랜섬웨어 공격 탐지 향상을 위한 신뢰성 있는 동적 허니팟 파일 생성 시스템 설계 및 구현

국경완 명지대학교 대학원 2024 국내박사

랜섬웨어(Ransomware)는 사용자 시스템을 감염시켜 사용자의 중요한 데이터를 암호화(Encryption)하고 데이터를 복호화(Decryption)하는 대가로 몸값(Ransome)을 요구하는 악성코드(Malware)의 한 유형이다. 최근 랜섬웨어의 특징은 더 복잡화, 지능화, 효율화되고 있다는 것이다. 또한 공격자는 탐지를 회피하기 위해 난독화(Obfuscation) 및 회피기술(Avoidance technique)을 활용하며 새로운 랜섬웨어가 등장하고 있다. 컴퓨터나 다른 엔드포인트(Endpoint)가 랜섬웨어에 감염되면 네트워크 전체에 퍼지고 수동 대응이 불가능할 정도로 빠르게 실행되여 피해가 걷잡을 수 없이 확산된다. 이를 대응하기 위해 각 개인 및 기업은 랜섬웨어 보호를 위해 허니팟(Honeypot), 시그니쳐(Signature), 이상행위(Abnormal behavior), 파일 모니터링(File monitoring), 에트로피(Entropy) 활용 방법 등 다양한 연구와 솔루션들을 개발하여 운영하고 있다. 랜섬웨어 공격 유형을 분석해 보면, 공격자가 침입에 성공한 이후, 가장 먼저 수행하는 행위는 몸값을 요구하기 위해 암호화할 대상을 검색한다는 사실이다. 공격자가 원하는 공격대상에 허니팟 파일이 포함되도록 하여 사전에 정보를 획득할 수 있다면 공격 이전에 제반 초치를 수행하여 랜섬웨어 공격을 효과적으로 방어할 수 있다. 허니팟 기술은 공격자의 공격이 예상되는 위치에 미끼(Decoy) 파일을 배치하고, 랜섬웨어가 미끼 파일에 접근하여 암호화하는 순간 랜섬웨어를 탐지하는 방법이다. 이와 같은 방법은 암호화가 시작되기 전에 최단 시간에 랜섬웨어 공격을 식별하고 방어하여 그 피해를 최소화할 수 있다. 그러나, 단점은 랜섬웨어가 미끼 파일에 접근하지 않거나, 우회한 경우에는 효과적으로 랜섬웨어 탐지가 제한된다는 것이다. 한편, 공격자 입장에서 보면 허니팟을 최우선적으로 찾아내어 우회, 또는 회피하려고 노력을 할 것이다. 이와 같이 우회 또는 회피기술이 지속적으로 지능화되고 발전함에 따라 이를 능동적으로 방어할 수 있는 허니팟 기술이 필요한 시점이다. 본 연구에서는 신뢰성 있는 동적 허니팟 파일을 활용, 공격자가 허니팟 파일이라는 것을 인식하지 못하도록 하여 허니팟을 회피할 가능성을 최소화함으로써 탐지율을 높이는데 목적이 있다. 이를 위해 최근 랜섬웨어 최신 동향에 따라 랜섬웨어 정의, 감염경로, 대응방법, 랜섬웨어 연구동향 등에 대하여 이론적 연구를 하였으며, 이러한 연구동향을 바탕으로 동적 허니팟 생성 시스템의 프레임워크, 즉, 기본데이터 수집, 사용자 정의, 표본통계, 경험치 축적모델을 설계하고 구현하였다. 제안한 시스템은 공격자가 다양한 우회기술 및 회피기술 등을 사용하여도 여기에 유연하게 대처가 가능하다는 것을 실험으로 확인하였다. 허니팟을 탐지하고 성능분석을 위해 최근 화두가 되고 있는 랜섬웨어를 선정하여 실험한 결과, 지금까지 나온 랜섬웨어는 사전에 탐지가 가능하였으며, 일부 탐지가 되지 않은 랜섬웨어는 사용자 정의 모듈을 활용하여 탐지가 가능하다는 것을 확인하였다. 기존 허니팟 탐지 기법과 성능 비교 분석 결과, 탐지 조건을 세분화 할수록 탐지율은 높아지는데 반하여 탐지시간은 증가하였다. 또한 지능화된 랜섬웨어가 특정 회피, 우회기술을 사용하면 탐지하지 못한다는 사실도 확인하였다. 특히, 사용자 정의 모듈과 경험치 축적모델을 활용하는 경우에는 탐지율 향상과 탐지시간이 감소하였다. 제안하는 동적 허니팟 파일 생성 시스템은 향후, 인공지능과 결합하여 데이터를 축적하여 이를 기반으로 한 시스템의 고도화가 가능하며, 지능화된 랜섬웨어에 대하여 예측까지 가능한 수준으로 발전시킬 수 있다. 이를 통해 배포할 허니팟 파일 개수, 배포 방법 및 사용자 환경과 최적화되도록 자동으로 결정할 수 있는 플러그 앤 플레이(Plug&Play) 기술이 개발된다면 허니팟 기술을 활용한 솔루션 개발과 랜섬웨어 방어에 크게 이바지할 것으로 예상된다. Recently, ransomware attack characteristics have become more sophisticated than existing methods, and attack technologies are continuously evolving for efficient and effective attacks. In this study, we studied the characteristics of recent ransomware attacks, ransomware defense technologies and limitations to defend against them, implemented a dynamic honeypot creation system and proposed a method to overcome them. To this end, this paper designed and implemented a system in the form of four modules: basic data collection, user definition, sample statistics, and experience accumulation model. This module was written as a Python program so that it can be used on all operating systems, including Windows, Unix, and Linux. First, in order to create an optimal dynamic honeypot, the basic data collection model is very important to collect file information in the folder where the honeypot is located. In this model, the basic characteristics of the folder where the honeypot will be located, namely, the file size and length of the folder, the number of files in use, the number of files without extension, recently created and old files, and the most used extensions, are calculated. collected. Second, the user-defined model does not collect fragmentary information about the user's system, but allows the user to directly select it to optimize the user environment. In this way, the reliability of the dynamic honeypot created by reflecting the user's system environment as much as possible can be improved. The selected option was given priority when creating a dynamic honeypot. In other words, when the user selects only the items he needs considering the characteristics of the honeypot, priority is given to the relevant items and a dynamic honeypot is created. Third, the purpose of this paper is to create and utilize a dynamic honeypot to prevent attackers from easily recognizing the honeypot, which is the biggest limitation of the honeypot. From the defender's point of view, it is very important to make it unrecognizable that it is a dynamic honeypot file, that is, a honeypot file, so that the attacker can use the honeypot to access the attack target file. In the basic data collection model, 'representative values' such as file length and