Themida의 API 난독화 분석과 복구방안 연구

Vol. 27, No. 1, pp. 67-78, 2월. 2017
10.13089/JKIISC.2017.27.1.67, Full Text:
Keywords: Themida, API wrapping, Unpacking
Abstract

프로텍터란 프로그램의 핵심 아이디어를 보호하기 위해 실행파일을 압축하고 난독화를 적용하는 프로그램이다. 그리고 최근 악성코드가 자신의 악성행위를 분석하기 어렵게 만들기 위해 프로텍터를 적용하고 있다. 프로텍터가 적용된 실행파일을 정밀분석하기 위해서는 프로텍터를 해제하는 언패킹 작업이 필요하다. 기존의 연구에서는 OEP를 찾아 언패킹을 하는 것에 주력하였지만, 분석방해가 목적인 프로텍터의 경우 실행압축 해제가 완료된 이후의 실행에 분석방해 기능들이 남아있게 되어 여전히 분석에 어려움이 있다. 본 논문에서는 분석방해가 목적인 Themida 프로텍터가 사용하는 분석방해 기술을 분석하고 그에 대한 대응방안을 제안한다.

Statistics
Show / Hide Statistics

Statistics (Cumulative Counts from December 1st, 2017)
Multiple requests among the same browser session are counted as one view.
If you mouse over a chart, the values of data points will be shown.


Cite this article
[IEEE Style]
J. Lee, J. Han, M. Lee, J. Choi, H. Baek, S. Lee, "A Study on API Wrapping in Themida and Unpacking Technique," Journal of The Korea Institute of Information Security and Cryptology, vol. 27, no. 1, pp. 67-78, 2017. DOI: 10.13089/JKIISC.2017.27.1.67.

[ACM Style]
Jae-hwi Lee, Jaehyeok Han, Min-wook Lee, Jae-mun Choi, Hyunwoo Baek, and Sang-jin Lee. 2017. A Study on API Wrapping in Themida and Unpacking Technique. Journal of The Korea Institute of Information Security and Cryptology, 27, 1, (2017), 67-78. DOI: 10.13089/JKIISC.2017.27.1.67.