Earticle

With the rapid advancement of network technology, network security issues have become increasingly prominent, particularly the frequent occurrence of malicious behaviors that pose significant threats to both individuals and organizations. However, attackers are now more easily bypassing traditional network intrusion detection systems. The detection of such malicious behavior is crucial, regarding data security and impacts the system's stability and credibility. This study explored the application of deep learning for detecting such actions and analyzed its advantages over traditional methods. For comparative analysis, we employed a variety of machine learning algorithms, including CNNs, random forests, and support vector machines,. Additionally, we proposed a novel model that combines a CNN with long short-term memory networks. We experimentally verified the algorithm’s effectiveness in practical applications.

Malicious code distribution on the Internet is one of the most critical Internet-based threats and distribution technology has evolved to bypass detection systems. As a new defense against the detection bypass technology of malicious attackers, this study proposes the automated tracing of malicious websites in a malware distribution network (MDN). The proposed technology extracts automated links and classifies websites into malicious and normal websites based on link structure. Even if attackers use a new distribution technology, website classification is possible as long as the connections are established through automated links. The use of a real web-browser and proxy server enables an adequate response to attackers' perception of analysis environments and evasion technology and prevents analysis environments from being infected by malicious code. The validity and accuracy of the proposed method for classification are verified using 20,000 links, 10,000 each from normal and malicious websites.

IoT 시장의 성장과 더불어 linux 아키텍쳐를 사용하는 디바이스들에 대해 악성코드 보안 위협이 꾸준히 증가하고 있다. 하지만, Mirai 등의 심각한 보안피해를 야기한 주요 악성코드들을 제외하면 linux 악성코드에 대한 보안 커뮤니티의 관련 기술이나 연구는 전무한 수준이다. 또한, IoT 환경의 디바이스, 벤더, 아키텍쳐 등의 다양성이 더욱 심화됨에 따라 linux 악성코드 대응 난이도 또한 심화되고 있다. 따라서, 본 논문에서는 linux 아키텍쳐의 주요 포맷인 ELF를 분석하고 이를 기반으로 한 분석 시스템과, IoT 환경을 고려한 바이너리 기반의 분석 시스템을 제안한다. ELF 기반의 분석 시스템은 상대적으로 고속으로 다수의 악성코드에 대해 전처리 분류 할 수 있으며 상대적으로 저속의 바이너리 기반의 분석 시스템은 전처리 하지 못한 데이터에 대해 모두 분류 가능하다. 이러한 두 개의 프로세스는 서로 상호보완되어 효과적으로 linux 기반의 악성코드를 분류할 수 있을 것이라 기대한다.

With the growth of the IoT market, malware security threats are steadily increasing for devices that use the linux architecture. However, except for the major malware causing serious security damage such as Mirai, there is no related technology or research of security community about linux malware. In addition, the diversity of devices, vendors, and architectures in the IoT environment is further intensifying, and the difficulty in handling linux malware is also increasing. Therefore, in this paper, we propose an analysis system based on ELF which is the main format of linux architecture, and a binary based analysis system considering IoT environment. The ELF-based analysis system can be pre-classified for a large number of malicious codes at a relatively high speed and a relatively low-speed binary-based analysis system can classify all the data that are not preprocessed. These two processes are supposed to complement each other and effectively classify linux-based malware.

