Binary Lifting을 활용한 Massive IoT 악성코드 분류 기법
Massive IoT Malware Classification Method using Binary Lifting
- 주제(키워드) 리눅스 악성코드 , 악성코드 분류 , Binary Lifting , LSTM
- 주제(DDC) 004.6
- 발행기관 아주대학교
- 지도교수 곽진
- 발행년도 2021
- 학위수여년월 2021. 8
- 학위명 석사
- 학과 및 전공 일반대학원 AI융합네트워크학과
- 실제URI http://www.dcollection.net/handler/ajou/000000031068
- 본문언어 한국어
- 저작권 아주대학교 논문은 저작권에 의해 보호받습니다.
초록/요약
차세대 네트워크 기술의 발전으로 다양한 IoT(Internet of Things) 기기들이 초대규모로 상호 연결됨에 따라 Massive IoT 기기 내 보안위협을 악용하여 초연결 네트워크에 대한 공격을 수행하는 리눅스 악성코드가 발생하고 있다. 이와 같은 리눅스 악성코드의 잠재적 위협을 판단하고 효율적으로 대응하기 위해 실행된 코드 분석을 통한 악성코드 분류가 필요하지만 이기종 아키텍처별 분석을 별도로 수행해야 하는 한계가 존재한다. 그러나 Binary Lifting을 수행함으로써 이기종 아키텍처의 바이너리 코드를 동일한 표현의 IR(Intermediate Representation)로 나타낼 수 있으며, IR 내에는 어셈블리 코드의 기능 및 사용한 인자가 저장되기 때문에 악성행위 정보를 확인할 수 있다. 이에 따라 본 논문에서는 리눅스 악성코드에 대하여 Binary Lifting 수행 결과인 IR을 통해 특징 정보를 추출하고 시퀀스 학습에 적절한 LSTM(Long Short-Term Memory) 딥러닝 모델로 학습함으로써 이기종 리눅스 악성코드를 분류하는 기법을 제안하였다. 이를 통해 다양한 아키텍처의 리눅스 악성코드에 대하여 효율적으로 악성코드 분류할 수 있으며, 실행 코드 외 분석 기법 대비 높은 정확도를 보였다. 본 제안 기법은 추후 발생 가능한 신종 및 변종 리눅스 악성코드 탐지 및 분류를 목표로 한다.
more초록/요약
With the development of network and data processing technology, various IoT devices are interconnected at massive scale, resulting in linux malware that exploits security threats within massive IoT devices to attack hyper-connected networks. To determine and efficiently respond to such potential threats from linux malware, malware classification through executed code analysis is necessary, but there is a limitation to perform separate analysis by heterogeneous architecture. However, binary lifting allows binary code in heterogeneous architectures to be represented as IR of the same format, and malicious behavior information can be identified because the information about functionality of assembly code and the used parameters is stored within the IR. Accordingly, in this paper, we propose a technique for classifying heterogeneous linux malware by extracting feature information through IR, a binary lifting performance result for linux malware, and learning with an appropriate LSTM deep learning model for sequence learning. This enables efficient malware classification for linux malware in various architectures, with higher accuracy compared to existing classification methods. This proposed method aims to detect and classify new and variant linux malware that may occur later.
more목차
제 1 장 서론 1
제 1 절 연구의 배경 및 목적 1
제 2 절 연구 범위 및 구성 2
제 2 장 관련 연구 3
제 1 절 Massive IoT 악성코드 동향 3
제 2 절 리눅스 파일 5
1. ELF 파일 분석 5
2. 어셈블리 코드 분석 6
제 3 절 리눅스 악성코드 유형 6
제 4 절 자동화된 리눅스 악성코드 분석 기법 8
1. 실행 코드 외 정보 기반 분석 기법 8
2. 실행 코드 관련 정보 기반 분석 기법 9
제 5 절 시퀀스 학습을 위한 딥러닝 모델 10
1. 인공지능과 기계학습 10
2. 인공신경망과 심층신경망 10
3. 딥러닝 11
4. RNN 11
5. LSTM 12
6. 악성코드 분류를 위한 LSTM 모델 14
제 6 절 Binary Lifting 15
1. B2R2 15
2. LowUIR 15
제 3 장 제안 기법 19
제 1 절 데이터셋 라벨링 21
제 2 절 Training Phase 22
1. 어셈블리 코드 추출 22
2. LowUIR 시퀀스 추출 23
3. 피처 벡터 추출 24
4. IG 기반 피처 선택 27
5. LSTM 모델 학습 28
제 3 절 Testing Phase 29
제 4 장 실험 결과 분석 30
제 1 절 실험 설계 30
1. 데이터셋 수집 30
2. 실험 환경 31
3. LSTM 모델 설정 32
제 2 절 실험 결과 분석 33
1. 성능 지표 33
2. 성능 측정 및 분석 33
제 5 장 결론 34
참고문헌 35
ABSTRACT 38
