[논문 리뷰] SPAM: Signal Processing to Analyze Malware

Lakshmanan Nataraj, B.S. Manjunath|arXiv (Cornell University)|2016. 05. 17.

Advanced Malware Detection Techniques참고 문헌 9인용 수 5

한 줄 요약

이 논문은 악성코드 바이너리를 신호 또는 이미지로 간주하고, 무작위 투영을 사용한 희박 표현을 활용해 디어셈블리나 실행 없이도 빠르고 가벼운 검출을 가능하게 하는 신호 및 이미지 처리 기반 프레임워크인 SPAM을 제안한다. 이는 Malimg 및 Malheur 데이터셋에서 기존의 GIST 및 최근접 이웃과 같은 전통적 방법을 능가하는 최신 기술 수준의 정확도를 달성하며, 패커나 가상머신 인식 악성코드에 의한 회피를 저지하는 수직적이고 상보적인 검출 기반으로 기능한다.

ABSTRACT

In this article, we explored orthogonal methods to analyze malware motivated by signal and image processing. Malware samples are represented as images or signals. Image and signal-based features are extracted to characterize malware. Our extensive experiments demonstrate the efficacy of our methods on malware classification and retrieval. We believe that our techniques will open the scope of signal-and image-based methods to broader fields in computer security.

연구 동기 및 목표

• 다양한 악성코드에 의해 쉽게 회피되는 정적, 동적 또는 히وري스틱 분석에 의존하는 전통적 악성코드 탐지 방법의 한계를 해결하기 위해.
• 기존 기법들과 상보적이며 공격자에게 덜 알려진, 수직적인 신호 및 이미지 처리 기반 접근법을 탐색하여 회피 성공률를 감소시키기 위해.
• 디어셈블리, 언패킹 또는 런타임 실행을 피하면서 최소한의 전처리로도 신속하고 가벼운 악성코드 분류 및 검색을 가능하게 하기 위해.
• Windows, 안드로이드, 리눅스, 맥OS 등 다양한 악성코드 패밀리에 대해 플랫폼 독립적이며 효과적인 프레임워크를 개발하기 위해.
• 희박 표현 오차 모델링을 통해 미세한 코드 차이를 탐지하여 악성코드 변종과 그 진화적 연대를 식별하기 위해.

제안 방법

• 바이너리 바이트 시퀀스를 히스토그램 밀도 또는 신호 진폭으로 해석하여 악성코드 바이너리를 2차원 이미지 또는 1차원 신호로 표현한다.
• 고차원 바이트 벡터를 저차원 표현으로 압축하기 위해 무작위 투영(RP)을 사용하여 특징 추출을 수행하며, 이는 구조적 정보를 유지한다.
• 희박 표현 기반 분류(SRC)를 적용: 테스트 샘플은 알려진 패밀리의 훈련 샘플들에 대한 희박 선형 조합으로 표현된다.
• 희박한 해를 l1-노름 최소화를 통해 계산한다: min ||α'||₁, 제약 조건으로 w = RAα'를 만족하며, 여기서 w는 투영된 테스트 벡터이다.
• 모든 패밀리 전용 훈련 사전에 대해 재구성 오차를 최소화하는 패밀리로 악성코드 패밀리를 할당한다.
• 희박 표현 프레임워크 내 오차 모델을 분석함으로써 이상치 탐지 및 변종의 유전자 추적 기능을 실현하여 변종 간 코드 차이를 식별한다.

실험 결과

연구 질문

• RQ1 신호 및 이미지 처리 기법이 패킹 도구나 VM 인식 악성코드에 의한 회피를 저지하는 수직적이고 상보적인 접근법을 제공할 수 있는가?
• RQ2 무작위 투영을 사용한 희박 표현 기법이 디어셈블리나 실행 없이도 악성코드 패밀리 분류에 얼마나 효과적인가?
• RQ3 희박 표현 프레임워크는 악성코드 변종 간의 미세한 코드 차이를 탐지하고 그 진화적 연대를 추적할 수 있는가?
• RQ4 제안된 방법이 GIST 및 최근접 이웃과 같은 기존 기능 기술자보다 공개 악성코드 데이터셋에서 더 높은 정확도를 달성하는가?
• RQ5 낮은 계산 비용을 유지하면서도 수천 개의 악성코드 패밀리와 수백만 개의 샘플을 포함하는 대규모 데이터셋에 대해도 이 프레임워크를 확장할 수 있는가?

주요 결과

• Malimg 데이터셋에서 무작위 투영과 희박 표현 기반 분류(SRC)의 조합이 모든 테스트 방법 중 가장 높은 분류 정확도를 기록했으며, GIST 및 최근접 이웃을 능가했다.
• Malheur 데이터셋에서도 동일한 RP-SRC 프레임워크가 뛰어난 성능을 보였으며, 다양한 악성코드 패밀리와 바이너리 구조에 걸쳐 뛰어난 강건성을 입증했다.
• 무작위 투영을 사용함으로써 차원을 크게 감소시켰지만 분류 정확도를 유지하여 특정 기능 추출 파이프라인에 의존하지 않는 빠른 계산을 가능하게 했다.
• 프레임워크는 악성코드 데이터셋 내 잠재적 이상치를 성공적으로 식별하고 거부하여 훈련 세트의 무결성을 향상시켰다.
• 이 방법은 악성코드 변종 간의 코드 차이를 정밀하게 탐지하여 유전자 추적 및 정상 소프트웨어에 첨부된 패치된 악성코드 식별이 가능했다.
• 42,480개의 악성코드 샘플과 2,124개의 패밀리를 포함한 대규모 평가에서 RP-SRC 프레임워크는 높은 정확도를 유지하여 실세계 적용 가능성과 확장성을 확인했다.