본 논문에서는 머신러닝 기반의 악성코드 분류에 있어 오버피팅 문제를 비롯하여 실제로 실행되지 않는 코드가 APK에 포함되는 문제 등을 해결하기 위해 모든 API들의 연관성을 통해 그룹화하며, 제어 흐름 분석을 통해 실제로 실행되는 코드에 대한 분석을 수행하는 툴을 개발하였다. 툴은 약 1,500라인으로 이루어진 자바 기반의 소프트웨어로, 전체 API에 대한 빈도 분석을 수행하거나 생성된 제어 흐름 그래프를 바탕으로 빈도 분석을 수행한다. 툴을 이용하여 모든 버전에서의 총 39032개의 메서드에 대해 4972개의 그룹으로 축소할 수 있으며, 클래스를 포함한 결과로는 총 12123개의 그룹으로 축소할 수 있다. 결과 분석을 위해서 본 논문에서는 총 7개의 패밀리에서 7,000개의 APK를 랜덤으로 수집하였으며, 수집된 APK를 이용하여 feature를 축소하는 기법을 검증하였다. 또한, 추출된 데이터에서 빈도가 20% 이상으로 나타난 API만을 선별하여 feature를 더욱 축소하여 최종적으로 263개의 feature로 축소하였다.

While several machine learning technique has been implemented for Android malware categorization, there is still difficulty in analyzing due to overfitting problem and including of un-executable code, etc. In this paper, we introduce our implemented tool to address these problems. Tool is consists of approximately 1,500 lines of Java code, and perform Flow analysis on set of APIs, or on control flow graph. Our tool groups all the API by its relationship and only perform analysis on actually executing code. Using our tool, we grouped 39032 APIs into 4972 groups, and 12123 groups with result of including class names. We collected 7,000 APKs from 7 families and evaluated our feature reduction technique, and we also reduced features again with selecting APIs that have frequency more than 20%. We finally reduced features to 263-numbers of feature for our collected APKs.

최근 변종 악성코드가 증가하면서 사이버 해킹 침해사고 규모가 확대되고 있다. 그리고 지능형 사이버 해킹 공격에 대응하기 위해 악성코드 패밀리를 효과적으로 분류하기 위한 기계학습 기반 연구가 활발히 진행되고 있다. 그러나 기존의 분류 모델은 데이터셋이 난독화되거나, 희소한 경우에 성능이 저하되는 문제가 있었다. 본 논문에서는 ASM 파일과 BYTES 파일에서 추출한 특징을 결합한 하이브리드 데이터셋을 제안하고, FNN을 사용하여 분류 성능을 평가한다. 실험 결과에 따르면 제안하는 방법은 단일 데이터셋에 비해 약 4% 향상된 성능을 보였으며, 특히 희소한 패밀리에 대해서는 약 30%의 성능 향상을 보였다.

Recently, as variant malware has increased, the scale of cyber hacking incidents is expanding. To respond to intelligent cyberhacking attack, machine learning-based research is actively underway to effectively classify malware families. However, existing classification models have problems where performance deteriorates when the dataset is obfuscated or sparse. In this paper, we propose a hybrid dataset that combines features extracted from ASM files and BYTES files, and evaluate classification performance using FNN. As a result of the experiment, the proposed method showed performance improvement of about 4% compared to a single dataset, and in particular, performance improvement of about 30% for rare families.

오늘날 모바일 기기는 필수적인 도구로 자리 잡았으며, 보안 중요성도 증가하고 있다. 이에 따라, 안드로이드 시스템에서 API 호출 정보를 활용한 악성코드 탐지 및 분류 방법에 대한 연구가 활발히 진행 중이다. 본 논문에서는시스템 API 호출 순서 정보를 활용하여 악성코드의 행동 패턴을 분석하고, 유사한 변수명과 기술을 사용하는 악성코드를 대상으로 Dynamic Time Warping (DTW) 알고리즘을 기반으로 악성코드 패밀리를 분류하는 방법을 제안한다. 본 연구는 더 정확한 순서 정보를 활용하여 각 패밀리의 특징을 추출하며, 이를 통해 악성코드 패밀리 분류의 정확도를 높인다. 향후, 많은 데이터셋을 확보하여 시스템 API 호출 순서 정보를 수집하여 머신러닝에 적용하거나 정적 분석과 병행하여 분류를 진행하는 연구를 수행하고자 한다.

