Earticle

본 논문은 정적 및 동적 분석을 결합한 하이브리드 CNN-LSTM 모델을 통해 악성코드 탐지를 위한 모델을 제안한다. CNN은 악성코드 바이너리의 흑백 이미지에서 공간적 특징을 추출하고, LSTM은 시스템 호출 시퀀스에 서 시간적 동작을 포착한다. 이 모델은 공개 데이터셋에서 높은 정확도(94.6%)와 F1 점수(93.2%)를 달성하여 기 존 및 단일 스트림 딥러닝 기법보다 우수한 성능을 보였다. 듀얼 채널 설계를 통해 포괄적인 특징 표현이 가능하여 난독화 및 동작 변화에 대한 강건성을 향상시킨다. 이 접근법은 지능형 악성코드 탐지 시스템에 실질적으로 적용 될 수 있는 강력한 잠재력을 보여준다. 향후 연구에서는 탐지 정확도와 해석 가능성을 향상시키기 위해 어텐션 메커니즘과 그래프 기반 모델링을 연구가 필요하다.

This paper proposes a hybrid CNN-LSTM model for malicious code detection, combining static and dynamic analysis. CNN extracts spatial features from grayscale images of malware binaries, while LSTM captures temporal behavior from system call sequences. The model achieves high accuracy (94.6%) and F1-score (93.2%) on public datasets, outperforming traditional and single-stream deep learning methods. Its dual-channel design enables comprehensive feature representation, enhancing robustness against obfuscation and behavioral variation. The approach demonstrates strong potential for practical deployment in intelligent malicious code detection systems. Future work will explore attention mechanisms and graph-based modeling to improve detection precision and interpretability.

악성코드의 급속한 확산은 난독화, 패킹, 행동 변경 기법 등으로 인해 탐지가 어려워지면서 심각한 사이버 보안 문제를 야기하고 있다. 기존의 단일 모달리티 모델은 주로 정적 바이너리 특징이나 동적 트레이스에만 의존 하여, 구조적 및 런타임 특성을 포착하는 능력이 제한적이다. 이러한 한계를 해결하기 위해 본 논문은 다중 모달 악성 코드 탐지를 위한 어텐션 강화형 다중 채널 프레임워크를 제안한다. 이 모델은 정적 바이트 수준 특징을 위해 CNN 기반 채널을, 동적 API/시스템 호출 시퀀스를 위해 LSTM 기반 채널을 사용한다. 융합 단계에 앞서, 모달리 티별 어텐션을 적용하여 핵심적인 구조적 및 행동 패턴을 강조하는 동시에 유용성이 낮은 정보는 억제한다. 실험 결과, 제안된 모델은 95.0%의 정확도, 94.9%의 F1 점수, 97.1%의 AUC를 달성하여 단일 모달리티 기반 모델 및 내부 어텐션 제거 설정보다 우수한 성능을 보였다.

The rapid growth of malware has created serious cybersecurity challenges, as obfuscation, packing, and behavior-changing techniques make detection harder. Existing single-modality models often rely only on static binary features or dynamic traces, limiting their ability to capture structural and runtime characteristics. To address this limitation, this paper proposes an attention-enhanced multichannel framework for multimodal malicious code detection. The model uses a CNN-based channel for static byte-level features and an LSTM-based channel for dynamic API/system-call sequences. Before fusion, modality-specific attention is applied to emphasize key structural and behavioral patterns while suppressing less useful information. Experimental results show that the proposed model achieves 95.0% accuracy, 94.9% F1-score and 97.1% AUC, outperforming single-modality baselines and internal attention-ablation settings.

지금까지 오랜 시간 동안 범용 프로세서는 개발자에게 버그 수정을 할 수 있는 도구들을 제공하기 위해 전용 하드웨어/소 프트웨어 트레이싱 모듈을 제공했다. 전용 하드웨어 트레이서는 성능 분석 및 디버깅에 모두 사용되는 막대한 양의 데이터를 로그로 실시간으로 생성한다. 프로세서 트레이스 (PT)는 CPU에서 실행되는 분기를 추적하는 Intel CPU를 위한 새로운 하드 웨어 기반 추적 기능으로 최소한의 노력으로 모든 실행 코드의 제어 흐름을 재구성할 수 있다. 이러한 하드웨어 트레이스 기 능들은 운영체제에 통합되어 프로파일 링 및 디버깅 메커니즘과의 긴밀한 통합이 가능하게 되었다. 본 논문에서는 윈도우 환 경에서 PT가 제공하는 기능을 이용하여 실시간 트레이스 및 악성코드 검출을 위한 기본 데이터를 제공하는 확장된 PT 디코 더 구조를 제안하였다.

