[논문 리뷰] Evolution of Computer Virus Concealment and Anti-Virus Techniques: A Short Survey

Babak Bashari Rad, Maslin Masrom외 1명|arXiv (Cornell University)|2011. 04. 06.

Advanced Malware Detection Techniques참고 문헌 14인용 수 39

한 줄 요약

이 논문은 컴퓨터 바이러스 은폐 기법과 악성 소프트웨어 방지 방식 사이의 진화적 군비 경쟁을 조사하며, 악성 코드가 코드 변형, 다형성, 다형성 변형을 통해 탐지 회피를 위해 어떻게 진화하는지 분석한다. 반면, 악성 소프트웨어 방지 시스템은 히ュ리스틱 분석, 행동 모니터링, 시그니처 기반 탐지 방식을 통해 대응한다. 주요 기여는 악성 공격 기법과 방어 기법의 강점과 약점을 체계적으로 분석하여 사이버보안 분야의 향후 연구를 안내하는 데 있다.

ABSTRACT

This paper presents a general overview on evolution of concealment methods in computer viruses and defensive techniques employed by anti-virus products. In order to stay far from the anti-virus scanners, computer viruses gradually improve their codes to make them invisible. On the other hand, anti-virus technologies continually follow the virus tricks and methodologies to overcome their threats. In this process, anti-virus experts design and develop new methodologies to make them stronger, more and more, every day. The purpose of this paper is to review these methodologies and outline their strengths and weaknesses to encourage those are interested in more investigation on these areas.

연구 동기 및 목표

• 악성 소프트웨어 탐지 회피를 위해 사용된 바이러스 은폐 기법의 역사를 분석하기 위해.
• 점점 더 정교해지는 악성 소프트웨어에 대응하여 악성 소프트웨어 방지 기술이 채택한 방어 전략을 검토하기 위해.
• 진화하는 사이버 위협의 맥락에서 은폐 기법과 탐지 방법론의 강점과 약점을 평가하기 위해.
• 현재의 바이러스 탐지 및 은폐 기법의 격차와 과제를 규명하여 향후 연구의 기초를 마련하기 위해.

제안 방법

• 바이러스 은폐 기법과 악성 소프트웨어 방지 메커니즘에 관한 학술 및 기술 문헌에 대한 체계적 서베이.
• 코드 변환 전략에 기반해 바이러스 은폐 기법을 정적, 다형성, 다형성 변형 유형으로 분류하기.
• 시그니처 기반 스캔, 히ュ리스틱 분석, 행동 기반 탐지 방식을 포함한 악성 소프트웨어 방지 탐지 방법 분석.
• 다양한 악성 소프트웨어 방지 기법 간의 탐지 정확도, 성능 오버헤드, 은폐 저항성 비교.
• 정적 분석을 회피하기 위해 바이러스가 사용하는 변형 및 암호화 기법의 효과 평가.
• 시간에 따라 악성 코드 변형과 AV 탐지 혁신 간의 적대적 진화를 매핑하기.

실험 결과

연구 질문

• RQ1 바이러스 은폐 기법은 단순한 암호화에서 다형성 및 다형성 변형 코드로 어떻게 진화해왔는가?
• RQ2 현대 악성 소프트웨어 방지 시스템이 변형된 악성 소프트웨어를 대비해 주로 사용하는 탐지 메커니즘은 무엇인가?
• RQ3 고도로 변형된 코드에 대비해 시그니처 기반 탐지의 한계는 무엇인가?
• RQ4 히ュ리스틱 및 행동 기반 탐지 방법은 제로데이 및 다형성 바이러스에 대해 어떻게 저항력을 향상시키는가?
• RQ5 악성 소프트웨어 방지 기술에서 탐지 정확도, 시스템 성능, 은폐 저항성 간의 상충 관계는 무엇인가?

주요 결과

• 다형성 및 다형성 바이러스는 기능을 유지하면서도 코드 구조를 변경함으로써 시그니처 기반 탐지의 효과를 크게 떨어뜨린다.
• 히ュ리스틱 분석은 알려지지 않은 악성 소프트웨어 탐지에 유용하지만, 행동의 일반화 과도로 인해 가짜 경고율이 증가한다.
• 행동 기반 탐지는 고도로 발전한 악성 소프트웨어에 효과적이지만, 시스템 자원에 더 높은 계산 오버헤드를 유발한다.
• 암호화 및 불필요한 코드 삽입과 같은 코드 변형 기법은 정적 분석과 시그니처 추출을 지연시키는 데 효과적이다.
• 악성 코드 변형과 AV 탐지 혁신 간의 군비 경쟁은 계속해서 공격 및 방어 사이버보안 기술의 혁신을 이끌고 있다.
• 단일 탐지 방법은 언제나 효과적이지 않으며, 시그니처, 히ュ리스틱, 행동 분석을 조합한 하이브리드 접근 방식이 진화하는 위협에 대해 더 높은 저항성을 보인다.