[논문 리뷰] Darwin inside the machines: Malware evolution and the consequences for computer security

Dimitris Iliopoulos, Christoph Adami외 1명|arXiv (Cornell University)|2011. 11. 10.

Cellular Automata and Applications참고 문헌 19인용 수 15

한 줄 요약

이 논문은 돌연변이, 선택, 적응의 다윈주의 원리에 따라 진화하는 악성코드에 대한 이론적 프레임워크를 제안한다. 이는 단순한 코드 가시화를 넘어서 자율적인 행동 변화를 가능하게 하며, 인간의 재프로그래밍 없이도 새로운 방어 조치에 적응할 수 있도록 한다. 저자들은 악성코드를 생물학적 생물체와 유사한 진화 시스템으로 모델링하여, 향후 악성코드가 인간의 간섭 없이도 방어 기술에 적응할 수 있음을 입증한다. 이는 기존의 시그니처 검출 및 정적 분석에 기반한 보안 패러다임을 근본적으로 도전한다.

ABSTRACT

Recent advances in anti-malware technologies have steered the security industry away from maintaining vast signature databases and into newer defence technologies such as behaviour blocking, application whitelisting and others. Most would agree that the reasoning behind this is to keep up with the arms race established between malware writers and the security community almost three decades ago. Still, malware writers have not as yet created new paradigms. Indeed, malicious code development is still largely limited to code pattern changes utilizing polymorphic and metamorphic engines, as well as executable packer and wrapper technologies. Each new malware instance retains the exact same core functionality as its ancestor and only alters the way it looks. What if, instead, malware were able to change its function or behaviour autonomously? What if, in the absence of human intervention, computer viruses resembled biological viruses in their ability to adapt to new defence technologies as soon as they came into effect? In this paper, we will provide the theoretical proof behind malware implementation that closely models Darwinian evolution.

연구 동기 및 목표

• 악성코드가 생물학적 진화와 유사하게 돌연변이와 선택을 통해 자율적으로 진화할 수 있는지 탐구하는 것.
• 악성코드 진화가 코드 가시화(예: 다형성)에 국한된다는 가정을 도전하고, 새로운 패러다임으로서의 功能적 적응을 탐색하는 것.
• 인간의 간섭 없이도 방어 기술에 대응해 행동을 변화시킬 수 있는 악성코드의 이론적 가능성을 입증하는 것.
• 이러한 적응형 악성코드가 기존의 컴퓨터 보안 방어 조치, 특히 시그니처 기반 및 행동 기반 시스템에 미치는 영향을 분석하는 것.

제안 방법

• 진화 생물학과 계산 이론의 원리를 활용한 악성코드 진화의 이론적 모델링.
• 현대 진화 이론의 통합 이론을 컴퓨터 시스템에 응용하여 소프트웨어를 게놈(genotype)으로, 행동을 표현형(phenotype)으로 간주하는 것.
• 유전 알고리즘과 돌연변이 연산자를 사용해 악성코드 행동의 진화적 변화를 시뮬레이션하는 것.
• 선택 압력을 방어 기술(예: 방화벽, 샌드박스)의 존재로 정의하여 비적응적 변종을 걸러내는 것.
• 기능적으로 적응적인 악성코드만 생존하는 통제된 환경에서의 진화 역학 시뮬레이션.
• 탐지 기반 메커니즘에 대응해 은밀함, 회피 능력, 지속 가능성에 대한 보상을 주는 적합도 함수의 적용.

실험 결과

연구 질문

• RQ1 악성코드는 인간의 재프로그래밍 없이도 돌연변이와 선택을 통해 행동을 자율적으로 진화시킬 수 있는가?
• RQ2 실시간으로 새로운 방어 기술에 적응할 수 있는 메커니즘은 무엇인가?
• RQ3 이러한 적응형 악성코드는 현재의 다형성 또는 메타모픽 악성코드와 비교해 탐지 및 대응 측면에서 어떻게 다를 것인가?
• RQ4 자기 진화하는 악성코드가 기존의 시그니처 기반 또는 정적 분석 기반 보안 아키텍처에 어떤 영향을 미칠 것인가?
• RQ5 어떤 정도로 진화 원리가 소프트웨어 시스템에 공식적으로 모델링되어 적응형 악성 행동을 시뮬레이션할 수 있는가?

주요 결과

• 이론적 모델은 악성코드가 돌연변이와 선택을 통해 진화하여 단순한 코드 수준의 가시화를 넘어서 행동적 적응 변화를 이룰 수 있음을 확인한다.
• 기능적 적응 능력을 지닌 악성코드는 방어 기술에 대응해 행동을 변화시킴으로써 시그니처 기반 검출을 우회할 수 있다.
• 모델은 보안 도구에서 유래하는 진화적 압력이 더 견고하고 은밀한 악성코드 변종의 출현을 이끌 수 있음을 시사한다.
• 기존의 정적 분석이나 시그니처 기반 방어 전략은 행동을 동적으로 진화시키는 악성코드에 대해 근본적으로 부적합하다.
• 본 연구는 악성코드와 보안 도구 간의 무기 경쟁이 코드 가시화에서 행동 적응으로 이동할 수 있으며, 이에 따라 새로운 방어 패러다임이 필요로 함을 드러낸다.