size, multiple extensions, etc. were calculated by analyzing the user system environment. However, in order to compensate for the pitfalls of representative values, this paper uses trust, one of the commonly used sample statistical methods. A method of utilizing sections was proposed. This is because, in statistics, a sample is a subset of a population, also called a sample group or sample collection, and a sample is statistical data that can infer the characteristics of the original group as a result of selecting a part of a group containing various statistical data and examining it. Because it is. The confidence interval calculates the lower and upper limits of the range in which the parameter is predicted to actually be included. Fourth, the experience accumulation model has the advantage of applying user system information in real time like the real-time information collection method described above, but it may be inefficient in the case of a user system with large fluctuations in changes. To complement this, the model acquires basic information from the user environment, accumulates data over a certain period of time, analyzes it, and uses it when creating a honeypot file. To prove the results of this study, files to be used in the experiment were randomly generated in real time. The experimental files are in various formats such as documents, images, videos, sounds, executable files and programs, game files, compressed files, and video files. 500 files are randomly generated so that the file size is smaller than a certain size (50 Mbyte) and placed in the honeypot folder. was located in The reason why various types of files were used as experimental data was to verify how well the system proposed in this paper applies to ransomware, which has recently become more intelligent and developing. Additionally, 11 types of ransomware were selected to test the performance of the system proposed in this paper. The selection criteria were ransomware that has caused significant damage worldwide, whose source has been disclosed, and ransomware that has been continuously used in recent attacks. First, in the basic data collection model, as a result of testing properties such as file name and size, multiple extensions, file creation date, and random file selection, the detection rate was around 82-100%, and compared to existing honeypot files, the detection time was generally shorter. It was fast. However, it was confirmed that the honeypot detection time considering random files, multiple extensions, and file creation time had a large deviation, and some properties had a minimal effect. Second, in the user-defined model, a dynamic honeypot was created and tested by giving priority to the user. As a result of the experiment, the detection rate was 100%, and the detection time showed a large deviation. In particular, it was confirmed that in user-defined models, it is important for users to define properties that reflect the special characteristics of the system environment. Third, in the sample statistical model, the file length and size were calculated using the confidence interval value, and as a result of the experiment after creating a dynamic honeypot file, it was confirmed that the size was more influential than the file length. Fourth, in the experience accumulation model, an experiment was conducted using data accumulated for a month, and it was confirmed that the search time was faster when data accumulated on a monthly basis was used rather than on a daily basis. In conclusion, through various experiments, we have proven that file size, file name, and extension are important factors when selecting an attack target. In the case of file size, only files within a specific range are selected, and file names are basically selected in ascending order, so it was found to be advantageous to create a honeypot file with a file name starting with 0 or a. It was confirmed that most file extensions related to document creation had high priority, while files related to system operation had low priority. In addition, based on the experimental results, the proposed system was selected for most attack target files except for some ransomware, and it was confirmed that the proposed system was detected relatively quickly in terms of detection time.

