악성코드 내부코드 자동 역공학 분석방법 연구

악성코드의 빠른 자동분석으로 악성파일을 제공하는 URL 차단 및 사용자의 데이터 유출을 미연에 방지할 수 있다. 또한 자동화 분석의 가능으로 악성코드 분석 인력 및 시간을 감소할 수 있으며 이를 통해 악성코드의 더욱 심도 있는 분석 및 대응을 빠르게 할 수 있게 됨을 기대한다.

제1장 서론

제1절 연구의 필요성

제2절 연구 목표



제2장 관련 연구

제1절 악성코드 동향 및 최신 유형 조사

1. 악성코드 유형별 통계

2. 악성코드 유포지

3. 최신 악성코드의 특징

제2절 국내외 악성코드 자동화 분석 연구 현황

1. 국내 악성코드 자동화 분석 연구

2. 국외 악성코드 자동화 분석 연구

3. Binary 분석 기술



제3장 악성행위 유형별 악성코드 분석

제1절 API Indirect call 유형

1. Trojan.Win32.DDoS-Agent.65536 (ViRobot)

2. Trojan.Koredos (Symantec)

3. Win-Trojan/Onlinegamehack.85372 (AhnLab V3)

4. WIN-Trojan/Agent.31489024 (Ahnlab V3)

제2절 DDoS 행위 유형

1. Trojan.Win32.DDoS-Agent.65536 (ViRobot)

2. Trojan.Koredos (Symantec)

3. Backdoor.Trojan (Symantec) - NetBot

4. Win-Trojan/Atraps.25211584(Ahnlab V3) - YoYoDDoS

제3절 Time 체크 행위 유형

1. Trojan.Win32.DDoS-Agent.65536 (ViRobot)

2. Trojan.Koredos (Symantec)

제4절 프로세스 분기 유형

1. Win-Trojan/Onlinegamehack.85372 (AhnLab V3)

2. Backdoor.Trojan (Symantec) - NetBot

제5절 다운로더 유형

1. WIN-Trojan/Agent.31489024 (Ahnlab V3)

2. Win-Trojan/Atraps.25211584(Ahnlab V3) - YoYoDDoS

3. Win-Trojan/Downloader.38912.DG (AhnLab V3)

제6절 디코딩 유형

1. WIN-Trojan/Agent.31489024 (Ahnlab V3)

2. Win-Trojan/Dllbot.128519 (AhnLab V3)

3. Win-Trojan/onlinegamehack.85372 (AhnLab V3)

4. Inforstealer.Gampass (Symantec)

5. win-trojan/Infostealer.26112 (AhnLab V3)

제7절 키로깅(Key logging) 유형

1. win-trojan/Infostealer.26112 (AhnLab V3)

제8절 인젝션 (Injection) 유형

1. Win-Trojan/Downloader.38912.DG (AhnLab V3)

제9절 안티 디버깅 (Anti-Debugging) 유형

1. Win-Trojan/Dllbot.128519 (AhnLab V3)

2. Win-Trojan/Atraps.25211584(Ahnlab V3) - YoYoDDoS

3. 안티디버깅유형 추가 조사

제10절 안티 VM (Anti Virtual Machine) 유형

1. Rougue：Win32/FakePAV (Microsoft)

2. Win-Trojan/Downloader.38912.DG (AhnLab V3)

3. 안티 VM 유형 추가 조사

제11절 WFP 무력화

1. Inforstealer.Gampass (Symantec)



제4장 정형화 가능한 코드 패턴

제1절 정형화 가능한 코드 패턴 분석

1. API Indirect call

2. 시간 체크

3. 프로세스 체크

4. 디코딩 모듈

5. 안티 디버깅

6. DDoS

7. 다운로더

8. 키로거

9. 인젝션

10. VM 탐지

11. WFP 무력화



제5장 개념증명 도구 설계 및 구현

제1절 분석 도구 설계 및 구현

1. 기반 도구

2. 분석 도구(분석 스크립트)

제2절 분석 도구를 이용한 악성행위 별 분석 방법

1. API를 통한 악성행위 분석

2. 메모리 access 문자를 이용한 분석

제3절 분석도구를 이용한 악성코드 분석 결과

1. Trojan.Win32.DDoS-Agent.65536 (ViRobot)

2. Trojan/Onlinegamehack.85372 (Ahnlab V3)

3. WIN-Trojan/Agent.31489024 (Ahnlab V3)

4. Win-Trojan/Atraps.25211584(Ahnlab V3)

5. Win-Trojan/Downloader.38912.DG (Ahnlab V3)

6. Dropper/Backdoor.262144 (Ahnlab V3)

7. Backdoor.Trojan(Symentec)

8. Win-Trojan/Agent.134104.B(Ahnlab V3)

9. Win-Trojan/Infostealer.26112(Ahnlab V3)

10. Dropper/Xema.131584.J(Ahnlab V3)

11. Dropper/Dllbot.17920(Ahnlab V3)

12. Win-Trojan/Adagent.40960.AE(Ahnlab V3)

13. Win-Trojan/Onlinegamehack69.Gen(Ahnlab V3)

14. Inforstealer.Gampass (Symantec)

15. DDoS-KSig (McAfee)

16. Win-Trojan/Dllbot.128519 (Ahnlab V3)



제6장 결론

한국인터넷진흥원