확인하였다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2014.04a
• /
• pp.412-415
• /
• 2014

시스템을 공격하는 악성코드 기술과 그 방어 기술이 발전하면서, 최근의 많은 악성코드들이 운영체제를 직접 변조하는 커널 루트킷을 포함하고 있다. 이에 따라 커널 루트킷에 대한 여러 대응책들이 나오고 있으며, 최근의 많은 연구들이 루트킷 탐지능력 향상을 위해 운영체제 커널에 코드를 삽입하고 있다. 이 논문에서는 앞으로 루트킷 탐지를 위해 커널에 대한 코드 삽입 기술이 지속적으로 사용될 것으로 보고, 이와 같은 코드 삽입이 운영체제 커널이나 전체 시스템의 성능에 어떠한 영향을 주는지를 알아보았다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2014.04a
• /
• pp.391-394
• /
• 2014

많은 루트킷들은 사용자 또는 탐지 프로그램으로부터 탐지되지 않기 위해서 중요한 함수를 후킹하거나 DKOM 등의 기술을 이용한다. API를 후킹하여 반환되는 정보를 필터링하는 전통적인 루트킷과 달리 DKOM 루트킷은 이중 연결리스트로 구성된 커널 오브젝트의 링크를 직접 조작하여 루트킷 자신의 존재를 숨길 수 있으며 DKOM으로 은닉한 루트킷은 쉽게 탐지되지 않는다. 본 논문에서는 DKOM을 이용하여 은닉된 루트킷 드라이버를 탐지하기 위한 기술을 제안하고, 루트킷 탐지 능력을 검증한다.