For a long time now, general-purpose processors have provided dedicated hardware / software tracing modules to provi de developers with tools to fix bugs. A hardware tracer generates its enormous data into a log that is used for both perfo rmance analysis and debugging. Processor Trace (PT) is a new hardware-based tracing feature for Intel CPUs that traces branches executing on the CPU, which allows the reconstruction of the control flow of all executed code with minimal lab or. Hardware tracer has been integrated into the operating system, which allows tight integration with its profiling and de bugging mechanisms. However, in the Windows environment, existing studies related to PT focused on decoding only one flow in sequence. In this paper, we propose an extended PT decoder structure that provides basic data for real-time trace and malicious code detection using the functions provided by PT in Windows environment.

운영 체제의 코어에 Intel PT가 포함된 경우, 크래시 발생 시 디버거는 프로그램 상태를 검사할 수 있을 뿐만 아니라 크래 시를 발생시킨 제어 플로우를 재구성할 수 있다. 또한, 커널 패닉 및 기타 시스템 정지와 같은 상황을 디버그하기 위해 실행 트레이스 범위를 전체 시스템으로 확장할 수도 있다. 2세대 PT인 WinIPT 라이브러리는 Windows 10 (버전 1809/Redstone 5) 에서 제공하는 IOCTL 및 레지스트리 메커니즘을 통해 프로세스 별 및 코어 별 트레이스를 실행할 수 있는 추가 코드가 포함 된 Intel PT 드라이버를 포함하고 있다. 즉 기존 1세대 PT에서 비정규화된 방식으로만 제한적인 접근이 가능했던 PT 트레이 스 정보를 2세대 PT에서는 운영 체제에서 제공하는 IOCTL 및 레지스트리 메커니즘을 통해 프로세스 별 및 코어 별 트레이 스를 실행할 수 있게 되었다. 본 논문에서는 1/2세대 PT를 이용하여 윈도우 환경에서 PT 데이터 패킷의 수집·저장·디코딩 및 악성코드 검출을 위한 방법을 비교·설명하였다.

If the operating system's core file contains an Intel PT, the debugger can not only check the program state at the time of the crash, but can also reconfigure the control flow that caused the crash. We can also extend the execution trace scop e to the entire system to debug kernel panics and other system hangs. The second-generation PT, the WinIPT library, inc ludes an Intel PT driver with additional code to run process and core-specific traces through the IOCTL and registry mec hanisms provided by Windows 10 (RS5). In other words, the PT trace information, which was limited access only by the first generation PT, can be executed by process and core by the IOCTL and registry mechanism provided by the operatin g system in the second generation PT. In this paper, we compare and describe methods for collecting, storing, decoding an d detecting malicious codes of data packets in a window environment using 1/2 generation PT.

지능형 모빌리티 산업의 혁신이 고도화됨에 따라 자동차 분야에서 커넥티드카에 대한 서비스가 활발히 진행 중이다. 커넥티드카는 자동차와 인터넷, 스마트폰 등 IT 기술을 결합하여 사용자에게 편 의성을 제공해주는 자동차로 주변 사물들과 V2X 통신을 통해 사고 정황, 교통정보 등의 정보를 주고 받는다. 이를 위해 자동차에 IoT 기기를 연결하는데 최근 자동차에 탑재되는 IoT 기기의 수가 증가함 에 따라 IT 기술이 결합되고 범용 운영체제인 리눅스 기반에서 동작하는 IoT 기기의 특성과 같이 IT 보안 위협이 커넥티드카에 그대로 상속될 수 있다. 이는 커넥티드카에 치명적인 보안 약점이 될 수 있 다. 따라서 본 논문에서는 자동차와 기지국 통신 시에 악성코드를 사전에 탐지하고 대응책을 마련하 여 보안을 강화하는 V2X 통신 환경 기반 커넥티드카 악성코드 탐지 및 수집 방안을 제시한다.

