[논문 리뷰] MIMOSA: Reducing Malware Analysis Overhead with Coverings

Mohsen Ahmadi, Kevin Leach외 3명|arXiv (Cornell University)|2021. 01. 18.

Advanced Malware Detection Techniques참고 문헌 32인용 수 13

한 줄 요약

MIMOSA는 스텔스 멀웨어가 가상화 또는 에뮬레이션 환경에서 사용하는 일반적인 아티팩트를 최소한의 도구 설정 집합으로 공동으로 완화함으로써 멀웨어 분석 오버헤드를 줄이기 위한 커버링 세트 접근법을 도입한다. 실제 1,535개의 샘플을 대상으로 평가한 결과, 최신 기술 대비 분석 처리량을 95% 이상 향상시키며 자원 비용과 수동 작업을 최소화한다.

ABSTRACT

There is a growing body of malware samples that evade automated analysis and detection tools. Malware may measure fingerprints ("artifacts") of the underlying analysis tool or environment and change their behavior when artifacts are detected. While analysis tools can mitigate artifacts to reduce exposure, such concealment is expensive. However, not every sample checks for every type of artifact-analysis efficiency can be improved by mitigating only those artifacts most likely to be used by a sample. Using that insight, we propose MIMOSA, a system that identifies a small set of "covering" tool configurations that collectively defeat most malware samples with increased efficiency. MIMOSA identifies a set of tool configurations that maximize analysis throughput and detection accuracy while minimizing manual effort, enabling scalable automation to analyze stealthy malware. We evaluate our approach against a benchmark of 1535 labeled stealthy malware samples. Our approach increases analysis throughput over state of the art on over 95% of these samples. We also investigate cost-benefit tradeoffs between the fraction of successfully-analyzed samples and computing resources required. MIMOSA provides a practical, tunable method for efficiently deploying analysis resources.

연구 동기 및 목표

• 가상화 또는 에뮬레이션 환경에서 아티팩트를 감지함으로써 분석을 회피하는 스텔스 멀웨어의 증가하는 도전에 대응하기 위해.
• 멀웨어 분석에서 가능한 모든 아티팩트를 완화하기 위한 높은 계산 및 수동 오버헤드를 줄이기 위해.
• 최소한의 비용으로 최대의 탐지 커버리지 달성을 위한 최적의 완화 전략 하위 집합을 선택하는 확장 가능하고 조정 가능한 방법을 개발하기 위해.
• 완화 전략을 비용-커버리지 트레이드오프 문제로 모델링하여 자동화된 고처리량 스텔스 멀웨어 분석을 가능하게 하기 위해.
• 실제로 1,535개의 레이블이 부여된 스텔스 멀웨어 샘플로 구성된 대규모 실세계 코퍼스를 기반으로 접근법을 실증적으로 검증하기 위해.

제안 방법

• MIMOSA는 아티팩트 완화 전략을 완화하는 아티팩트 수와 관련 자원 비용에 기반해 부분적으로 순서가 지정된 집합으로 모델링한다.
• 가장 작은 설정 집합을 식별하여 대부분의 스텔스 멀웨어 샘플을 동시에 무력화하는 커버링 세트 알고리즘을 적용한다.
• 가상 머신, 베어메탈 시스템, 하드웨어 지원 도구를 포함한 다양한 분석 환경에서 32개의 서로 다른 완화 전략을 평가한다.
• 검출 정확도, 분석 처리량, 자원 활용도(CPU, 메모리, 디스크)를 균형 잡기 위한 비용-편익 프레임워크를 사용한다.
• 자동화된 멀웨어 트리지 파이프라인에 통합되어 샘플별로 최적의 설정을 동적으로 선택한다.
• 프레임워크는 확장 가능하며 핵심 알고리즘을 변경하지 않고도 새로운 아티팩트와 완화 전략을 통합할 수 있다.

실험 결과

연구 질문

• RQ1 자원 오버헤드를 최소화하면서 대부분의 스텔스 멀웨어 샘플을 커버할 수 있는 최소한의 분석 설정 집합은 무엇인가?
• RQ2 기존 최신 기술 대비 MIMOSA의 설정 선택 방식은 분석 처리량을 어떻게 향상시키는가?
• RQ3 다양한 완화 전략을 사용할 경우 검출 정확도와 자원 비용 간의 트레이드오프는 어떠한가?
• RQ4 체계적이고 데이터 기반의 아티팩트 완화 접근법이 실세계 멀웨어 분석에서 경험적 또는 포괄적인 완화 방식을 능가할 수 있는가?
• RQ5 커버링 세트 모델은 새로운 또는 진화하는 멀웨어 은폐 기법에 대해 얼마나 확장 가능하고 적응 가능한가?

주요 결과

• MIMOSA는 평가 코퍼스에 포함된 1,535개의 레이블이 부여된 스텔스 멀웨어 샘플 중 95% 이상에서 최신 기술 대비 분석 처리량을 향상시켰다.
• 전체 아티팩트 완화 대비 메모리 사용량과 계산 오버헤드를 줄이며 높은 검출 정확도를 달성했다.
• 커버링 세트 접근법은 대부분 퍼지된 은폐 기법을 공동으로 완화할 수 있는 소규모 최적의 설정 하위 집합을 성공적으로 식별했다.
• 비용-편익 분석을 통해 MIMOSA가 조정 가능한 배포를 가능하게 하여 사용자가 탐지 커버리지와 자원 소비를 균형 있게 조정할 수 있음을 입증했다.
• 프레임워크는 확장 가능하며, '샌드박스 환경 내 연령 체크'와 같은 새로운 아티팩트를 포함하기 위해 새로운 완화 전략을 추가함으로써 쉽게 적응할 수 있다.
• 평가 결과는 모든 멀웨어 샘플이 모든 아티팩트를 사용하지 않는다는 점을 확인하였으며, 이는 선택적 완화가 효과적이고 효율적이라는 핵심 통찰을 뒷받침한다.