랜섬웨어(RansomWare)공격에 대한 기업의 방어체계 연구

박재승 동국대학교 2017 국내석사

Recently, Ransomware Attack has increased highly for 3 years. Most Hackers who have malicious purpose are having these Pattern’s Attack for getting much a cost-benefit through Ransomware Attack. Attacked company from malicious hackers will be unable to perform business that incalculably critical data was encrypted by force. While this was happening, victims can’t be receive positive results whether they credit to malicious hackers who offer you to decrypt your data for request of recovery or request to recovery to company of Data Recovery. Also, they have invested to introducing Defense Solutions for preventing Ransomware. This paper has comprehend Ransomware’s feature and analysis attack patterns. In doing so, I’d like to suggest effective countermeasures from Ransomware Attacks.

낮은 오인 탐지를 위한 파일 읽기/쓰기 행동 비율 기반 랜섬웨어 탐지 기법

구인회 숭실대학교 정보과학대학원 2025 국내석사

랜섬웨어는 사용자의 파일을 암호화하여 금전을 탈취하는 멀웨어로 기본적인 파일 읽기/쓰기/수정/삭제와 같은 간단한 행동만으로 랜섬웨어 제작이 가능하다. 그러나 최근 랜섬웨어 탐지의 고도화로 랜섬웨어 제작자들은 압축 파일등 응용 프로그램의 행동을 랜섬웨어가 모방하여 탐지를 은폐하려는 전술을 채택하여 랜섬웨어 탐지 프로그램의 오탐을 유발한다. 본 연구는 낮은 오인 탐지를 위해 프로세스가 실시간으로 파일 읽기/쓰기를 행동 비율을 기반으로 랜섬웨어가 탐지하는 동적 탐지 기법을 제안한다. 본 연구에서는 압축 프로그램을 포함한 정상 프로그램 4종 와 랜섬웨어 7종을 대상으로 실험을 진행하였고 그 결과 7종 전원 탐지 및 정상 프로그램 4종이 오탐 되지 않았다. 또한 평균 3.7%의 낮은 오버헤드를 보였다. 본 연구는 복잡한 보안 솔루션 적용이 어려우며 안전성과 호환성으로 인해 레거시 OS을 사용하고 있는 산업, 의료 환경에서 보안성 향상에 기여를 할 수가 있다. Ransomware is malware that encrypts user files and extorts money. It can be created with simple actions like reading /writing /modifying/deleting files. However, with the recent advancements in ransomware detection, ransomware creators are adopting tactics by mimicking the behavior of applications, such as compressed files, leading to false positives in ransomware detection programs. This study proposes a dynamic detection technique that based on the real-time file read/write behavior of processes, reducing false positives. Experiments were conducted on four legitimate programs, including compression programs, and seven ransomwares. The results showed that all seven strains were detected, and four legitimate programs were free of false positives and a low average overhead of 3.7%. This study can contribute to improving security in industrial and healthcare environments where complex security solutions are difficult to implement and legacy operating systems are reliant on security and compatibility.

