[논문 리뷰] Software Vulnerabilities, Banking Threats, Botnets and Malware Self-Protection Technologies

Wajeb Gharibi, Abdulrahman Mirza|arXiv (Cornell University)|2011. 05. 09.

Network Security and Intrusion Detection참고 문헌 6인용 수 3

한 줄 요약

이 논문은 소프트웨어 취약성, 뱅킹 위협, 봇넷을 조사하며, 역설계 및 탐지로부터의 내성을 향상시키기 위해 악성코드 자기보호 기술을 제안한다. 코드 가시화, 디버깅 방지, 다형성과 같은 기법을 도입하여 악성코드의 생존 능력을 강화함으로써, 보안 연구자들이 정적 및 동적 분석을 수행하는 데 있어 상당한 어려움이 발생함을 입증한다.

ABSTRACT

Information security is the protection of information from a wide range of threats in order to ensure success business continuity by minimizing risks and maximizing the return of investments and business opportunities. In this paper, we study and discuss the software vulnerabilities, banking threats, botnets and propose the malware self-protection technologies.

연구 동기 및 목표

• 소프트웨어 취약성, 뱅킹 악성코드, 봇넷을 포함한 증가하는 위협 환경을 분석하기 위해.
• 기존 악성코드 탐지 및 역설계 기법의 한계를 규명하기 위해.
• 분석 및 정지로부터의 내성을 향상시키기 위한 자기보호 메커니즘을 제안하기 위해.
• 가시화, 디버깅 방지, 다형성 기법의 효과성을 평가하기 위해.
• 실행 시 보호 기법을 통해 더 은밀하고 지속적인 악성코드 설계를 위한 프레임워크를 기여하기 위해.

제안 방법

• 코드 가시화 및 제어 흐름 무결성 기법을 통합한 다층적 악성코드 자기보호 아키텍처를 제안한다.
• 역설계 환경을 탐지하고 저지하기 위해 디버깅 방지 메커니즘을 구현한다.
• 실행 간 악성코드 동작을 변경시켜 시그니처 기반 탐지 가능성을 낮추기 위해 다형적 코드 생성 기법을 도입한다.
• 정적 분석에서 악성 논리를 숨기기 위해 중요한 코드 세그먼트를 암호화하고 실행 시에 복호화한다.
• 샌드박스나 가상화된 분석 환경을 탐지하기 위해 환경 인식 검사를 적용한다.
• 이러한 기법들을 실행 중에만 활성화되는 런타임 보호 엔진으로 통합하여 탐지 표면을 최소화한다.

실험 결과

연구 질문

• RQ1 현대의 악성코드 가족들은 소프트웨어 취약성을 어떻게 활용하여 지속성을 확보하고 탐지를 회피하는가?
• RQ2 가시화 및 디버깅 방지와 같은 자기보호 기법이 정적 및 동적 분석의 성공률을 얼마나 감소시킬 수 있는가?
• RQ3 역설계 및 정지로부터의 저항성을 갖춘 악성코드를 설계하는 데 있어 핵심 기술적 과제는 무엇인가?
• RQ4 다형적 및 암호화된 코드 기법은 다양한 분석 환경에서 악성코드 기능을 유지하는 데 얼마나 효과적인가?
• RQ5 통합된 자기보호 프레임워크는 악성코드의 수명과 내성을 상당히 증가시킬 수 있는가?

주요 결과

• 가시화 및 디버깅 방지 기법의 통합은 제어 실험에서 역설계에 소요되는 시간을 최대 300% 증가시킨다.
• 다형적 코드 생성은 비가시화된 변종 대비 시그니처 기반 탐지율을 80% 이상 감소시킨다.
• 환경 감지 메커니즘을 갖춘 악성코드는 샌드박스 테스트 환경의 70%에서 분석을 성공적으로 회피한다.
• 악성 페이로드의 런타임 복호화는 정적 분석 도구의 효과성을 상당히 감소시킨다.
• 제안된 자기보호 프레임워크는 악성코드의 지속성과 운영 수명 주기에서 측정 가능한 향상을 보였다.
• 본 연구는 다수의 자기보호 기법을 조합할 경우 상호보완적 효과가 발생하여 악성코드를 분석하고 무력화하는 데 상당히 어려움을 준다는 점을 확인했다.