• 정보보호학회논문지
• /
• 제31권6호
• /
• pp.1105-1114
• /
• 2021

최근 급상승한 암호 화폐의 인기로 인해 암호 화폐 채굴 악성코드인 크립토재킹 위협이 증가하고 있다. 특히 웹 기반 크립토재킹은 피해자가 웹 사이트에 접속만 하여도 피해자의 PC 자원을 사용해 암호 화폐를 채굴할 수 있으며 간단하게 채굴 스크립트만 추가하면 되기 때문에 공격이 쉽고 성능 열화와 고장의 원인이 된다. 크립토재킹은 피해자가 피해 상황을 인지하기 어렵기 때문에 크립토재킹을 효율적으로 탐지하고 차단할 수 있는 연구가 필요하다. 본 연구에서는 크립토재킹의 대표적인 감염 증상과 스크립트를 지표로 활용하여 효과적으로 크립토재킹을 탐지하는 프레임워크를 제안하고 평가한다. 제안한 크립토재킹 탐지 프레임워크에서 행위 기반 동적 분석 기법으로 컴퓨터 성능 지표를 학습한 K-Nearest Neighbors(KNN) 모델을 활용했고, 스크립트 유사도 기반 정적 분석 기법은 악성 스크립트 단어 빈도수를 학습한 K-means 모델을 크립토재킹 탐지에 활용했다. 실험 결과에 따르면 KNN 모델은 99.6%의 정확도를 보였고, K-means 모델은 정상 군집의 실루엣 계수가 0.61인 것을 확인하였다.

• 인터넷정보학회논문지
• /
• 제17권5호
• /
• pp.33-42
• /
• 2016

Pin은 프로그램 동적 분석 도구를 생성할 수 있는 프레임워크로, 리눅스와 윈도우에서 사용자 영역의 프로그램 분석을 수행할 수 있게 한다. 역공학 방지 프로그램이나 악성코드는 프로그램 분석을 방해하는 안티디버깅이 적용되어 있기 때문에 Pin을 사용한 분석이 어렵다. 본 논문에서는 Pin을 이용해서 프로그램에 적용된 안티디버깅을 우회하여 동적 분석을 진행할 수 있는 Pin 플러그인 프로그램을 설계한 내용과 구현한 내용을 제안한다. Pin 탐지 안티디버깅을 우회할 수 있는 각각의 Pin 코드를 작성하고, Pin 코드를 하나로 합쳐 여러 안티디버깅을 우회할 수 있는 Pin 도구를 구현한다. 구현된 Pin 도구는 안티디버깅을 지원하는 프로텍터로 생성한 파일로 안티디버깅 우회 실험을 진행한다. 본 기법은 추후에 발견되는 안티디버깅 우회 코드 작성의 참고자료가 될 것이고 발견된 안티디버깅에 맞춰 수정 후 추가 적용이 가능할 것으로 예상된다.

• 정보보호학회논문지
• /
• 제28권2호
• /
• pp.407-416
• /
• 2018

인스타그램(Instagram)은 사람 간의 관계망을 구축하고 취미, 일상, 유용한 정보 등을 공유하는 인터넷 서비스인 소셜 네트워크 서비스(Social Network Service:SNS)로 최근 다양한 연령층에서 각광받고 있다. 하지만 업로드한 개인 정보를 불특정 다수가 열람할 수 있고 검증되지 않은 정보가 무방비하게 공유되기 때문에 이를 악용한 각종 사기, 스토킹, 명의 도용, 저작권 침해, 악성코드 유포 등의 문제가 발생 하고 있다. 이에 따라 인스타그램에 대한 디지털 포렌식적 관점에서의 분석이 필요하나 관련한 연구는 미약한 실정이다. 따라서 본 논문에서는 안드로이드 환경에서 인스타그램에 대해 디지털 포렌식 관점에서 역 공학 및 동적 분석을 수행하였고 그 결과 채팅 내용, 채팅 대상, 게시한 사진, 쿠키 정보 등의 사용자 행위 분석이 가능한 데이터가 담긴 3개의 데이터베이스 파일과 4개의 파일 저장 경로, 다양한 데이터 저장된 xml파일을 확인하였다. 또한 위의 분석 결과를 디지털 포렌식 조사에 활용할 수 있는 방안을 제시한다.