랜섬웨어 탐지를 위한 사이버 위협 헌팅 방법론 : IoC 및 MITRE ATT&CK TTPs 기반으로

윤정민 세종사이버대학교 정보보호대학원 2023 국내석사

사이버 위협은 날이 갈수록 정교하게 발전되고 있고, 방화벽 등의 정보보호 시스템을 우회하여 공격에 성공하여 내부에 잠재되어 정보를 유출하거나 시스템을 마비시킨다. 따라서 이러한 위협에 대비하기 위한 방어 수단 또한 발전해가고 있는데 그 중 하나가 바로 사이버 위협 헌팅(Cyber Threat Hunting)이다. 사이버 위협 헌팅은 이미 공격을 당했다고 가정한 상태에서 내부에 도사리고 있는 위협을 능동적으로 탐지하는 과정이다. 하지만 이러한 사이버 위협 헌팅을 수행하는 많은 기관에서는 아직 사이버 위협 헌팅 수행 방법론이 정립이 필요하다는 평가가 많다. 따라서 본 논문에서는 위협 헌팅 방법론을 발전시키기 위해, 가장 심각한 피해를 입히고 있는 랜섬웨어를 IoC 및 TTPs를 기반으로 분석하여 이에 대응하는 위협 헌팅 방법론을 제안하였다. 첫 번째로, 취약점 활용 위협 헌팅 방법을 제시한다. 랜섬웨어는 초기 접근을 위해 취약점을 활용하고 있었다. 두 번째, 명령어 인터프리터 탐지를 제시한다. 세 번째, 보안 시스템 우회를 탐지한다. 또한, 내부 이동 및 자료 유출을 탐지한다. 이 랜섬웨어 위협 헌팅 방법론은 위협 헌팅 대상과 목표 선정을 명확히 하여 효율성과 적시성을 향상시켜 고도화되는 랜섬웨어 공격을 보다 신속히 대응할 수 있다.

Endpoint level의 효과적인 랜섬웨어 대응방안 연구

유다선 고려대학교 컴퓨터정보통신대학원 2020 국내석사

최근 몇 년간 치밀하고 은밀한 기술을 적용한 랜섬웨어가 등장하여 Endpoint Level의 수많은 데이터들을 위협하고 있다. 신종 랜섬웨어 증가는 물론, 파일리스(Fileless) 랜섬웨어 등장, 사회공학 기법을 통한 사용자 접근 등 피해 규모를 증가시키는 요인들이 다양해지고 있다. 피해를 예방하기 위해 블랙리스트 기반의 시그니처 탐지 방법, 행위기반 탐지 방법 등 다양한 방법을 통해 랜섬웨어에 대응하고 있으나 신종 랜섬웨어, 파일리스(Fileless) 등 고도화된 공격방식에는 한계가 있다. 블랙리스트의 반대 개념인 화이트리스트는 신종 랜섬웨어, 파일리스(Fileless)에 어느 정도 대응이 가능하지만 정상 파일로 위장한 랜섬웨어나 정상 파일에 랜섬웨어 모듈이 인젝션 한 경우 완전한 대응이 어렵다. 일반적인 악성코드는 삭제 또는 치료를 통해 정상화가 가능하다. 이와 다르게 랜섬웨어는 데이터 자체를 암호화하기 때문에 삭제 또는 치료를 통한 정상화가 어렵다. 때문에, 데이터를 안전한 곳에 백업하거나 외부에 의해 데이터 변형이 될 수 없도록 사전차단하는 것이 가장 효과적인 대응 방법으로 알려져 있다. 그러나 완전한 사전차단은 없으며, 효율적이지 못한 백업 방법으로 시스템 자원에 부하를 유발할 수 있어 이에 대한 연구가 필요하다. 본 논문은 화이트리스트와 실시간 백업을 이용하여 신종 랜섬웨어, 파일리스(Fileless) 랜섬웨어와 같이 고도화된 랜섬웨어로부터 대응할 수 있도록 제안하고자 한다.