Today, mobile devices have become ubiquitous and have a large user base. The importance of security for these mobile devices is growing. To this end, classification and detection methods using Android system API call data have been actively researched. Our proposed classification system API call sequence data to analyze the behavior patterns of malicious codes that exhibit similar variable names and techniques. We establish classification criteria based on the DTW algorithm for each family, enabling more accurate classification of malicious code families. In the future, we plan to acquire more datasets to collect system API call sequence data information and apply it to machine learning or conduct research on classification in parallel with static analysis.

컴퓨터의 보급 증가와 더불어 일반 사용자들에 대한 공격자들의 악성코드 배포 횟수 또한 증가하였다. 악성코드를 탐지하기 위한 연구는 현재까지도 진행되고 있으며 최근에는 AI를 이용한 악성코드 탐지 및 분석 연구가 중점적으로 이뤄지고 있다. 하지만 AI 알고리즘은 어떠한 이유로 악성코드를 탐지하고 분류하는지 설명할 수 없다는 단점이 존재한다. 이런 AI의 한계를 극복하고 실용성을 갖도록 하기 위해 XAI 기법이 등장하였다. XAI를 사용하면 AI의 최종 결과에 대해 판단 근거를 제시할 수 있다. 본 논문에서는 XGBoost와 Random Forest를 이용하여 악성코드 그룹분류를 진행하였으며, SHAP을 통해 결과를 해석하였다. 두 분류모델 모두 약 99%의 높은 분류 정확도를 보였으며, XAI를 통해 도출된 상위 API feature와 악성코드 주요 API를 비교해보았을 때 일정 수준 이상의 해석 및 이해가 가능하였다. 향후, 이를 바탕으로 직접적인 AI 신뢰성 향상 연구를 진행할 예정이다.

Along with the increase prevalence of computers, the number of malware distributions by attackers to ordinary users has also increased. Research to detect malware continues to this day, and in recent years, research on malware detection and analysis using AI is focused. However, the AI algorithm has a disadvantage that it cannot explain why it detects and classifies malware. XAI techniques have emerged to overcome these limitations of AI and make it practical. With XAI, it is possible to provide a basis for judgment on the final outcome of the AI. In this paper, we conducted malware group classification using XGBoost and Random Forest, and interpreted the results through SHAP. Both classification models showed a high classification accuracy of about 99%, and when comparing the top 20 API features derived through XAI with the main APIs of malware, it was possible to interpret and understand more than a certain level. In the future, based on this, a direct AI reliability improvement study will be conducted.

멀웨어 패밀리 분류는 특성이 유사하거나 동일한 멀웨어 샘플을 그룹화하는 것이다. 이러한 멀웨어 패밀리 분류는 대 표적인 악성 패턴을 이해하여 그러한 패턴에 감염된 앱을 효율적으로 치료하거나, 양성 앱들이 감염되지 않게 보호하 게 해 준다. 본 논문에서는, 오토인코더 기반의 딥러닝을 적용하여 안드로이드 멀웨어 패밀리를 분류하는 새로운 방 법을 제안한다. 제안한 기법은 안드로이드 악성 앱들의 퍼미션을 특징정보로 사용한다. 잘 알려진 DREBIN 데이터 셋의 상위 20개 멀웨어 패밀리들을 대상으로 실험하여, 제안한 딥러닝 기법의 성능을 평가한 결과, 기존 연구보다 더 좋은 성능을 보임을 확인하였다. 또한, 상위 30개의 멀웨어 패밀리들을 대상으로 제안 기법의 성능도 평가한다.

Malware family classification is the grouping of malware samples with similar or identical characteristics into a same family. This plays an important role in understanding typical malicious patterns to fix the apps infected with those patterns, or protecting benign apps against being infected. In this paper, we propose a new method to classify Android malware families by applying deep learning based on autoencoder. The proposed method uses the permissions of Android malicious apps as a feature set. As a result of evaluating the performance of the proposed method by performing experiments with the top 20 malware families in the well-known DREBIN dataset, the method have showed better performance than the previous study. In addition, we also evaluate the performance of the method for the top 30 malware families in the DREBIN dataset.

