우회기법을 이용하는 악성코드 행위기반 탐지 방법

국문 초록 (Abstract)

우회기법을 사용하는 변종 악성코드의 출현은 바이러스 백신에 의한 탐지를 우회하여 확산을 가속화시키고 있다. 만일 보안 취약점 패치가 되지 않고, 바이러스 백신 패턴에 포함되지 않았을 경우에 신종 웜은 수분 내에 단위 네트워크상의 시스템을 감염 시킬 수 있으며, 다른 지역 네트워크로의 확산도 가능하다. 따라서 변종 및 신종 악성코드에 대한 기존의 패턴기반 탐지 및 치료 방식에는 한계가 있다. 본 논문에서는 실행 압축의 우회기법을 사용한 악성코드에 대하여 행위기반의 정적 및 동적 분석에 의한 탐지패턴을 생성하고, 동적 탐지에 의한 변종 및 신종에 대한 탐지방법을 제안한다. 또한 동적 탐지에서의 유사도 비교를 위한 방법을 제안하여 시스템의 중요자원에 접근하는 실행압축 기법을 사용하는 바이러스의 탐지가 가능함을 보인다.

다국어 초록 (Multilingual Abstract)

The appearance of variant malicious codes using obfuscation techniques is accelerating the spread of malicious codes around the detection by a vaccine. If a system does not patch detection patterns for vulnerabilities and worms to the vaccine, it can be infected by the worms and malicious codes can be spreaded rapidly to other systems and networks in a few minute. Moreover, It is limited to the conventional pattern based detection and treatment for variants or new malicious codes. In this paper, we propose a method of behavior based detection by the static analysis, the dynamic analysis and the dynamic monitoring to detect a malicious code using obfuscation techniques with the PE compression. Also we show that dynamic monitoring can detect worms with the PE compression which accesses to important resources such as a registry, a cpu, a memory and files with the proposed method for similarity.

목차 (Table of Contents)

• 요약
• ABSTRACT
• Ⅰ. 서론
• Ⅱ. 관련 연구
• Ⅲ. 악성코드 패턴생성 및 탐지
• Ⅳ. 실험 결과
• Ⅴ. 결론
• 참고문헌
• 〈著者紹介〉

참고문헌 (Reference)

1 A. Sung,, "tatic Analyzer for Vicious Executables (SAVE)" 326-334, 2004

2 M. Pietrek, "nside Windows: An In- Depth Look into the Win32 Portable Executable File Format Part I, II" MSDN Magazine 2002

3 이호동, "Windows 시스템 실행파일의 구조와 원리," 한빛미디어 2005

4 J. Bergeron, "Static Detection of Malicious Code in Executable Programs" 2001

5 Mihai Christodorescu, "Static Analysis of Executables to Detect Malicious Patterns" 169-186, 2003

6 Microsoft Corporation, "Portable Executable Formats" Formats specification for Windows

7 J-Y. Xu, "Polymorphic Malicious Executable Scanner by API Sequence Analysis" 378-383, 2004

8 Cullen Linn, "Obfuscation of Executable Code to Improve Resistance to Static Disassembly" 290-299, 2003

9 S. G. Masood, "Malware analysis for administrators,"

10 Jose Nazario, "Defense and Detection Strategies against Internet Worms" Artech House 2004