랜섬웨어 스레드 주입 공격 감시 시스템의 취약점 분석 및 대응기법 연구

박기범 숭실대학교 대학원 2024 국내박사

Ransomware is a type of malware that cyber attackers use various tactics and techniques to encrypt files stored on a victim's computer or restrict access to them by locking the files. Typically, ransomware attackers demand payment in virtual currency in exchange for restoring access to the blocked files. According to a recent report by IBM, ransomware cybercrime is occurring in all regions worldwide, with significant increases in attacks on government agencies, professional services, and the healthcare industry in major countries and sectors. Since the first reported ransomware incident in 1989, ransomware has continuously evolved in sophistication and complexity through techniques such as obfuscation. Easy-to-use hacking software creation tools have led to the development of numerous variants, which have grouped together into ransomware families. Recently, ransomware attacks have shifted from common, automated large-scale attacks to precise and persistent targeted attacks. To block such ransomware attacks, traditional malware detection techniques often use code signatures generated from the characteristics of individual ransomware, creating a blacklist of these signatures. The ransomware detection and blocking methods that use blacklists have the advantages of fast and accurate detection, simplicity, and ease of use. However, they suffer from the critical drawback of being unable to detect new or variant ransomware strains that are unknown. According to a report from Virginia Tech in US, various academic studies have been conducted on detecting new or variant ransomware. These studies include monitoring file systems, tracking hardware performance profiles, observing the process of ransomware calling encryption APIs, and monitoring network activities for communication with external servers. However, despite the advanced detection capabilities of these methods, they often require substantial computer resources or additional setups like virtual environments, making them difficult to apply directly in typical user environments. Recently, focusing on the characteristic of ransomware that induces malicious behavior through file access requests and the fact that commonly used applications making such requests are very limited, whitelist-based control techniques for ransomware file access requests have been proposed. The advantages of these whitelist-based control techniques are that they do not burden the user's computer environment and can block suspicious ransomware with 100% certainty. However, whitelist-based control techniques have a traditional security weakness: malicious threads can bypass whitelist controls by injecting DLL files into legitimate application processes. Therefore, it is necessary to research practical and safe ransomware blocking techniques that address these security vulnerabilities of whitelist-based systems, are user-friendly, do not burden the user's computer environment, and can block damages from new or variant ransomware in real-time. This study analyzes the security vulnerabilities of existing whitelist-based malicious thread monitoring systems, proposing the need for security measures to address these vulnerabilities. It also identifies that existing whitelist-based ransomware monitoring systems have a security flaw in that the whitelist itself can be tampered with and suggests the need for countermeasures against this weakness. The research aims to design, implement, and validate countermeasures to address these two critical security vulnerabilities. To address these issues, we design a thread chaining attack scenario where a child thread, which is a self-replicating thread created by ransomware, attempts file access requests, causing damage to the victim's computer file system. We then propose a technique