매년 수십억 건의 악성코드가 탐지되고 있지만, 이 중 신종 악성코드는 0.01%에 불과하다. 이러한 상황에 효과적인 악성코드 유형 분류 도구가 필요하지만, 선행 연구들은 복잡하고 방대한 양의 데이터 전처리 과정이 필요하여 많은 양의 악성코드를 신속하게 분석하기에는 한계가 있다. 이 문제를 해결하기 위해 본 논문은 유사성 해시를 기반으로 복잡한 데이터 전처리 과정 없이 악성코드의 유형을 분류하는 기법을 제안한다. 이 기법은 악성코드의 유사성 해시 정보를 바탕으로 XGBoost 모델을 학습하며, 평가를 위해 악성코드 분류 분야에 널리 활용되는 BIG-15 데이터셋을 사용했다. 평가 결과, 98.9%의 정확도로 악성코드를 분류했고, 3,432개의 일반 파일을 100% 정확도로 구분했다. 이 결과는 복잡한 전처리 과정 및 딥러닝 모델을 사용하는 대부분의 최신 연구들보다 우수하다. 따라서 제안한 접근법을 사용하면 보다 효율적인 악성코드 분류가 가능할 것으로 예상된다.

Billions of malicious codes are detected every year, of which only 0.01% are new types of malware. In this situation, an effective malware type classification tool is needed, but previous studies have limitations in quickly analyzing a large amount of malicious code because it requires a complex and massive amount of data pre-processing. To solve this problem, this paper proposes a method to classify the types of malicious code based on the similarity hash without complex data preprocessing. This approach trains the XGBoost model based on the similarity hash information of the malware. To evaluate this approach, we used the BIG-15 dataset, which is widely used in the field of malware classification. As a result, the malicious code was classified with an accuracy of 98.9% also, identified 3,432 benign files with 100% accuracy. This result is superior to most recent studies using complex preprocessing and deep learning models. Therefore, it is expected that more efficient malware classification is possible using the proposed approach.

안드로이드 플랫폼은 높은 시장 점유율과 동시에 악성 앱의 수와 종류도 많아 기계학습 기반 악성 앱 탐지 및 분류 방법이 꾸준히 연구되어왔다. 기계학습 중에서도 신경망 기법은 입력 특징의 구성에 따라 성능이 좌우될 수 있기에 이 를 결정하는 것은 중요한 문제이다. 이에, 본 논문에서는 안드로이드 퍼미션(permission) 정보와 오토인코더-확장 외적을 이용한 잔차 신경망 기반 으로 안드로이드 악성 앱 패밀리 분류 방법을 제안한다. 실험 결과, 기존 연구 대비 대부분 지표에서 성능 향상을 보였으며 신경망 기반의 기계학습에서 입 력 데이터 구성의 다양화 및 고도화가 효과적임을 볼 수 있었다.

악성코드는 임의의 프로그램을 대상으로 정확하게 식별할 수 있어야 하지만, 분류 기법을 이용하는 기존 연구들은 제한된 샘플에만 적용할 수 있다는 한계가 있다. 본 논문은 임의의 프로그램으로부터 악성코드 패밀리를 탐지하고 분류하기 위해 API 호출 빈도를 이용하는 방법을 제안한다. 제안 방법은 특정 API에 대한 호출 빈도가 임계값을 넘는지 검사하는 규칙을 정의하고, 해당하는 규칙에 의한 비율 정보를 활용하여 특정 패밀리를 식별하는 것이다. 본 논문에서는 결정트리 알고리즘을 응용하여 학습셋으로부터 특정 패밀리를 가장 잘 식별할 수 있는 값으로 임계값을 결정하였다. 4,443개의 샘플을 이용해 학습셋과 시험셋을 나눠 성능을 측정한 결과 패밀리 탐지의 경우 85.1%의 정밀도와 91.3%의 재현율을 보이고, 분류의 경우 97.7%의 정밀도와 98.1%의 재현율을 보여 악성코드 패밀리를 효과적으로 식별할 수 있음을 확인하였다.