As innovation in the intelligent mobility industry is advanced, services for connected cars are actively underway in the automobile sector. The connected car is a car that provides convenience to users by combining IT technologies such as cars, the Internet, and smartphones, and exchanges information such as accident situations and traffic information with nearby objects through V2X communication. To this end, the recent increase in the number of IoT devices in cars can lead to the inheritance of IT security threats to connecting IoT devices, such as the characteristics of IoT devices that combine IT technologies and operate on Linux, a general-purpose operating system. This can be a fatal security weakness for connected cars. Therefore, this paper presents a method for detecting and collecting malicious code of connected cars based on the V2X communication environment to enhance security by detecting malicious code in advance and preparing countermeasures when communicating with cars and base stations.

최근 신종 해킹기법과 자동화된 공격도구를 이용하여 특정 정치․사회․경제적 목적을 가진 개 인이나 테러집단이 인터넷 홈페이지를 해킹하는 사고가 증가하고 있다. 특히 홈페이지 위변조 사 고와 ‘IFRAME’, ‘Mass SQL Injection’을 이용한 악성프로그램 유포 사고는 국가기관과 기업의 신 뢰도와 인지도에 큰 손상을 주는 한편, 인터넷 사용자의 은행 계좌정보 등 금융정보 탈취로 인한 불안감과 위험을 증가시키고 있다. 본 논문에서는 웹 컨텐츠와 HTML 구조분석을 통하여 보안솔 루션을 우회한 악의적인 사용자로 인하여 발생할 수 있는 홈페이지의 해킹여부를 탐지, 자동경보 하는 ‘홈페이지 위변조 및 악성코드 유포 탐지시스템’을 설계 및 구현 하였다.

In recent, homepage hacking incidents are increased by an individual or terrorists who has a political, social, economic purpose using high hacking technics and automated attacking tools. Especially, the homepage hacking incident and malicious code propagation using an iframe, mass sql-injections are increasing insecurity and danger of the internet users whether their bank account information was stolen or not, in addition to doing much damage to the authenticity and recognition of the government and the company. In this paper, I design and implement the detection of the homepage hacking and the automatic warning system which deters malicious users from detouring security systems, which is called ‘the homepage hacking and malicous code propagation detection system’, through the analysis of web contents and HTML structures.

최근에는 발전하는 정보통신 기술을 이용하여 악의적인 코드들이 제작되고 있고 이를 기존 탐지 시스템으로는 탐지하는게 역부족인 실정이다. 이러한 지능적이고 악의적인 코드를 정확하고 효율성 있게 탐지하고 대응하기 위해서는 지능적 탐지 모델이 필요하다. 그리고, 탐지 성능을 최대로 높이기 위해서는 악의적인 코드의 주요 특징 정보 집합으로 훈련하는 것이 중요하다. 본 논문에서는 지능적 탐지 모델을 설계하고 모델 훈련에 필요한 데이터를 변환, 차원축소, 특징 선택 단계를 거쳐 주요 특징 정보 집합으로 생성하는 기법을 제안하였다. 그리고 이를 기반으로 악의적인 코드별로 주요 특징 정보를 분류하였다. 또한, 분류된 특징 정보들을 기반으로 변형되거나 새로 등장하는 악의적인 코드를 분석하 고 탐지하는데 사용할 수 있는 공통 특징 정보를 도출하였다. 제안된 탐지 모델은 제한된 수의 특성 정보로 학습하여 악의적인 코드를 탐지하기에 탐지 시간과 대응이 빨리 이루어져 피해를 크게 줄일 수 있다. 그리고, 성능 평가 결과 값은 학습 알고리즘에 따라 약간 차이가 나지만 악의적인 코드 대부분을 탐지할 수 있음을 평가로 알 수 있었다.

In recent years, malicious codes are being produced using the developing information and communication technology, and it is insufficient to detect them with the existing detection system. In order to accurately and efficiently detect and respond to such intelligent malicious code, an intelligent detection model is required, and in order to maximize detection performance, it is important to train with the main characteristic information set of the malicious code. In this paper, we proposed a technique for designing an intelligent detection model and generating the data required for model training as a set of key feature information through transformation, dimensionality reduction, and feature selection steps. And based on this, the main characteristic information was classified by malicious code. In addition, based on the classified characteristic information, we derived common characteristic information that can be used to analyze and detect modified or newly emerging malicious codes. Since the proposed detection model detects malicious codes by learning with a limited number of characteristic information, the detection time and response are fast, so damage can be greatly reduced and Although the performance evaluation result value is slightly different depending on the learning algorithm, it was found through evaluation that most malicious codes can be detected.