to delete threads generated by ransomware as a countermeasure to such attacks. In addition, we describe the vulnerability of all whitelist-based ransomware countermeasures to preemptive tampering with the whitelist itself by attackers and propose countermeasures against whitelist tampering attacks. To address the two vulnerabilities of thread chaining attacks and tampering with the whitelist itself, we propose the SeWAR (Security enhanced Whitelist-Based Anti-Ransomware) system. In this study's final phase, experiments are conducted to analyze the security vulnerabilities of the existing RWAR (Robust Whitelist-Based Anti-Ransomware) system, where permission is granted for file access requests initiated by child threads of malicious threads generated by ransomware, leading to damages. Additionally, the study verifies the functionality of the application's file access request control feature and the detection and deletion of malicious threads generated by ransomware. It ensures that the application functions normally even after thread deletion. Furthermore, the study evaluates the performance of the proposed system based on computer resource consumption and ransomware detection time, demonstrating that the proposed system is indeed a practical and convenient solution for real-world operation. 랜섬웨어는 사이버 공격자가 다양한 전술과 기술을 활용하여 피해자의 컴퓨터에 저장된 파일을 암호화하거나, 잠금으로 파일에 대한 접근을 제 한하는 악성코드의 일종이다. 랜섬웨어 공격자는 일반적으로 접근이 차 단된 파일을 원상회복하는 대가로 가상 화폐의 지급을 요구한다. 최근 IBM이 발표한 자료에 따르면, 랜섬웨어에 의한 사이버 범죄는 전 세계 모든 지역에서 발생하고 있으며, 특히 정부 기관과 전문 서비스 및 의료 산업 등 주요 국가 및 산업 분야에서 랜섬웨어에 의한 피해가 급증하는 추세이다. 1989년 최초로 랜섬웨어가 보고된 이래, 랜섬웨어는 난독화 등의 기술에 의해 정교함과 분석 복잡도 측면에서 지속적으로 진 화하였고, 이용이 간단한 해킹 SW 생성 도구에 의해 나날이 다양한 변 종이 개발되고, 유사한 변종들이 서로 묶여 랜섬웨어 변종 군으로 발전 되었다. 최근 랜섬웨어 공격은 일반적이고 자동화된 대규모 공격에서 정 확하고 지속적으로 실행되는 표적화된 공격으로 전환되는 추세이다. 이러한 랜섬웨어 공격을 차단하기 위하여, 전통적인 악성코드 탐지 기 술에서 활용되었던 개별 랜섬웨어의 특징을 코드 서명으로 생성한 후, 이렇게 생성된 코드 서명들이 나열된 것을 블랙리스트로 사용하는 랜섬 웨어 탐지기법이 주로 이용된다. 블랙리스트를 이용하는 랜섬웨어 탐지 및 차단기법은, 랜섬웨어를 빠르고 정확하게 탐지하며 구조가 간단하고 이용이 편리한 장점이 있는 반면에, 알려지지 않은 신종 또는 변종 랜섬 웨어는 탐지가 어렵다는 치명적인 단점이 존재한다. 미국 Virginia Tech의 보고서에 따르면, 그동안 신종 또는 변종 랜섬 웨어 탐지를 위한 다양한 학술적인 연구가 진행되었으며, 이러한 연구에 는 파일 시스템의 감시와 하드웨어의 성능 프로파일의 감시, 그리고 랜 섬웨어가 암호화 API를 호출하는 과정 감시 및 랜섬웨어가 외부의 서버 와 교신하는 네트워크 활동을 감시하는 기법 등을 들 수 있다. 그러나 이러한 탐지기법들은 새로운 랜섬웨어 탐지 기능에도 불구하 고, 랜섬웨어 탐지에 필요한 컴퓨터 자원의 소모량 또는 가상환경 설치 등 부가적인 환경 구성 등으로 일반 사용자의 컴퓨터 환경에 직접 적용 하기가 곤란한 단점이 존재한다. 최근 파일 접근요청을 통해 악의적인 행위를 유발하는 랜섬웨어의 특성과 파일 접근요청을 하는 응용 프로그 램 중 보편적으로 이용되는 프로그램이 매우 제한적인 점에 착안하여, 화이트리스트 기반 랜섬웨어의 파일 접근요청 제어 기법들이 제안되었 다. 이러한 화이트리스트 기반 접근요청 제어 기법의 장점으로, 사용자 의 컴퓨터 환경에 부하를 가하지 않으며, 의심스러운 랜섬웨어를 100% 차단할 수 있다는 장점이 있다. 그러나 화이트리스트 기반 접근요청 제 어 기법에는 DLL 파일 주입에 따른 악의적인 스레드를 정상적인 응용 프로그램에 삽입하여 화이트리스트에 의한 차단 제어를 우회하는 전통적 인 보안 취약점이 존재한다. 따라서 이러한 화이트리스트 기반의 보안 취약점을 해결하고, 사용이 편리하고 사용자의 컴퓨터 환경에 부하를 가 하지 않으며, 신종 또는 변종 랜섬웨어에 의한 피해를 실시간으로 차단 할 수 있는 실용적이며 안전한 랜섬웨어 차단기법 연구가 필요하다. 이번 연구에서는 기존 화이트리스트 기반 악의적인 스레드 감시 시스 템의 보안 취약점을 분석하여, 취약점에 대응하는 보안 대책의 필요성을 제안하고 기존 화이트리스트 기반 랜섬웨어 감시 시스템은 화이트리스트 자체를 위변조하는 보안 취약점이 있음을 분석하여 취약점에 대응하는 보안 대책의 필요성을 제안한다. 연구 목표는 두 가지 보안 대책의 필요 성에 대응할 대응기법을 설계하고 구현 및 검증하는 것이다. 이를 위해 랜섬웨어가 생성한 악의적인 스레드 대신에 자기복제 스레 드인 자식 스레드가 파일 접근요청을 시도하여, 피해자의 컴퓨터 파일 시스템에 피해를 유발하는 스레드 체이닝(Thread Chaining) 공격 시나 리오를 설계한 다음, 이러한 공격에 대한 대응으로 랜섬웨어에 의해 생 성된 스레드를 삭제하는 기법을 제안한다. 또한, 기존 화이트리스트 기반 랜섬웨어 대응기법들이 공격자가 사전 에 화이트리스트 자체를 위변조하는 공격에 취약함을 서술하고, 화이트 리스트 위변조 공격에 대한 대응기법을 제안한다. 제안된 스레드 체이닝 공격과 화이트리스트 자체를 위변조하는 공격 두 가지 취약점을 해결하는 대응기법으로, SeWAR(Security enhanced Whitelist Based Anti-Ransomware) 시스템을 제안한다. 이번 연구에서는 마지막으로 실험을 통해, 랜섬웨어가 생성한 악의적 인 스레드의 자식 스레드에 의한 파일 접근요청을 승인하여 피해가 유발 되는 기존 RWAR(Robust Whitelist-Based Anti-Ransomware) 시스템 의 보안 취약점을 분석하여, 응용 프로그램의 파일 접근요청 제어 기능 과 랜섬웨어가 생성한 악성 스레드 탐지 및 삭제 기능을 검증하며, 스레 드 삭제 이후에도 응용 프로그램이 정상 동작하는 과정을 확인한다. 또 한, 본 연구에서는 컴퓨터 자원 소모량과 랜섬웨어 탐지 시간을 기준으 로 제안된 시스템의 성능을 평가함으로써 제안된 시스템이 실제 운용이 매우 편리한 실용적인 시스템임을 입증한다.