While malwares must be accurately identifiable from arbitrary programs, existing studies using classification techniques have limitations that they can only be applied to limited samples. In this work, we propose a method to utilize API call frequency to detect and classify malware families from arbitrary programs. Our proposed method defines a rule that checks whether the call frequency of a particular API exceeds the threshold, and identifies a specific family by utilizing the rate information on the corresponding rules. In this paper, decision tree algorithm is applied to define the optimal threshold that can accurately identify a particular family from the training set. The performance measurements using 4,443 samples showed 85.1% precision and 91.3% recall rate for family detection, 97.7% precision and 98.1% reproduction rate for classification, which confirms that our method works to distinguish malware families effectively.

악성코드 패밀리의 분류는 위협 분석의 효율성을 높이고, 신속한 대응 전략 수립을 위해 반드시 해결해야 할 과제이다. 그러나 서로 다른 패밀리가 유사한 행동을 보이는 경우가 많고, 변종 간 경계 또한 모호하여 정밀한 분류가 어렵다. 더욱이 대부분의 기존 연구는 과거 데이터셋에 의존하고 있어, 최신 악성코드의 동향을 적시에 반영하지 못하는 한계가 있다. 본 연구에서는 이러한 문제를 극복하기 위해 레이블 교차검증을 통해 신뢰성을 확보한, 2024년 수집된 Windows 악성코드 3,357개 샘플로 구성된 최신 데이터셋을 직접 구축하였다. 이 데이터셋을 활용하여 정적·동적 특징을 결합한 하이브리드 특징을 랜덤포레스트 모델에 적용한 결과, 최대 92.14%의 분류 정확도를 달성하였다. 또한, 오분류된 사례에 대해 원인을 분석한 결과, 일부1) 악성코드 패밀리 간에 동일한 API 호출 시퀀스가 공유되어 혼동이 발생하는 것으로 나타났으며, 악성코드가 조기에 실행을 종료해 충분한 동적 정보가 수집되지 못한 경우도 확인되었다. 이러한 분석을 바탕으로, 향후에는 더 정교한 행위 기반 특징 추출과 조기 종료 방지를 위한 동적 분석 환경의 개선이 필요함을 제안하였다. 본 연구는 향후 악성코드 탐지 시스템의 정확성과 신뢰성을 향상시키는 데 실질적인 기여를 할 수 있을 것으로 기대된다.

Malware family classification is a critical task for enhancing the efficiency of threat analysis and enabling rapid response strategies. However, accurate classification remains challenging due to behavioral similarities among different families and the ambiguous boundaries between variants. Moreover, most previous studies rely on outdated datasets, limiting their ability to reflect the latest trends in malware. To address these issues, this study constructs a new dataset of 3,357 Windows malware samples collected in 2024, with high label reliability ensured through cross-verification. Using this dataset, we applied a hybrid feature approach that combines static and dynamic features to a Random Forest model, achieving a maximum classification accuracy of 92.14%. An analysis of misclassified samples revealed that classification errors were often caused by shared API call sequences among certain malware families, leading to confusion, or by premature termination of malware execution, which hindered the collection of sufficient dynamic information. Based on these findings, we suggest the need for more sophisticated behavior-based feature extraction and improvements to the dynamic analysis environment to prevent early termination. This study is expected to make a practical contribution to enhancing the accuracy and reliability of future malware detection systems.

