• International Journal of Advanced Culture Technology
• /
• 제9권4호
• /
• pp.288-294
• /
• 2021

There are various ways to be infected with malicious code due to the increase in Internet use, such as the web, affiliate programs, P2P, illegal software, DNS alteration of routers, word processor vulnerabilities, spam mail, and storage media. In addition, malicious codes are produced more easily than before through automatic generation programs due to evasion technology according to the advancement of production technology. In the past, the propagation speed of malicious code was slow, the infection route was limited, and the propagation technology had a simple structure, so there was enough time to study countermeasures. However, current malicious codes have become very intelligent by absorbing technologies such as concealment technology and self-transformation, causing problems such as distributed denial of service attacks (DDoS), spam sending and personal information theft. The existing malware detection technique, which is a signature detection technique, cannot respond when it encounters a malicious code whose attack pattern has been changed or a new type of malicious code. In addition, it is difficult to perform static analysis on malicious code to which code obfuscation, encryption, and packing techniques are applied to make malicious code analysis difficult. Therefore, in this paper, a method to detect malicious code through dynamic analysis and static analysis using Trojan-type Downloader/Dropper malicious code was showed, and suggested to malicious code detection and countermeasures.

• 융합보안논문지
• /
• 제10권3호
• /
• pp.51-60
• /
• 2010

인터넷 기술의 급격한 발전으로 인한 편리함과 더불어 다양한 악성코드들이 제작되고 있다. 악성코드의 발생건수는 날이 갈수록 부지기수로 늘어나고 있으며, 변종 혹은 새로운 악성코드에 대한 유포는 매우 심각하여 악성코드에 대한 분석은 절실히 필요한 시점이다. 악성코드에 대한 판단기준을 설정할 필요가 있으며, 알고리즘을 이용한 악성코드 분류의 단점은 이미 발견된 악성코드에 대한 분류는 효율적이나 새롭게 생긴 악성코드나 변종된 악성코드에 대해서는 새로운 탐지가 어려운 단점이 있다. 이에 본 연구의 목적은 시각화 기법의 장점을 이용하여 기존의 다변량의 악성코드에 대한 측정 및 분석뿐만 아니라, 변종 혹은 새로운 악성코드에 대해서도 새로운 패턴 혹은 형태를 도출하여 새로운 악성코드와 변종들에 대해서 대처하는데 있다. 따라서 본 논문에서는 업체에서 제공되는 악성코드 속성을 시각화하여 분석하는 기법을 제안하고자 한다.

• 한국멀티미디어학회논문지
• /
• 제20권11호
• /
• pp.1759-1767
• /
• 2017

Although Open API has been invigorated by advancements in the software industry, diverse types of malicious code have also increased. Thus, many studies have been carried out to discriminate the behaviors of malicious code based on API data, and to determine whether malicious code is included in a specific executable file. Existing methods detect malicious code by analyzing signature data, which requires a long time to detect mutated malicious code and has a high false detection rate. Accordingly, in this paper, we propose a method that analyzes and detects malicious code using association rule mining and an Naive Bayes classification. The proposed method reduces the false detection rate by mining the rules of malicious and normal code APIs in the PE file and grouping patterns using the DHP(Direct Hashing and Pruning) algorithm, and classifies malicious and normal files using the Naive Bayes.

• IEIE Transactions on Smart Processing and Computing
• /
• 제3권5호
• /
• pp.319-324
• /
• 2014

Web applications make life more convenient. Many web applications have several kinds of user input (e.g. personal information, a user's comment of commercial goods, etc.) for the activities. On the other hand, there are a range of vulnerabilities in the input functions of Web applications. Malicious actions can be attempted using the free accessibility of many web applications. Attacks by the exploitation of these input vulnerabilities can be achieved by injecting malicious web code; it enables one to perform a variety of illegal actions, such as SQL Injection Attacks (SQLIAs) and Cross Site Scripting (XSS). These actions come down to theft, replacing personal information, or phishing. The existing solutions use a parser for the code, are limited to fixed and very small patterns, and are difficult to adapt to variations. A machine learning method can give leverage to cover a far broader range of malicious web code and is easy to adapt to variations and changes. Therefore, this paper suggests the adaptable classification of malicious web code by machine learning approaches for detecting the exploitation user inputs. The approach usually identifies the "looks-like malicious" code for real malicious code. More detailed classification using sequence information is also introduced. The precision for the "looks-like malicious code" is 99% and for the precise classification with sequence is 90%.

• 한국정보통신학회:학술대회논문집
• /
• 한국해양정보통신학회 2010년도 춘계학술대회
• /
• pp.299-302
• /
• 2010

최근의 악성코드는 백신에 쉽게 탐지 되지 않기 위해 바이러스를 압축파일로 변조시켜 악성코드 패턴을 지연하는 추세이다. 시중에 나와 있는 수많은 백신엔진 중에서는 압축파일로 변조된 악성코드 패턴 및 검사가 가능한지 알아 봐야한다. 본 논문은 다중 압축 파일로 위장 변조된 은닉된 악성코드의 패턴을 검사하여 검출되는지를 검사 엔진을 통해 모의실험을 한다. 은닉된 악성코드의 행위를 분석하며, 호스트 파일 변조와 시스템 드라이버 파일 감염 및 레지스트리 등록이 되는가를 분석한다. 본 연구를 통해 은닉형 악성코드의 검사와 백신 치료 효과를 강화시켜 악성코드로 인한 피해를 감소하는데 기여할 것이다.

