난독화된 자바스크립트의 자동 복호화를 통한 악성코드의 효율적인 탐지 방안 연구

국문 초록 (Abstract)

웹 서비스의 증가와 자동화된 공격 도구의 발달로 최근 대부분의 악성코드 유포 경로는 웹 서비스를 통하여 이루어지고 있다. 또한 웹의 기본 언어인 자바스크립트를 이용한 난독화 기법을 통해 악성코드 은닉 사이트의 URL이나 공격 코드를 숨기기 때문에, 기존 패턴 매칭 기반의 네트워크 보안 솔루션으로는 탐지에 한계가 존재하게 된다. 이를 해결하기 위하여 사용자의 웹브라우저에서 악성 자바스크립트를 탐지하기 위한 여러 방안이 제시되었지만, 최근 APT공격과 같이 특정 기업이나 조직 네트워크에 침투하기 위한 고도화된 공격에 대응하기에는 한계가 존재한다. 이런 유형의 공격에 대응하기 위해, 외부에서 유입되는 트래픽에 대해 난독화된 악성코드가 웹을 통해 유입되는지 일괄적인 탐지가 필요하며, 기존 패턴 매칭 기반 솔루션에서 탐지율의 한계를 극복하기 위해 난독화된 자바스크립트를 복호화 하여 숨겨진 악성코드를 탐지할 수 있는 새로운 방법이 필요하다. 본 논문에서는 오픈소스인 Jsunpack-n[1] 을 개량하여 자바스크립트의 함수 오버라이딩 기법과 별도의 자바스크립트 인터프리터를 통해 악성코드에 적용된 난독화 기법에 상관없이 숨겨진 악성코드를 자동적으로 탐지할 수 있는 도구를 제안한다.

다국어 초록 (Multilingual Abstract)

With the growth of Web services and the development of web exploit toolkits, web-based malware has increased dramatically. Using Javascript Obfuscation, recent web-based malware hide a malicious URL and the exploit code. Thus, pattern matching for network intrusion detection systems has difficulty of detecting malware. Though various methods have proposed to detect Javascript malware on a users’ web browser, the overall detection is needed to counter advanced attacks such as APTs(Advanced Persistent Treats), aimed at penetration into a certain an organization’s intranet. To overcome the limitation of previous pattern matching for network intrusion detection systems, a novel deobfuscating method to handle obfuscated Javascript is needed. In this paper, we propose a framework for effective hidden malware detection through an automated deobfuscation regardless of advanced obfuscation techniques with overriding JavaScript functions and a separate JavaScript interpreter through to improve jsunpack-n.

목차 (Table of Contents)

• 요약
• ABSTRACT
• I. 서론
• II. 관련 연구
• III. 제안하는 난독화 악성 자바스크립트의 자동 복호화 도구
• IV. 적용 및 실행 결과
• V. 결론
• 참고문헌

참고문헌 (Reference)

1 "안랩 보안통계"

2 신화수, "악성코드 은닉사이트의 분산적, 동적 탐지를 통한 감염피해 최소화 방안 연구" 한국정보보호학회 21 (21): 89-100, 2011

3 "Zozzle: Low-overhead Mostly StaticJavascript Malware Detection"

4 "Yara-project"

5 "Windows Script Decoder"

6 "The Ultimate Deobfuscator"

7 "Symantec Internet Security ThreatReport Volume 16"

8 Alexander Moshchuk, "SpyProxy : execution-based detection of malicious webcontent" 1-16, 2007

9 "Shedding Light on the NeoSploit Exploit"

10 Likarish, P, "Obfuscated Malicious Javascript Detectionusing Classification Techniques" 47-54, 2009

11 "McAfee Site Advisor"

12 "Malware Domain List"

13 Yung-Tsung Hou, "Malicious web content detectionby machine learning" 37 (37): 55-60, 2010

14 "Jsunpack-n Source"

15 "Js-beautify"

16 "Google. Safe Browsing API"

17 "Google Chart Tools"

18 Marco Cova, "Detection and analysisof drive-by-download attacks andmalicious Javascript code" 281-290, 2010

19 "CLEAN MX realtime database"

20 Younghan Choi, "AutomaticDetection for Javascript ObfuscationAttacks in Web Pages through StringPattern Analysis" 160-172, 2009

21 "AVTEST"

22 Andreas Dewald, "ADSandbox : sandboxing Javascriptto fight malicious websites" 1859-1864, 2010