악성코드(Malware)란, 일반 사용자의 컴퓨터를 감염시켜 악성 행위를 하기위한 목적으로 만들어진 바이너리 파일을 일컫는다. 아이디나 암호와 같은 개인정보를 유출하는 것에서부터 주요기관에 대한 DDoS공격 까지, 다양한 종류의 악성 행위를 하며, 보통 이들의 행위를 바탕으로 트로이 목마, 바이러 스, 웜, 디도스 등으로 구분된다. 이러한 악성코드의 탐지는 여러 가지 많은 분석방법을 통해 만들어 진 시그니처에 의해 주로 수행된다. 하지만 하루에도 수 백개의 변종 악성코드들이 간단한 실행압축 등의 기술을 통해서 제작되며 이를 시그니처를 기반으로 탐지하는 경우, 변종 분석 및 데이터베이스 의 업데이트 등 오랜 소요 시간을 필요로 한다. 본 논문에서는 많은 탐지방법 중 하나인 N-gram 기 법을 설명하고, 이를 악성코드 분류에 적합하게 개선하여 동종 및 변종 악성코드를 분류하는 방법을 제시하고 일부 악성코드들을 대상으로 제시한 기법을 적용함으로써 그 정확성과 효율성을 기술한다.

Malware means binary file infecting user computers which aim to does malicious actions. Not only exposing personal informations such as ID and password, but also attacking major organization using DDoS, they do actions in various ways. In common, they are classified by their behavior, for example, Trojan, virus, worn and DDoS. Detection of malwares are usually conducted by signatures obtained by various analysis methods. However, because hundreds of mutant malwares are produced in a simple packing technique in a day, existing detection technique costs long processing time, for analyzing mutants and updating databases. In this paper, we explain N-gram technique and improve it to fitted for classifying malwares whether same kind or various ones. Furthermore, verifies accuracy and efficiency of this novel technique by applying it to the real-world malwares.

We create a malware detector classification method with using the Sequential Probability Ratio Test (SPRT) in IoT. More specifically, we adapt the SPRT to classify malware detectors into two categories of basic and advanced in line with malware detection capability. We perform evaluation of our scheme through simulation. Our simulation results show that the number of advanced detectors is changed in line with threshold for fraction of advanced malware information, which is used to judge advanced detectors in the SPRT.

Combating malware is very important for software/systems security, but to prevent the software/systems from the advanced malware, viz. metamorphic malware is a challenging task, as it changes the structure/code after each infection. Therefore in this paper, we present a novel approach to detect the advanced malware with high accuracy by analyzing the occurrence of opcodes (features) by grouping the executables. These groups are made on the basis of our earlier studies [1] that the difference between the sizes of any two malware generated by popular advanced malware kits viz. PS-MPC, G2 and NGVCK are within 5 KB. On the basis of obtained promising features, we studied the performance of thirteen classifiers using N-fold cross-validation available in machine learning tool WEKA. Among these thirteen classifiers we studied in-depth top five classifiers (Random forest, LMT, NBT, J48 and FT) and obtain more than 96.28% accuracy for the detection of unknown malware, which is better than the maximum detection accuracy (~95.9%) reported by Santos et al (2013). In these top five classifiers, our approach obtained a detection accuracy of ∼97.95% by the Random forest.

Recently, as the number of new and variant malicious codes has increased exponentially, malware warnings are being issued to PC and smartphone users. Malware is becoming more and more intelligent. Efforts to protect personal information are becoming more and more important as social issues are used to stimulate the interest of PC users and allow users to directly download malicious codes. In this way, it is difficult to prevent malicious code because malicious code infiltrates in various forms. As a countermeasure to solve these problems, many studies are being conducted to apply deep learning. In this paper, we investigate and analyze various deep learning methods to detect and classify malware.