엔드포인트 보안 관점에서의 효과적인 랜섬웨어 예방 및 대응 방안

차강석 건국대학교 정보통신대학원 2023 국내석사

Ransomware attacks have evolved rapidly over the past few years and are one of the cyber threats affecting all sectors. Recently, threat actors can easily obtain popular Ramsomware samples using the Ransomware as a Service (RaaS) model or purchase stolen credentials or system access from DeepWeb forums and marketplace Initial Access Brokers (IAB) to distribute malicious code to targets. Ransomware attacks are developing business strategies of various profit models over time. In order to minimize damage to ransomware in this environment, appropriate prevention and countermeasures are needed. In this paper, we investigated the trends and characteristics of ransomware, explained the security system configuration to prevent initial entry into seven ransomware transmission paths (e-mail, SNS, vulnerable homepage visits, file sharing sites, security vulnerabilities, USB with malicious code, insider). In addition, in order to minimize the damage caused by ransomware, the types of ransomware that can be decoded, responses, and backup measures were proposed, and the opinions of working-level officials were confirmed through a survey. Through this content, it is intended to help raise awareness of ransomware threats and prevent and respond to ransomware. 랜섬웨어 공격은 지난 몇 년 동안 빠르게 발전하며 모든 부문에 영향을 미치는 사이버 위협 중 하나이다. 최근 위협 행위자는 RaaS(Ransomware as as Service) 모델을 활용하여 쉽게 인기 있는 랜섬웨어 샘플을 얻거나 DeepWeb 포럼 및 시장의 IAB(Initial Access Brokers) 로부터 훔친 자격 증명 또는 시스템 액세스를 구입하여 악성 코드를 대상으로 배포할 수 있게 되었다. 랜섬웨어 공격은 시간이 지날수록 다양한 수익모델의 비즈니스 전략이 생겨나고 있는 상황이다. 이러한 환경속에서 랜섬웨어의 피해를 최소화하려면 적절한 예방과 대응방안이 필요하다. 본 논문에서는 랜섬웨어의 동향과 특징을 알아보고, 엔드포인트 보안 관점에서 랜섬웨어 전파 경로 7가지(이메일, SNS, 취약한 홈페이지 방문, 파일 공유사이트, 보안취약점, 악성코드가 포함된 USB, 내부자)에 대한 초기 진입 예방을 위한 보안 시스템 구성을 설명하였으며, LEDS Matrix 랜섬웨어 핵심 동작 4가지에 따라 랜섬웨어 탐지 및 차단을 위해 필요한 기능을 설명하고 기술적 보안 정책 수립을 권고하였다. 그리고 랜섬웨어로 인해 발생된 피해를 최소화하기 위해 해독이 가능한 랜섬웨어 유형과 대응 및 백업 방안을 제안하였으며, 설문조사를 통해 제안 내용에 대해 실무자들의 의견을 확인했다. 해당 내용을 통해 랜섬웨어 위협에 대한 인식 제고와 랜섬웨어 예방 및 대응을 하는데 도움이 되고자 한다.

랜섬웨어 대응체계 관한 연구

황동렬 한서대학교 대학원 2018 국내석사

이제는 정보에 대한 관리를 PC와 같은 전자 단말기에 모두 데이터화 시켜 파일로 보관을 할 정도로 정보의 가치는 높아지고 데이터 보관량이 날로 늘어남에 따라 국가기관·기업은 정보 데이터의 관리는 중요 자산으로 분류하여 관리되고 있다. 데이터의 가치가 높아짐에 따라 데이터가 저장되어 있는 파일들을 공격하는 랜섬웨어가 등장 했다. 랜섬웨어는 기존의 해킹 공격의 비해 시간과 기술력을 필요하지 않은 반면에 금전적 이득의 효과가 크다. 또한 공격 대상의 기준이 없으며 인터넷을 사용하는 개인·기업 등 모두가 대상이 될 수 있다. 아직까지는 랜섬웨어의 대한 인식 부족으로 피해사례가 발생되고 있으며 랜섬웨어 감염으로 인한 데이터 유실과 금전 요구에 따른 2차 피해까지 발생되고 있다. 국가기관·백신 전문업체의 예방법 및 대응방안은 이미 많이 소개가 되어 있으나 신·변종의 등장과 지능화된 유포방식에 따른 감염 피해는 꾸준히 발생되고 있다. 이에 랜섬웨어에 대하여 전반적으로 살펴보고 예방법 및 대응방안을 분석하여 그에 따른 대응체계를 제안한다. Nowadays information is stored in electronic devices such as PC. The information is stored in computer files. As the value of information increases and the size of data become big, it is important for governmental agencies and private companies to keep them safely. As the value of data becomes high, ransomwares that attack the computer files have appeared. Ransomwares don’t require a lot of time or technology to attack data compared to the existing hacking methods. But it has big financial profits. They don’t have any rules for attacking targets. They can target individuals and companies that use the Internet. There are many damages from ransomwares because of low recognition on them. They lose their data due to the infection of ransomwares. They also get the threat to pay money additionally. Governmental agencies and computer vaccine companies suggest many ways to prevent the ransomwares. But new and variable ransomwares appear and are distributed intelligently increasing the infection damage. It will explain what ransomware is and how to prevent and take action against it.