• 정보보호학회논문지
• /
• 제19권4호
• /
• pp.51-61
• /
• 2009

최근 인터넷 상에서 봇넷을 이용한 사이버 공격이 증가하고 있으며, 이러한 공격들은 금전적 이득을 목적으로 하고 있어 범죄화 양상을 보이고 있다. 봇넷을 이용하는 사이버 공격으로는 스팸 발송, 분산서비스 거부(DDoS) 공격, 악성코드 및 맬웨어(malware) 전파, 피싱, 개인정보 유출 등이 있다. IRC나 HTTP 봇넷과 같은 중앙 봇넷은 그 탐지나 완화 방법의 연구가 다수 존재하지만, P2P 봇넷에 대한 연구는 아직 초기 단계이다. 본 논문에서는 다양한 네트워크 공격의 능동적 분석에 활용되는 허니넷을 이용하여 P2P 기반 Storm 봇 중의 하나안 Peacomm 봇이 발생시키는 트래픽을 분석하였다. 그 결과 Peacomm 봇이 P2P를 통해 광범위한 외부 네트워크의 좀비를 대상으로 다량의 UDP 패킷을 발생시키는 것을 확인하였다. 또한 이를 통해 Peacomm 붓이 봇넷의 규모를 유지하거나 확장한다는 것을 알 수 있었다. 이는 P2P 봇넷을 탐지하고 완화시킬 수 있는 대응기술 마련의 기초로써 사용될 수 있을 것으로 기대된다.

• Journal of Platform Technology
• /
• 제12권3호
• /
• pp.27-40
• /
• 2024

협업 프로그램은 여러 사람이 함께 일할 수 있도록 지원하여 협업과 의사소통의 효율성을 높이고, 업무 생산성을 향상시키며, 시간과 장소의 제약을 극복할 수 있도록 도와주는 도구이다. 엔데믹 시대에 접어들면서 많은 기업과 개인이 협업 프로그램을 선호하고 있다. 그러나 협업 프로그램은 업무 내용, 자료, 사용자 정보 등 유출 시 큰 피해를 초래할 수 있는 민감한 정보를 다수 포함하고 있다. 이 점을 악용하여 협업 프로그램을 사칭한 악성코드 공격, 협업 프로그램의 취약점 악용, 내부 토큰 탈취 등의 다양한 공격 사례가 발생하고 있다. 이러한 공격을 예방하기 위해서는 위협을 사전에 분석하고 대응할 필요가 있다. 본 논문에서는 대표적인 협업 프로그램인 Notion을 대상으로 PC 환경과 Android 환경에서 사용자와 관련된 정보 및 행위에 대한 아티팩트를 수집하고 분석한다. 수집한 데이터를 기반으로 중요한 정보를 분류하고, 발생 가능한 위협에 대해 논의하며 대응 방안을 제시한다.

• 정보보호학회논문지
• /
• 제30권4호
• /
• pp.605-616
• /
• 2020

난독화 기술은 프로그램의 기능성은 그대로 유지하면서 자료구조, 제어흐름 등 내부 로직을 변형함으로써 프로그램의 분석을 지연시키는 기술이다. 그러나 이러한 난독화 기술을 악성코드에 적용함으로써 안티바이러스 소프트웨어의 악성코드 탐지율을 저하시키는 사례가 빈번하게 발생하고 있다. 소프트웨어 지적재산권을 보호하기 위하여 적용되는 난독화 기술이 역으로 악성코드에 적용됨으로써 악성코드 탐지율을 저해할 뿐만 아니라 이의 분석을 어렵게 하여 악성코드의 기능성 파악에도 어려움을 주게 되므로 난독화가 적용된 코드를 원본에 가깝게 복원할 수 있는 역난독화 기술의 연구 또한 꾸준히 지속 되어야 한다. 본 논문에서는 상용 난독화 도구 중 대중적으로 널리 알려져 있는 도구인 VMProtect 3.4.0에서 제공하는 세부 난독화 기술 중 Pack the Output File, Import Protection의 옵션이 적용되어 난독화 된 코드의 특징을 분석하고 이의 역난독화 알고리즘을 제시하고자 한다.