최근 다양한 종류의 악성코드가 제작 및 유포 되어 일반 사용자의 컴퓨터를 감염시키고, 컴퓨터에 저장된 금융정보, ID나 비밀번호와 같은 각종 개인정보를 유출하는 것은 물론, 감염된 컴퓨터를 DDoS 공격 등에 이용하는 등 그 피해가 네트워크 전반에 걸쳐 나타나고 있다. 게다가 악성코드는 보편화된 자동 생성 도구에 의해 쉽게 다양한 변종으로 생성될 수 있어 그 수가 기하급수적으로 늘어날 전망이다. 그러나 기존 시그니처를 사용하는 탐지 방법은 변종에 대해 빠르게 대응할 수 없고 또 새로운 변종을 탐지하기 위해 데이터베이스를 업데이트하는 등 대응에 소요되는 시간이 빠르게 생산되는 악성코드의 전파 속도에 뒤처지는 실정이다. 따라서 동종 및 변종 악성코드의 전파를 막기 위한 분석과 대응이 신속히 이루어질 것이 요구되고 있다. 본 논문에서는 악성코드의 바이너리 실행파일 및 행위 분석을 통해 동종 및 변종 악성코드를 분류하는 방법을 제시하고, 악성코드 샘플을 대상으로 제시한 기법을 통해 분류한 결과를 기술한다.

Recently, various malicious programs are being produced and distributed causing problems in networks; such as infecting user computers, exposing personal information including finance information, IDs, and passwords that are stored in computers, and attacking infected computers by DDoS attacks, etc. In addition, variant malicious programs are easily created with widely spread automatic tools and are expected to increase geometrically.However, detection methods that use former signatures are not easily applied to variant programs and the countermeasures to detect these variant malicious programs such as updating databases, etc. cannot cope with the rapidly growing number of mutated malicious software. Therefore, countermeasures and analysis are required to block the spreading of these malicious programs of the same kind or variant ones. This thesis suggests a method for classifying same or variant types of malicious programs through analyzing the binary execution file and actions of malicious programs and actually classifies and explains the results of the suggested method on malicious program samples.

공격자들은 금전적인 이득을 목적으로 악성코드를 제작하여 유포시킴으로써 사용자들의 컴퓨터를 감염시키고 ID 및 패스워드, 메일 주소, 휴대폰 번호, 금융 정보와 같은 각종 개인정보들을 감염된 사용자들의 컴퓨터로부터 유출시킨다. 또한 감염된 사용자들의 컴퓨터를 봇넷으로 구성하여 DDoS 공격, 스팸 발송 등의 공격을 수행한다. 악성코드 자동 생성 도구는 공격자들 사이에 보편화되어 신종 및 변종 악성코드를 쉽게 생성할 수 있게 해준다. 이로 인해 국내외에서 새롭게 발견되는 악성코드의 수는 지속적으로 증가하는 추세이다. 그러나 악성코드에 대한 대응 방법은 아직까지 대부분 악성코드를 수동으로 분석하고 시그니처를 생성하는 방법으로 대응하고 있어 악성코드의 전파 속도에 뒤처지고 있다. 이에 따라 악성코드에 의한 직접적인 피해 및 2차적인 피해는 급속도로 확산되고 있으므로 악성코드에 대한 신속한 분석과 대응이 필요하다. 본 논문에서는 악성코드에 대한 정적 분석을 수행하여 얻을 수 있는 API 리스트의 순차적 특징을 이용하여 보다 빠른 악성코드 변종 분류 방법을 제안하고, 각종 악성코드 샘플을 대상으로 수행한 실험 및 결과에 대하여 기술한다.

Malware is generated to gain profit by attackers, and it infects many user's computers. As a result, attackers can acquire private information such as ID, password, e-mail address, cell-phone number and banking account from infected machines. Moreover, infected machines are used for cyber-attacks such as DDoS attack, spam, and so on. The number of new malware discovered everyday is increasing continuously because the automated tools allow attackers to generate the new malware or their variants easily. However, new countermeasures against the malware are invented at lower rate than the propagation rate of the malware. Therefore, rapid malware analysis method is required in order to mitigate the infection rate and secondary damage to the users. In this paper, we proposed a malware variants classification method using sequential characteristics of API list, and described an experiment result with some malware samples.