최근 인터넷 기술을 악용하는 행위로 인하여 경제적, 정신적 피해가 증가하고 있다. 특히, 신규로 제작되거나 변형된 악성 코드는 기존의 정보보호 체계를 우회하여 사이버 보안 위협의 기본 수단으로 활용되고 있다. 이를 억제하기 위한 다양한 연구 가 진행되었지만, 실제 악성코드의 많은 비중을 차지하는 소규모 실행 파일에 대한 연구는 미진한 편이다. 본 연구에서는 기 존에 알려진 소규모 실행 파일의 특징을 데이터마이닝 기법으로 분석하여 알려지지 않은 악성코드 탐지에 활용할 수 있는 모 델을 제안한다. 데이터 마이닝 분석 기법에는 나이브베이지안, SVM, 의사결정나무, 랜덤포레스트, 인공신경망 등 다양하게 수 행하였으며, 바이러스토탈의 악성코드 검출 수준에 따라서 개별적으로 정확도를 비교하였다. 결과적으로 분석 파일 34,646개 에 대하여 80% 이상의 분류 정확도를 검증하였다.

Recently, the abuse of Internet technology has caused economic and mental harm to society as a whole. Especially, malicious code that is newly created or modified is used as a basic means of various application hacking and cyber security threats by bypassing the existing information protection system. However, research on small-capacity executable files that occupy a large portion of actual malicious code is rather limited. In this paper, we propose a model that can analyze the characteristics of known small capacity executable files by using data mining techniques and to use them for detecting unknown malicious codes. Data mining analysis techniques were performed in various ways such as Naive Bayesian, SVM, decision tree, random forest, artificial neural network, and the accuracy was compared according to the detection level of virustotal. As a result, more than 80% classification accuracy was verified for 34,646 analysis files.

Recently, most of malicious web pages include obfuscated codes in order to circumvent the detection of signature-based detection systems .It is difficult to decide whether the sting is obfuscated because the shape of obfuscated strings are changed continuously. In this paper, we propose a novel methodology that can detect obfuscated strings in the malicious web pages. We extracted three metrics as rules for detecting obfuscated strings by analyzing patterns of normal and malicious JavaScript codes. They are N-gram, Entropy, and Word Size. N-gram checks how many each byte code is used in strings. Entropy checks distributed of used byte codes. Word size checks whether there is used very long string. Based on the metrics, we implemented a practical tool for our methodology and evaluated it using read malicious web pages. The experiment results showed that our methodology can detect obfuscated strings in web pages effectively.

Malicious code detection is one of the important missions of malicious code analysis. Current researches on the detection of malicious code mostly focused on single classifier, whereas the single classifier is not suitable for the detection based on features of different types. We utilized multi-classifiers ensemble based on fuzzy integral to improve the accuracy of the detection framework. A framework based on the Choquet fuzzy integral was proposed to fuse the analysis results of the base classifiers with different features. And the genetic algorithm was used to obtain the fuzzy measure. Finally, the result of Choquet fuzzy integral was compared to a threshold predefined to determine the maliciousness of binary code. Experiment showed that the framework proposed in this paper could be used to determine the maliciousness of binary code more accurately.

악성코드는 탐지 프로그램을 피해 기기들에게 피해를 유발한다. 기존의 악성코드 탐지 기법으로 이러한 새로운 악성코드를 탐지하는데 어려움을 겪는 이유는 서명 기반의 탐지 기법을 사용하기 때문이다. 이 기법은 기존 악성코드들 은 효과적으로 탐지하지만, 새로운 악성코드에 대해서는 탐지가 어렵다. 이러한 문제점을 인식하여, 휴리스틱 기법을 추 가적으로 사용한다. 이 논문에서는 딥러닝을 활용하여 악성코드를 탐지하는 기술에 대해 소개하여 새로운 악성코드를 탐지하는 기술에 대해서 제안한다. 또한, 악성코드를 탐지한다는 것은, 기기에서 실행 가능한 파일의 개수는 무수히 많으 므로, 지도학습 방식(Supervisor Learning)으로는 분명한 한계가 존재한다. 그렇기 때문에, 준지도 학습으로 알려진 SCAE(Stacked Convolution AutoEncoder)를 활용한다, 파일들의 바이트 정보들을 추출하여, 이미지화를 진행하고, 이 이미지들을 학습을 시켜, 학습 시키지 않은 10,869개의 악성코드, 3,442개의 비악성코드를 모델에 추론한 결과 정확 도를 98.84%을 달성하였다.

