변종 악성코드 유사도 비교를 위한 코드영역의 함수 분할 방법

Vol. 25, No. 2, pp. 321-330, 4월. 2015
10.13089/JKIISC.2015.25.2.321, Full Text:
Keywords: Malware variant, Similarity comparison, Function division
Abstract

백신 프로그램이 일반화되면서 이를 우회하기 위한 목적으로 기존 악성 프로그램에 포함된 문자열 혹은 코드 일부가 변경된 변종 악성코드가 많이 나타나고 있다. 기존의 백신 프로그램이 시그너처에 기반한 분석을 통하여 악성 코드 여부를 판단하기 때문에 이미 알려진 악성코드라고 하더라도 일부만 변경되면 탐지하기 어려운 문제가 있었다. 본 논문에서는 해쉬값을 이용한 코드 비교 방법을 확장하여 일부만 변형된 악성코드를 손쉽게 탐지하기 위한 새로운 방법을 제안한다. 악성코드 전체에 대한 해쉬값 뿐만 아니라 함수 단위와 코드블록 단위로 해쉬값을 생성하여 일부만 일치하는지 판단하고 상수나 주소 등을 제거한 후에 해쉬값을 생성함으로써 상수나 주소 때문에 다르게 판단하는 오류를 제거하였다. 제시된 방법을 이용하여 변형된 악성코드에 숨겨진 유사성을 해쉬값 비교로 탐지할 수 있음을 확인하였다.

Statistics
Show / Hide Statistics

Statistics (Cumulative Counts from December 1st, 2017)
Multiple requests among the same browser session are counted as one view.
If you mouse over a chart, the values of data points will be shown.


Cite this article
[IEEE Style]
C. Park, H. Kim, T. J. Lee, J. Ryou, "Function partitioning methods for malware variant similarity comparison," Journal of The Korea Institute of Information Security and Cryptology, vol. 25, no. 2, pp. 321-330, 2015. DOI: 10.13089/JKIISC.2015.25.2.321.

[ACM Style]
Chan-Kyu Park, Hyong-Shik Kim, Tae Jin Lee, and Jae-Cheol Ryou. 2015. Function partitioning methods for malware variant similarity comparison. Journal of The Korea Institute of Information Security and Cryptology, 25, 2, (2015), 321-330. DOI: 10.13089/JKIISC.2015.25.2.321.