[논문 리뷰] Modeling the Propagation of Trojan Malware in Online Social Networks

Mohammad Reza Faghani, Uyen Trang Nguyen|arXiv (Cornell University)|2017. 08. 03.

Advanced Malware Detection Techniques참고 문헌 39인용 수 9

한 줄 요약

이 논문은 현실적인 네트워크 구조, 악성코드 방지 소프트웨어(AV) 동역학, 사용자 행동 및 사회공학 기법을 고려한 온라인 소셜 네트워크(OSN)에서 트로이 목마 악성코드 확산을 시뮬레이션하기 위한 새로운 분석 모델을 제안한다. 이 모델은 O(E) 계산 복잡도를 가지며 높은 정확도를 달성했으며, 빠른 AV 업데이트와 협력적 정화 작동이 감염 확산을 크게 줄임을 보여준다.

ABSTRACT

The popularity and widespread usage of online social networks (OSN) have attracted cyber criminals who have used OSNs as a platform to spread malware. Among different types of malware in OSNs, Trojan is the most popular type with hundreds of attacks on OSN users in the past few years. Trojans infecting a user's computer have the ability to steal confidential information, install ransomware and infect other computers in the network. Therefore, it is important to understand propagation dynamics of Trojans in OSNs in order to detect, contain and remove them as early as possible. In this article, we present an analytical model to study propagation characteristics of Trojans and factors that impact their propagation in an online social network. The proposed model assumes all the topological characteristics of real online social networks. Moreover, the model takes into account attacking trends of modern Trojans, the role of anti-virus (AV) products, and security practices of OSN users and AV software providers. By taking into account these factors, the proposed model can accurately and realistically estimate the infection rate caused by a Trojan malware in an OSN as well as the recovery rate of the user population.

연구 동기 및 목표

• 실제 온라인 소셜 네트워크(OSN)에서 트로이 목마 악성코드 확산을 정확하게 모델링하기 위한 분석 모델을 개발함으로써, 동질적 혼합과 같은 단순 가정을 넘어서고자 한다.
• OSN 구조에서의 힘의 법칙에 따른 차수 분포, 높은 클러스터링 계수, 짧은 평균 경로 길이와 같은 현실적인 요소를 통합하고자 한다.
• 악성코드 방지 소프트웨어(AV) 제공 웹사이트 접근 차단 및 사용자를 속여 악성코드 실행을 유도하는 사회공학 기법을 포함한 현대적 트로이 목마 행동을 모델링하고자 한다.
• AV 업데이트 시점, 사용자 인지도 및 협력적 정화가 감염 및 회복 비율에 미치는 영향을 평가하고자 한다.
• 실제 페이스북 하위 그래프를 사용하여 모델을 검증하고, 계산 효율성과 정확성을 입증하고자 한다.

제안 방법

• 모델은 사용자를 노드로, 상호 관계를 간선으로 하는 무방향 그래프로 OSN를 표현한다.
• 사용자 간 연결성과 사회공학 성공 확률(p_i)에 기반한 확률적 감염 과정을 도입하여, 사용자가 어떻게 악성코드 실행을 유도당하는지를 모델링한다.
• 실제 AV 업데이트 지연을 반영한 시간에 따라 변하는 패치 배포 함수 β̂(t)를 통해 AV 보호 기능을 통합한다.
• 감염된 사용자가 상호 협력하여 정화할 수 있는 복구 메커니즘을 포함하여, 피어 투 피어 정화 노력의 시뮬레이션을 수행한다.
• 고도로 발전한 트로이 목마가 악성코드 방지 소프트웨어 제공 웹사이트에의 접근을 차단함으로써 보호 효과를 떨어뜨리는 행동을 모델링한다.
• 실제 페이스북 하위 그래프에서 시뮬레이션을 통해 모델을 검증하였으며, 수치적 해와의 비교를 통해 정확성과 O(E) 계산 복잡도를 확인하였다.

실험 결과

연구 질문

• RQ1 힘의 법칙에 따른 차수 분포, 높은 클러스터링 계수, 짧은 평균 경로 길이로 특징지어지는 현실적인 OSN 구조는 트로이 목마 악성코드 확산에 어떤 영향을 미치는가?
• RQ2 AV 업데이트 시점과 사용자 인지도는 OSN 내 트로이 목마 악성코드의 감염 및 회복 비율에 얼마나 큰 영향을 미치는가?
• RQ3 사회공학 기법을 사용해 탐지의 눈을 피하는 고도로 발전한 트로이 목마의 확산을 줄이기 위해 협력적 정화가 얼마나 효과적인가?
• RQ4 악성코드 방지 소프트웨어 제공 웹사이트에의 접근 차단과 같은 고도의 트로이 목마 행동은 전체 감염 역학에 어떤 영향을 미치는가?
• RQ5 제안된 분석 모델은 실제 OSN 구조에서 낮은 계산 복잡도(O(E))로 감염 및 회복 비율을 정확하게 예측할 수 있는가?

주요 결과

• 제안된 모델은 실제 페이스북 하위 그래프에서 시뮬레이션 결과와 밀도적으로 일치하는 수치적 결과를 도출하여 감염 및 회복 비율 추정에 높은 정확도를 달성하였다.
• 빠른 AV 업데이트 배포는 특히 제로데이나 신규로 나타난 악성코드 변종에 대해 감염된 사용자 수를 크게 줄였다.
• 협력적 정화는 특히 탐지 회피를 위해 고도의 사회공학 기법을 사용하는 고도로 발전한 트로이 목마에 대해 효과적인 복구 메커니즘이었다.
• 사용자 인지도 향상과 안전한 브라우징 습관은 악성코드 확산 속도를 늦추며, OSN 제공업체가 주도하는 교육 캠페인의 중요성을 시사한다.
• 모델는 O(E)의 낮은 계산 복잡도를 보이며, 대규모 OSN 환경에 대해 확장 가능함을 입증하였다.
• 트로이 목마가 악성코드 방지 소프트웨어 제공 웹사이트에의 접근을 차단함으로써 보호 효과가 떨어지므로, OSN 제공업체가 감염 사실을 SMS나 이메일로 사용자에게 사전 알리는 것이 필요하다.