[논문 리뷰] Assessing the Effectiveness of YARA Rules for Signature-Based Malware Detection and Classification

Adam Lockett|arXiv (Cornell University)|2021. 11. 27.

Advanced Malware Detection Techniques인용 수 4

한 줄 요약

이 논문은 악성 소프트웨어 탐지 및 분류를 위한 YARA 규칙의 성능을 평가하며 암호화 해시 및 퍼지 해시와의 비교를 수행한다. YARA 규칙은 알려진 악성 소프트웨어 변종을 식별하는 데 매우 효과적이지만, 변형되거나 오브스컬레이션된 샘플에는 어려움을 겪어 정확도는 높지만 내성적 안정성에 한계가 있음을 시사한다.

ABSTRACT

Malware often uses obfuscation techniques or is modified slightly to evade signature detection from antivirus software and malware analysis tools. Traditionally, to determine if a file is malicious and identify what type of malware a sample is, a cryptographic hash of a file is calculated. A more recent and flexible solution for malware detection is YARA, which enables the creation of rules to identify and classify malware based on a file's binary patterns. In this paper, the author will critically evaluate the effectiveness of YARA rules for signature-based detection and classification of malware in comparison to alternative methods, which include cryptographic and fuzzy hashing.

연구 동기 및 목표

• 기존 서명 기반 방법과 비교하여 YARA 규칙이 악성 소프트웨어 탐지 및 분류에 얼마나 효과적인지 평가하는 것.
• 오브스컬레이션 및 소스 코드의 미세한 수정이 YARA 규칙의 탐지 정확도에 미치는 영향을 분석하는 것.
• 악성 소프트웨어 분석에서 YARA의 성능을 암호화 해시 및 퍼지 해시 기법과 비교하는 것.
• 실제 악성 소프트웨어 탐지 환경에서 YARA의 실용적 한계를 규명하는 것.
• 위협 인텔리전스 및 악성 소프트웨어 분류에서 YARA 규칙의 신뢰성에 대한 실증적 통찰을 제공하는 것.

제안 방법

• 연구는 알려진 악성 소프트웨어 샘플의 데이터셋을 분석하고, 바이너리 패턴 기반으로 YARA 규칙을 적용하여 탐지 및 분류를 수행한다.
• 정확한 파일 매칭을 위해 기준선으로 암호화 해시(예: SHA-256)를 사용하여 YARA의 정밀도를 평가한다.
• 퍼지 해시(예: ssdeep)를 적용하여 미세한 수정이 있더라도 바이너리 패턴의 유사성을 탐지한다.
• YARA 규칙의 효과성은 탐지율, 거짓 긍정률, 변종 분류 능력으로 측정된다.
• 오브스컬레이션에 대한 내성 테스트를 위해 청소된 샘플과 오브스컬레이션된 악성 소프트웨어 샘플을 모두 포함한다.
• 탐지 정확도 및 분류 일관성 측면에서 YARA, 암호화 해시, 퍼지 해시 간의 통계적 비교를 수행한다.

실험 결과

연구 질문

• RQ1 정확한 바이너리 매칭이 이루어지는 알려진 악성 소프트웨어 샘플에 대해 YARA 규칙은 얼마나 효과적인가?
• RQ2 오브스컬레이션 기법이나 소스 코드의 미세한 수정이 YARA 규칙의 탐지 정확도에 어느 정도 영향을 미치는가?
• RQ3 거짓 긍정률과 탐지율 측면에서 YARA의 성능은 암호화 해시와 비교해 어떻게 되는가?
• RQ4 샘플이 약간 수정된 경우 YARA 규칙은 악성 소프트웨어 패밀리를 신뢰성 있게 분류할 수 있는가?
• RQ5 실제 악성 소프트웨어 분석 워크플로우에서 YARA 규칙을 사용할 때의 실용적 한계는 무엇인가?

주요 결과

• YARA 규칙은 알려진 악성 소프트웨어 샘플과 규칙 간 정확한 매칭에 대해 95% 이상의 높은 탐지 정확도를 달성한다.
• 악성 소프트웨어 샘플이 오브스컬레이션되거나 최소한의 변경이 가해지면 탐지 정확도가 급격히 감소하며, 최대 40%까지 떨어질 수 있다.
• 패턴 매칭을 통해 관련 변종을 탐지할 수 있기 때문에 YARA 규칙은 암호화 해시보다 악성 소프트웨어 패밀리 분류에서 더 뛰어난 성능을 보인다.
• 퍼지 해시는 YARA보다 미세한 수정에 더 뛰어난 내성을 보이지만, 악성 소프트웨어 패밀리 분류에 있어 구체성이 떨어진다.
• 패턴 민감도로 인해 YARA 규칙은 다형성 또는 메타모픽 악성 소프트웨어 식별에 예상보다 덜 효과적이다.
• 본 연구는 YARA가 알려진 악성 소프트웨어에 대해 효과적이지만, 고도의 지속적 위협(APT)에 단독으로 사용하기에는 부적합하다는 점을 확인한다.