기업환경에서 백업 소프트웨어를 통한 랜섬웨어 대응방안에 관한 연구

조영훈 아주대학교 2020 국내석사

4차 산업혁명 시대에서의 IT 환경에서 데이터의 양은 기하급수적으로 늘어나고 있다. IoT, Cloud, Big Data, Mobile, 그리고 인공지능(AI)까지 모두 수많은 데이터를 기반으로 하는 기술의 집약체가 등장하며 데이터는 이제 단순한 정보와 수치가 아닌 산업구조의 핵심적인 역할을 하는 형태로 변화하고 있으며 동시에 사이버 공격의 주요 대상이 되고 있다. 데이터의 중요성이 높아짐에 따라 최근 ‘몸값’(Ransom)과 ‘소프트웨어’(Software)의 합성어인 랜섬웨어가 급증하고 있으며 랜섬웨어는 데이터를 암호화시켜 사용할 수 없게 만든 후 사용자에게 복호화비용을 요구한다. 랜섬웨어에 의한 국내 피해액은 2017년 이후 조 단위를 넘어섰으며 이러한 사이버보안 위협과 업무 연속성 등의 보장을 위해 데이터 백업이 필요하지만 단순한 백업은 근본적인 대응 방안으로는 부족하며 보완이 필요하다. 기업은 백업마스터서버를 통해 클라이언트 서버를 백업 받아 데이터를 통합 관리하며 백업 정책에 따라 일정 보관주기가 지나면 데이터를 삭제하기 때문에 감염 피해사실을 백업 데이터 보관주기 내에 알지 못하면 복구가 불가능하다. 그 예시로 2019년 한 기업에서 백업 소프트웨어를 통한 백업시스템을 구축했음에도 불구하고 업무망 내 서버가 랜섬웨어에 감염되어 복구가 불가능한 사고가 발생했다. 관리자가 피해사실을 알았을 땐 이미 보관주기 내의 백업 데이터들도 모두 감염된 상태였으며 기업은 이 감염사고로 인해 관련시스템을 모두 재구축해야했다. 이러한 피해를 방지하고 백업소프트웨어를 통해 랜섬웨어에 대응할 수 있는 안전한 백업을 받기 위해서는 특정 백업 미디어 영역을 암호화하여 복구키를 통해서만 접근 가능한 보안구역(Security Area)을 설정한 후 백업마스터서버를 이전시점으로 돌릴 수 있는 DR백업을 주기적으로 수행해야한다. 그리고 인덱스(Index)의 열(Column)에 데이터 해시 값을 포함하여 백업 시 원본 데이터와 백업 데이터의 해시 값 비교를 통한 정합성 검증을 진행하고 이상탐지가 될 경우 백업을 중단하고 검증이 끝날 때까지 해당 클라이언트서버의 기존 백업데이터의 보관주기 정책이 별도로 적용되어야한다. 이와 같이 해시 값 비교를 통한 데이터 백업으로 랜섬웨어에 대한 보완이 된다면 이상탐지를 통해 랜섬웨어 공격 예방이 가능할 뿐만 아니라 관리자 부주의로 인한 휴먼에러 또는 정보보호 장비의 고장과 신·변종 랜섬웨어 등 예측 불가한 상황으로 랜섬웨어에 감염이 되더라도 ‘골든타임’과 무관하게 데이터를 보호할 수 있으므로 랜섬웨어 대응에 있어 더 안전한 장치가 될 것으로 기대한다.

포렌식 기법 및 침해 지표를 활용한 랜섬웨어 대응 방안에 대한 연구

이지영 동국대학교 2016 국내석사

As the world is undergoing radical development of technology and information science, patterns of cyber security and terrorism issues are accordingly developing. Especially, 'Ransomware' has been considered as one of the most threatening security issue for recent years. It is also expected that the spread of new and mutant ransomware will be continued. Since ransom ware cause not only financial damage but also leak of personal information, which is an obvious cyber crime, prompt correspondance on ramsomware patterns based on systemical analysis is essential. IOC, Indicator of compromise, is able to correspond to the secure related accidents even with limited resources. Also, correspondance using IOC can be more effective in case of ransomware which develops new and mutant types more than other malwares. Therefore, this research will cover usage of IOC for effective practicing forensic evidence analysis by arranging features of ransomware related cyber crimes.