최근 악성코드와 정상 바이너리를 분류하기 위해 기계학습을 이용하는 기술이 다양하게 연구되고 있다. 효과적인 기계학습을 위해서는 악성코드와 정상 바이너리를 식별하기 위한 Feature를 잘 추출하는 것이 무엇보다 중요하다. 본 논문에서는 재귀적인 방법을 이용하여 기계학습에 활용하기 위한 Feature 추출 방법인 RFA(Recursive Feature Addition) 제안한다. 제안하는 방법은 기계학습의 성능을 극대화 하기 위해 개별 Feature를 대상으로 재귀적인 방법을 사용하여 최종 Feature Set을 선정한다. 세부적으로는 매 단계마다 개별 Feature 중 최고성능을 내는 Feature를 추출하여, 추출한 Feature를 결합하는 방법을 사용한다. 제안하는 방법을 활용하여 Decision tree, SVM, Random forest, KNN등의 기계학습 알고리즘에 적용한 결과 단계가 지속될수록 기계학습의 성능이 향상되는 것을 검증하였다.

Recently, various technologies that use machine learning to classify malicious code have been studied. In order to enhance the effectiveness of machine learning, it is most important to extract properties to identify malicious codes and normal binaries. In this paper, we propose a feature extraction method for use in machine learning using recursive methods. The proposed method selects the final feature using recursive methods for individual features to maximize the performance of machine learning. In detail, we use the method of extracting the best performing features among individual feature at each stage, and then combining the extracted features. We extract features with the proposed method and apply them to machine learning algorithms such as Decision Tree, SVM, Random Forest, and KNN, to validate that machine learning performance improves as the steps continue.

악성코드를 포함한 모든 응용프로그램은 실행 시 API(Application Programming Interface)를 호출한다. 최근에는 이러한 특성을 활용하여 API Call 정보를 기반으로 악성코드를 탐지하고 분류하는 접근방법이 많은 관심을 받고 있다. 그러나 API Call 정보를 포함하는 데이터세트는 그 양이 방대하여 많은 계산 비용과 처리시간이 필요하다. 또한, 악성코드 분류에 큰 영향을 미치지 않는 정보들이 학습모델의 분류 정확도에 영향을 미칠 수도 있다. 이에 본 논문에서는 다양한 특성 선택(feature selection) 방법을 적용하여 API Call 정보에 대한 차원을 축소시킨 후, 핵심 특성 집합을 추출하는 방안을 제시한다. 실험은 최근 발표된 안드로이드 악성코드 데이터세트인 CICAndMal2020을 이용하였다. 다양한 특성 선택 방법으로 핵심 특성 집합을 추출한 후 CNN(Convolutional Neural Network)을 이용하여 안드로이드 악성코드 분류를 시도하고 결과를 분석하였다. 그 결과 특성 선택 알고리즘에 따라 선택되는 특성 집합이나 가중치 우선순위가 달라짐을 확인하였다. 그리고 이진분류의 경우 특성 집합을 전체 크기의 15% 크기로 줄이더라도 97% 수준의 정확도로 악성코드를 분류하였다. 다중분류의 경우에는 최대 8% 이하의 크기로 특성 집합을 줄이면서도 평균 83%의 정확도를 달성하였다.

All application programs, including malware, call the Application Programming Interface (API) upon execution. Recently, using those characteristics, attempts to detect and classify malware based on API Call information have been actively studied. However, datasets containing API Call information require a large amount of computational cost and processing time. In addition, information that does not significantly affect the classification of malware may affect the classification accuracy of the learning model. Therefore, in this paper, we propose a method of extracting a essential feature set after reducing the dimensionality of API Call information by applying various feature selection methods. We used CICAndMal2020, a recently announced Android malware dataset, for the experiment. After extracting the essential feature set through various feature selection methods, Android malware classification was conducted using CNN (Convolutional Neural Network) and the results were analyzed. The results showed that the selected feature set or weight priority varies according to the feature selection methods. And, in the case of binary classification, malware was classified with 97% accuracy even if the feature set was reduced to 15% of the total size. In the case of multiclass classification, an average accuracy of 83% was achieved while reducing the feature set to 8% of the total size.