Malicious codes cause damage to equipments while avoiding detection programs(vaccines). The reason why it is difficult to detect such these new malwares using the existing vaccines is that they use “signature-based” detection techniques. these techniques effectively detect already known malicious codes, however, they have problems about detecting new malicious codes. Therefore, most of vaccines have recognized these drawbacks and additionally make use of “heuristic” techniques. This paper proposes a technology to detecting unknown malicious code using deep learning. In addition, detecting malware skill using Supervisor Learning approach has a clear limitation. This is because, there are countless files that can be run on the devices. Thus, this paper utilizes Stacked Convolution AutoEncoder(SCAE) known as Semi-Supervisor Learning. To be specific, byte information of file was extracted, imaging was carried out, and these images were learned to model. Finally, Accuracy of 98.84% was achieved as a result of inferring unlearned malicious and non-malicious codes to the model.

전 세계적으로 악성코드가 급속하게 증가되고 있어 이에 대한 대책이 시급한 상황이다. 웹 사이트 를 통해 급속히 확산되고 있는 악성 코드를 효과적으로 탐지하고 대응하기 위해서는 악성 코드가 유 포되는 전 구간을 파악하고, 위험요소를 측정하는 것이 필요하다. 본 논문에서는 악성 코드가 유포되 는 전 구간에 대해 위험요소를 정의하고 이를 이용한 악성코드 위험도 산정기법을 제시하였다. 제시 한 위험도 산정기법을 통하여 국지적으로 악성코드를 탐지하고 대응하는 기법에서 악성코드와 연관 된 전체 구간에 대해서 위험도를 산정함으로 좀 더 효과적으로 악성코드에 대한 위험도를 파악할 수 있다.

It is required to cope with the malicious codes, which grow rapidly in the world wide. To detect and cope with the malicious codes which is spread out through the web sites, it is required to identify the all domains of malicious code and measure the risk factors. In this paper, we define the risk factors for all domains of malicious codes and present the risk assessment techniques using risk factors. Through the suggested risk assessment technique, we can efficiently grasp the dangerous degree of malicious code and cope with the detected malicious codes by changing the domains from local area to entire area.

Damages by malware have recently been increasing. Conventional signature-based antivirus solutions are helplessly vulnerable tounprecedented new threats such as Zero-day attack and ransomware. Despite that, many enterprises have retained signature-based antivirussolutions as part of the multiple endpoints security strategy. They do recognize the problem. This paper proposes a solution using theblockchain and deep learning technologies as the next-generation antivirus solution. It uses the antivirus software that updates throughan existing DB server to supplement the detection unit and organizes the blockchain instead of the DB for deep learning using varioussamples and forms to increase the detection rate of new malware and falsified malware.

현재 안티바이러스 시스템에서는 시그너쳐를 기반으로 하는 탐지 방법을 사용하거나 간단한 휴리스틱 검색을 이용 하지만, 이러한 방법은 알려지지 않은 새로운 악성 코드에 대해서는 취약하기 때문에 행위 감시 기반의 감지 방법이 추가적으로 사용된다. 그러나 행위 감시 기반의 안티바이러스 시스템을 대부분의 호스트에 설치하는 일은 많은 어려움이 있다. 이에 따라 안티바이러스 시스템이 설치되지 않은 호스트에서의 행위 감시를 위한 코드 삽입 기법이 제시 되었으나 아직 코드 삽입 기법이 거시적인 과점에서 전체 도메인에 미치는 영향에 대한 연구가 되어 있지 않다. 본 논문은 시뮬레이션을 통하여 코드 삽입 기법이 전체 도메인 상에서 악성 코드의 감지에 미치는 영향을 보여준다.

본 논문에서는 악성코드의 시스템 콜 빈도수를 특징값으로 행위 기반 탐지(behavior-based detection)를 할 때, 시스템 콜의 속성 개수보다 학습데이터 개수가 적더라도 효과적으로 악성 코드를 탐지하는 기법을 제안한다. 이 연구에서는, 프로그램 코드가 동작할 때, 발생시키는 윈도우 커널 데이터인 Native API를 수집하여 빈도수로 정규화한 것을 기본적인 속성 값으로 사용하였다. 또한 악성코드와 정상 코드를 효과적으로 분류할 수 있으면서, 악성코드를 분류하기 위한 기본적인 속성의 개수보다 학습데이터 개수가 적어도 적용 가능한 GLDA(Generalized Linear Discriminant Analysis)를 사용하여, 새로운 속성 값들로 전환하였다. 분류 기법으로는 베이지언 분류법의 일종인 kNN(k-Nearest Neighbor) 분류법을 이용하여 악성 코드를 탐지하였다. 제안된 탐지 기법의 성능을 검증하기 위하여 수집된 Native API 로 기존의 연구 방법과 비교 검증하였다. 본 논문에 제안된 기법이 탐지율(detection rate) 100%인 Threshold 값에서, 다른 탐지 기법보다 낮은 오탐율(false positive rate)을 나타내었다.

