자체 수정 코드를 탐지하는 정적 분석방법의 LLVM 프레임워크 기반 구현 및 실험 = An LLVM-Based Implementation of Static Analysis for Detecting Self-Modifying Code and Its Evaluation

국문 초록 (Abstract)

자체 수정 코드(Self-Modifying-Code)란 실행 시간 동안 스스로 실행 코드를 변경하는 코드를 말한다. 이런 기법은 특히 악성코드가 정적 분석을 우회하는 데 악용된다. 따라서 이러한 악성코드를 효과적으로 검출하려면 자체 수정 코드를 파악하는 것이 중요하다. 그동안 동적 분석 방법으로 자체 수정 코드를 분석해왔으나 이는 시간과 비용이 많이 든다. 만약 정적 분석으로 자체 수정 코드를 검출할 수 있다면 악성코드 분석에 큰 도움이 될 것이다. 본 논문에서는 LLVM IR로 변환한 바이너리 실행 프로그램을 대상으로 자체 수정 코드를 탐지하는 정적 분석 방법을 제안하고, 자체 수정 코드 벤치마크를 만들어 이 방법을 적용했다. 본 논문의 실험 결과 벤치마크 프로그램을 컴파일로 변환한 최적화된 형태의 LLVM IR 프로그램에 대해서는 설계한 정적 분석 방법이 효과적이었다. 하지만 바이너리를 리프팅 변환한 비정형화된 LLVM IR 프로그램에 대해서는 자체 수정 코드를 검출하기 어려운 한계가 있었다. 이를 극복하기 위해 바이너리를 리프팅 하는 효과적인 방법이 필요하다.

참고문헌 (Reference)

1 M. Botacin, "The self modifyingcode (smc)-aware processor (sap)" 16 (16): 185-196, 2020

2 M. Sridharan, "The complexity of andersen'sanalysis in practice" 205-221, 2009

3 A. Brown, "The Architecture of Open Source Applications" Lulu Press 2011

4 B. Hardekopf, "The Ant and the Grasshopper: Fast and accurate pointer analysis for millions of lines of code" 290-299, 2007

5 RNDr. Petr Rockai, "Decompiling binaries into llvm ir using mcsema and dynist" Masaryk University 2019

6 H. Cai, "Certified selfmodifying code" 66-77, 2007

7 K. Choi, "Binary target self-correction code identification technique(2020-017)" National Security Research Institute

8 R. Tschüter, "An LLVM Instrumentation Plug-in for Score-P" 1-8, 2017