[논문 리뷰] 머신러닝 기반 악성 URL 탐지 기법

https://www.dbpia.co.kr/journal/articleDetail?nodeId=NODE11078533

머신러닝 기반 악성 URL 탐지 기법 | DBpia

해당 블로그는 위 논문을 분석/정리한 내용을 담고 있습니다

---

1. 서론

악성코드를 사용자의 PC에 감염시킬 수 있는 사이트 - 악성코드 은닉사이트 or 악성 URL

악성 URL 통한 공격은 사용자가 웹 사이트에 방문 or 이메일 확인할 때 발생

악성코드를 직접 유포하는 유포지(Distribution Site)와 유포지로 연결하는 악성 스크립트가 삽입된 경유지(Landing Site)가 증가하는 추세. 

 

악성코드 은닉 여부 확인하기 위한 여러 연구가 진행되고 있으나 현재의 방식인 '정적 분석 기법'은 모델 탐지율 낮고 탐지 대상이 난독화된 경우엔 탐지 시간이 오래 걸림. 

→ 본 논문에서는 머신러닝 기반의 탐지 기법을 제안. (특징 선택 알고리즘을 사용해 악성 코드를 효과적으로 분류하고 가중 유클리드 거리를 활용해 사전처리 후 난독화 요소 제거하는 3단계 과정 거쳐 탈독화를 진행)

 

2. 관련 연구

악성 URL 탐지 관련 대다수의 연구는 주로 정적 분석(프로그램 실행하지 않고 악성코드 식별하는 방법) 수행해 악성코드의 특징을 파악함. 

 

블랙리스트 기반 악성 URL 분석 엔진에 대한 선행 연구 분석 내용:

• PhishNet
  
  • 피싱을 방지하기 위한 시스템.
  • 다양한 악성 URL로부터 특징 추출하여 블랙리스트의 항목과 비슷한 요소끼리 분류하고, 사용자가 접속한 URL에서 악성 URL 특징 보일 시 즉시 차단
• AutoBLG
  
  • 분석할 URL 줄이면서 웹페이지 검색 공간 확대하는 탐지 방법. 

→ 블랙리스트 기반 탐지 기법은 미리 목록화한 정보만을 차단하기 때문에 난독화된 URL 탐지하기 어렵고 신종, 변종에 대한 대응이 어려움. 수동 업데이트해야 하므로 탐지 기준과 방식에 따라 정확성 달라지는 문제가 존재. 

 

머신러닝 모델 기반 악성 URL 탐지 기법 분석 내용:

• BigSpa
  • 데이터 병렬 알고리즘 사용해 악성 실행 파일을 정적으로 탐지하는 머신러닝 모델. 
  • 각 절차마다 정적 분석 엔진을 통해 호출 그래프(악성 코드를 그룹화하여 정석 분석을 수행한 함수)를 도출
• HomeDroid
  • 정적 기반 함수 호출 그래프를 추출하고, 그래프 간 동질성 분석하여 은닉된 악성코드 탐지
  • 5개의 모델 조합하여 악성 코드의 특징 벡터를 추출

→ 선행 연구에서는 악성 URL 탐지하고 예측하기 위한 다양한 머신러닝 알고리즘 제안하지만, 다중 머신러닝 알고리즘의 효율성 최적화하지 못하고 있음.

 

3. 머신러닝 기반의 악성 URL 탐지 기법

악성 URL 탐지 프레임워크 구조도

1단계. 계층 검출(Layer Detection)

• 수집 단계로, 악성 URL 유사도 기반 분류 통해 난독화 흔적을 찾음
• 효율적 난독화 요소 수집 위해서는 최적의 Native API 시퀀스 통해 악성코드 분류해야 함. 

2단계. 사전처리(Preprocessing)

• 탐지 단계로, PE(Portable Executable) 헤더, 동적, 정적 정보를 바탕으로 감지한 패턴 통해 구문 오류를 검사하고 악성 여부 판단
• PE 파일에 난독화 이루어지는 시점에서 생성되는 헤더 파일의 특징 값으로 정상 파일-악성 파일 구분

• 특징벡터 평균치의 가중 유클리드 거리는 위와 같음

3단계. 난독화 제거(Remove Obfuscation)

• base64를 디코딩하고, cmdlet을 재정의하며, 정규식 사용함으로써 난독화 요소들을 제거
• 은닉된 난독화 기술과 악성 URL 및 도메인 흔적 알아내기 위한 단계.
• "-enc", "-Enc", "-EncodedCommand"와 같은 옵션 사용해 base64로 인코딩된 난독화의 경우 인코딩한 스크립트를 디코딩 모듈 통해 디코딩함으로써 일반 스크립트 가져옴. 

4단계. 코드 실행(Script Execution)

• 실행 단계로, 결과 기반으로 스크립트 작동

 

4. 평가 환경 및 방법

Windows XP 운영 체제 및 Program Files 디렉토리에서 946개의 양성 소프트웨어 샘플을 수집.