In this paper, we propose an effective Behavior-based detection technique using the frequency of system calls to detect malicious code, when the number of training data is fewer than the number of properties on system calls. In this study, we collect the Native APIs which are Windows kernel data generated by running program code. Then we adopt the normalized freqeuncy of Native APIs as the basic properties. In addition, the basic properties are transformed to new properties by GLDA(Generalized Linear Discriminant Analysis) that is an effective method to discriminate between malicious code and normal code, although the number of training data is fewer than the number of properties. To detect the malicious code, kNN(k-Nearest Neighbor) classification, one of the bayesian classification technique, was used in this paper. We compared the proposed detection method with the other methods on collected Native APIs to verify efficiency of proposed method. It is presented that proposed detection method has a lower false positive rate than other methods on the threshold value when detection rate is 100%.

다크웹을 이용한 사이버 범죄율이 국내외에서 가파르게 상승 중이다. 그러나 다크웹의 특성상 숨겨져 있는 인터넷 영역에서 공유되는 악성코드들을 찾기란 어렵다. 특히 다크웹상 여러 서비스들은 크롤러 bot과 같은 정보 수집을 막고자 다양한 기법을 적용하고 있다. 따라서 우리는 기존의 연구 방법에 따라 다크웹 상의 URL을 수집한 후, 추가적으로 다운로더를 만들어 exe, zip과 같은 특정 형식의 파일을 수집하였다. 앞으로 해당 파일들은 통합 바이러스 스캔 엔진에서 검사하여 의심 파일들을 분별할 예정이다. 의심 파일들은 정적 / 동적 분석을 통해 상세한 보고서를 제출하여 향후 다크웹 내의 악성코드 분포 / 출처 분석에 유의미한 결과를 도출할 수 있다.

본 고에서는 악성 프로그램을 탐지하기 위해 특정 프로그램 실행시 해당 파일 구조를 분석하여 악성 프로그램을 탐지하기 위해 Michael Weber, Matthew Schmid, Michaei Schatz와 David Geyer에 의해 제안된 실행코드 탐지 방식을 분석하고 있다. 제안된 방식에서는 기존 방법에서 사용하고 있는 악성 프로그램의 시그니처 분석을 통한 탐지 방법과 다르게 윈도우 PE 파일 형태의 파일 구조를 가지고 있는 실행 프로그램의 문맥 분석을 통해 알려지지 않은 악성 프로그램을 탐지함을 목적으로 하고 있다. 제안된 방식에서는 특히 PEAT(Portable Executable Analysis Toolkit)라는 이동 실행 분석 툴 킷을 개발, 사용함으로써 악성프로그램을 탐지 하고 있는데 이 툴 킷은 PE 파일 구조를 가진 임의의 애플리케이션에 대해 악성코드의 존재 여부를 밝힐 수 있는 실행시 구조적 특징을 이용한다.

알려지지 않은 악성 코드의 수행을 막는 방법으로 프로그램의 실행 환경을 제한하는 '샌드박스' 기법이 많이 쓰여져 왔다. 코드의 비정상 행위를 탐지하는 이 방식은 얼마나 다양한 샌드박스들을 두는가에 따라 적용성(configurability)과 편리성(ease of use) 간의 양면성 (trade-off)을 가진다. 기존의 MAPbox는 이 두 가지를 동시에 만족시키기 위해 프로그램의 종류별로 샌드박스를 두는 클래스별 샌드박스 적용 기법을 사용한다[3]. 그러나, 이 방법은 정적으로 클래스들이 결정되므로 적용성에 한계가 있다. 본 논문에서는 MAPbox의 개념에 동적 클래스 생성 기능을 추가함으로써 적용성을 높이는 기법을 소개하고 실제로 구현한다. MAPbox에 비해 적용성이 높아진 예로 MAPbox에서는 정상행위이지만 비정상행위로 판단되는 경우가 제안된 기법을 통해 올바르게 판단됨을 보인다.