• 융합보안논문지
• /
• 제14권4호
• /
• pp.19-26
• /
• 2014

모바일 악성코드는 웜에 의한 전파가 대표적이며, 웜의 확산 특징을 분석하기 위한 모델링 기법들이 제시되었지만 거시적인 분석만 가능하였고 특정 바이러스, 악성코드에 대해 예측하기는 한계점이 있다. 따라서 본 논문에서는 과거의 악성코드 데이터를 활용하여 미래의 악성코드의 발생을 예측 할 수 있는 마코프 체인을 기반으로 한 예측 방법을 제시하였다. 마코프 체인 예측 모델링에 적용할 악성코드 평균값은 전체 평균값, 최근 1년 평균값, 최근 평균값(6개월)의 세 가지 범위로 분류하여 적용하였고, 적용하여 얻어진 예측 값을 비교하여 최근 평균 값(6개월)을 적용하는 것이 악성코드 예측 확률을 높일 수 있음을 확인하였다.

• 정보보호학회논문지
• /
• 제28권2호
• /
• pp.397-405
• /
• 2018

악성코드로 의심되는 프로세스를 효과적으로 탐지하기 위해서 블랙리스트 기반으로 제작된 도구들이 가장 보편적으로 사용되고 있다. 블랙리스트 기반의 도구는 기존에 발견된 악성코드의 특징을 추출한 후 이를 이용하여 악성행위를 하는 것으로 추정하는 프로세스와 비교한다. 그러므로 기존에 알려진 악성코드를 탐지하기에는 가장 효과적이지만 악성코드 변종을 탐지하는 것은 한계가 있다. 이런 문제를 해결하기 위해서 블랙리스트와 반대개념인 화이트리스트기반 도구의 필요성이 대두되었다. 화이트리스트기반의 도구는 악성코드 프로세스의 특징을 추출하는 것이 아닌, 신뢰할 수 있는 프로세스를 수집해놓고, 검사하는 프로세스가 신뢰할 수 있는 프로세스인지를 확인한다. 즉, 악성코드가 신규 취약점을 이용해 만들어지거나 변종 악성코드가 등장하더라도 신뢰 프로세스목록에 없기 때문에 효과적으로 악성코드를 탐지해낼 수 있다. 본 논문에서는 macOS 운영체제에서 신뢰할 수 있는 프로세스를 수집하는 연구를 통해 효과적으로 화이트리스트를 구축하는 방법을 제시하고자 한다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제6권2호
• /
• pp.766-783
• /
• 2012

Recently, many malicious users have attacked web browsers using JavaScript code that can execute dynamic actions within the browsers. By forcing the browser to execute malicious JavaScript code, the attackers can steal personal information stored in the system, allow malware program downloads in the client's system, and so on. In order to reduce damage, malicious web pages must be located prior to general users accessing the infected pages. In this paper, a novel framework (JsSandbox) that can monitor and analyze the behavior of malicious JavaScript code using internal function hooking (IFH) is proposed. IFH is defined as the hooking of all functions in the modules using the debug information and extracting the parameter values. The use of IFH enables the monitoring of functions that API hooking cannot. JsSandbox was implemented based on a debugger engine, and some features were applied to detect and analyze malicious JavaScript code: detection of obfuscation, deobfuscation of the obfuscated string, detection of URLs related to redirection, and detection of exploit codes. Then, the proposed framework was analyzed for specific features, and the results demonstrate that JsSandbox can be applied to the analysis of the behavior of malicious web pages.

• 정보보호학회논문지
• /
• 제32권2호
• /
• pp.439-446
• /
• 2022

웹사이트나 메일의 첨부 파일을 이용해 문서형 악성코드의 유포가 활발하게 이루어지고 있다. 문서형 악성코드는 실행 파일이 직접 실행되는 것이 아니므로 보안 프로그램의 우회가 비교적 쉽다. 따라서 문서형 악성코드는 사전에 탐지하고 예방해야 한다. 이를 탐지하기 위해 문서의 구조를 파악하고 악성으로 의심되는 키워드를 선정하였다. 문서 내의 스트림 데이터를 아스키코드값으로 변환하여 데이터셋을 만들었다. CNN 알고리즘을 이용하여 문서의 스트림 데이터 내에 존재하는 악성 키워드의 위치를 확인하고 인접 정보를 활용하여 이를 악성으로 분류했다. 파일 내의 스트림 단위로 악성코드를 탐지한 결과 0.97의 정확도를 보였고, 파일 단위로 악성코드를 탐지한 결과 0.92의 정확도를 보였다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제13권3호
• /
• pp.1611-1625
• /
• 2019

The emergence of new technologies and devices brings a new environment in the field of cyber security. It is not easy to predict possible security threats about new environment every time without special criteria. In other words, most malicious codes often reuse malicious code that has occurred in the past, such as bypassing detection from anti-virus or including additional functions. Therefore, we are predicting the security threats that can arise in a new environment based on the history of repeated malicious code. In this paper, we classify and define not only the internal information obtained from malicious code analysis but also the features that occur during infection and attack. We propose a method to predict and manage security threats in new environment by continuously managing and extending.