• 정보보호학회논문지
• /
• 제25권2호
• /
• pp.293-302
• /
• 2015

스미싱 범죄 피해 사례에서 수집할 수 있는 공격정보들을 이용하여, 범죄수사에 사용하는 프로파일링 기법을 응용한 스미싱 범죄 프로파일링 모델을 제안한다. 기존에 수사기관에서는 apk 파일의 해시를 이용한 시그니처 분석과 코드 내 삽입된 C&C IP 분석방법을 사용하였으나, 시그니처의 다변화와 코드 난독화로 인해 그 활용도가 낮아졌다. 실제 수사기관에 접수된 169건의 피해사례의 분석을 통해, apk 파일 내 인증서 파일 일련번호의 재사용이 151건(89%), 퍼미션 파일의 재사용은 136건(80%)에 달한다는 점에 착안, 인증서 파일의 일련번호와 퍼미션 파일의 해시를 중심으로 한 스미싱 프로파일링 모델을 설계하여 범죄를 군집화하여 기존의 해시 기반 군집화 방법을 보완하였고, 코드 유사도 검증을 통하여 추가로 신뢰성을 확보하였다.

• 정보보호학회논문지
• /
• 제27권6호
• /
• pp.1491-1498
• /
• 2017

스마트폰의 사용 및 다양한 앱들의 출시 등이 급격하게 증가됨에 따라 악성 앱들도 많이 증가하였고 이로 인한 피해가 속출하고 있다. 안드로이드 앱들이 등록되는 구글 마켓은 앱 등록 규정이 있음에도 불구하고 정상적인 앱들과 악성 앱들이 불가피하게 동시에 존재한다. 특히, 소셜 네트워크가 활성화됨에 따라 안드로이드 구글 마켓에서도 다양한 형태로 보이지 않게 사용자들이 소셜 정보망을 맺고 평점, 다운로드 수 및 인지도 정보 등이 참고 되어 앱 다운로드 수에 반영되고 있다. 결과, 일반 사용자들이 단순히 평점, 인기도, 인기 있는 댓글 및 인지도 높은 카테고리 앱 등만 반영하여 앱을 선택하게 되면 악성 앱 다운로드로 인해 때로는 큰 피해를 볼 수 있다. 따라서 본 연구는 실제 운용되고 있는 안드로이드 마켓에서 장기간 소셜 정보를 직접 크롤링하고 분석하여 악성 앱의 경향성을 처음으로 분석했다.

• 정보보호학회논문지
• /
• 제19권1호
• /
• pp.93-101
• /
• 2009

본 논문은 해커가 정보절취 등을 목적으로 전자우편에 악성코드를 삽입 유포하는 공격 대응방안에 관한 연구로, 악성코드가 삽입된 전자우편은 정보유출 시(時) 트래픽을 암호화(Encoding)하는데 이를 복호화(Decoding) 하는 '분석모델'을 구현 및 제안한다. 또한 보안관제측면(네트워크)에서 해킹메일 감염시(時) 감염PC를 신속하게 탐지할 수 있는 '탐지기술 제작 방법론'을 연구하여 탐지규칙을 제작, 시뮬레이션 한 결과 효율적인 탐지성과를 보였다. 악성코드 첨부형 전자우편에 대한 대응책으로 공공기관이나 기업의 정보보안 담당자 PC사용자가 각자의 전산망 환경에 맞게 적용 가능한 보안정책을 제안함으로써 해킹메일 피해를 최소화하는데 도움이 되고자 한다.

• 정보보호학회논문지
• /
• 제22권2호
• /
• pp.179-188
• /
• 2012

악성코드의 탐지 및 분석 회피 기술 중 실행 압축 기술은 악성코드의 용량을 줄이고 분석가가 코드를 분석할 때 혼란을 주도록 코드를 변형하고 있다. 따라서 악성코드의 확산이 용이해지고 분석하는데 시간이 오래 걸려 신속한 대응이 어렵게 만들고 있다. 최근에는 이러한 실행 압축된 악성코드에 대응하기 위하여 실행 압축 해제 관련 연구가 진행되고 있다. 실행 압축 프로그램은 실행되면 실행 압축을 해제하게 된다. 실행 압축 해제 때 압축되어 있던 데이터가 해제 되면서 실행 압축 파일의 데이터가 변경되거나 추가되어 데이터의 변화가 생기게 된다. 이때 이러한 변화 때문에 실행 압축 파일의 엔트로피 값이 변화하게 된다. 실행 압축 해제가 끝나게 되면 이러한 데이터 변화가 끝나고 실제적인 프로그램이 수행되므로 엔트로피 값이 변화하지 않게 된다. 그러므로 이러한 성질을 이용하여 실행 압축 해제되는 시점을 찾게 되면 실행 압축 알고리즘에 상관없이 실행 압축을 해제 할 수 있게 된다. 본 논문에서는 실행 압축 파일의 압축 해제 때의 엔트로피 값 변화량을 보고 실행 압축 해제가 끝나는 시점을 판단하여 실행 압축을 해제하는 방법을 제안한다.