악성 코드 내 난독화 된 윈도우즈 SDK API 호출에 대한 자동 분석Automatic Analysis for Obfuscated Windows SDK API Called in Malware
- Other Titles
- Automatic Analysis for Obfuscated Windows SDK API Called in Malware
- Authors
- 박용수; 김성호
- Issue Date
- Oct-2013
- Publisher
- 한국정보과학회
- Keywords
- 악성코드; 난독화; 오염분석; 동적분석; malware; obfuscation; taint analysis; dynamic analysis
- Citation
- 정보과학회논문지 : 시스템 및 이론, v.40, no.5, pp.201 - 206
- Indexed
- KCI
- Journal Title
- 정보과학회논문지 : 시스템 및 이론
- Volume
- 40
- Number
- 5
- Start Page
- 201
- End Page
- 206
- URI
- https://scholarworks.bwise.kr/hanyang/handle/2021.sw.hanyang/161727
- ISSN
- 1229-683X
- Abstract
- API 난독화 기술은 악성코드 내에서 사용되는 API 호출의 정적 분석을 방해하여 특정 API 호출 유무를 숨기고 API간의 연관성 분석을 방해한다. 본 논문에서는 API 난독화 호출 기술 중 API 리디렉트 호출 기술을 동적 오염 분석 기술을 이용하여 자동으로 분석하는 방법을 제안한다. 제안 방법은 먼저 난독화 된 악성코드의 명령어, 메모리 엑세스, API 호출과 같은 동적 실행 정보를 추출하고 이를 기반으로 후위 오염 분석을 통해 실행되는 API와 의존성을 지닌 명령어를 찾고 이를 통해 난독화 되기 이전의 API가 호출되는 주소를 찾는다. API 리디텍트 호출 기술을 포함하고 있는 VMProtect의 “Import protection” 기능을 악성코드에 적용하고 이를 제안 방법을 통해 분석한 결과 난독화된 악성코드 내 API 호출 위치를 80~100%(평균 91.6%) 복구하는 것을 확인할 수 있다. 난독화 되기 이전의 API의 위치의 복구를 통해 API간의 연관성 및 코드 패턴등을 쉽게 파악하여 악성코드를 빠르게 분석하는 데에 기여를 하리라 예상한다.
- Files in This Item
-
Go to Link
- Appears in
Collections - 서울 공과대학 > 서울 컴퓨터소프트웨어학부 > 1. Journal Articles
![qrcode](https://api.qrserver.com/v1/create-qr-code/?size=55x55&data=https://scholarworks.bwise.kr/hanyang/handle/2021.sw.hanyang/161727)
Items in ScholarWorks are protected by copyright, with all rights reserved, unless otherwise indicated.