인 메모리 악성코드 인젝션 기술의 언 패킹기법 = Unpacking Technique for In-memory malware injection technique

다국어 초록 (Multilingual Abstract)

At the opening ceremony of 2018 Winter Olympics in PyeongChang, an unknown cyber-attack occurred. Themalicious code used in the attack is based on in-memory malware, which differs from other malicious code in itsconcealed location and is spreading rapidly to be found in more than 140 banks, telecommunications andgovernment agencies. In-memory malware accounts for more than 15% of all malicious codes, and it does not storeits own information in a non-volatile storage device such as a disk but resides in a RAM, a volatile storage deviceand penetrates into well-known processes (explorer.exe, iexplore.exe, javaw.exe). Such characteristics make itdifficult to analyze it. The most recently released in-memory malicious code bypasses the endpoint protection anddetection tools and hides from the user recognition. In this paper, we propose a method to efficiently extract thepayload by unpacking injection through IDA Pro debugger for Dorkbot and Erger, which are in-memory maliciouscodes.

국문 초록 (Abstract)

2018년 평창 동계 올림픽 개막식에서 출처를 알 수 없는 사이버공격이 발생하였다. 해당 공격에서 사용된 악성코드는 인 메모리 악성코드로 기존 악성코드와 은닉하는 장소가 다르며, 140개 이상의 은행, 통신, 정부 기관에서 발견될 정도로 빠르게 확산되고 있다. 인 메모리 악성코드는 전체 악성코드의 15%이상을 차지하며 매우 심각한 피해를 주고 있다. 비휘발성 저장장치로알려진 하드디스크에 자신의 정보를 저장하는 것이 아닌 휘발성 저장장치 인 램의 특정 메모리영역인 프로세스에 삽입하여악성행위를 일으키는 악성코드를 인 메모리 악성코드라고 지칭한다. 결과적으로 자신의 정보를 남기지 않아 메모리 탐지 도구를 우회하여 악성코드 분석가들의 분석을 어렵게 한다. 또한 현대 메모리는 갈수록 크기가 증가해 메모리 탐지 도구를 사용하여메모리전체를 보기 힘들다. 따라서 본 논문에서는 인 메모리 악성코드인 Dorkbot과 Erger를 대상으로 IDA Pro 디버거를 통해인젝션을 언 패킹하여 효율적으로 페이로드를 산출하는 방법을 제안한다.

참고문헌 (Reference)

1 Seong Il Bae, "Unpacking Technique for Process Injection Malware" 2018

2 Willems, "Toward automated dynamic malware analysis using cwsandbox. IEEE Security & Privacy" 5 (5): 32-39, 2007

3 Jesse Smelcer, "The rise of Fileless malware"

4 Liam O’ Murchu, "The evolution of the fileless click-fraud malware Poweliks"

5 David Patten, "The Evolution to Fileless Malware" East Carolina University 2017

6 Kris, Kendall, "Practical “Malware Analysis”" 10-, 2007

7 Sikorski, Michael, "Practical malware analysis: the hands-on guide to dissecting malicious software" 2012

8 Nasi, "PE Injection Explained Advanced memory code injection technique"

9 Yang-seo Choi, "PE File Header Analysis-Based Packed PE File Detection Technique (PHAD)" 28-31, 2008

10 You, Ilsun, "Malware obfuscation techniques: A brief survey" IEEE 297-300, 2010

11 "AhnLab Security Emergency response Center Report, 2017 Q4 Cyber Threat Trend Report"