KR101645412B1

KR101645412B1 - 악성파일진단장치 및 악성파일진단장치의 진단 방법

Info

Publication number: KR101645412B1
Application number: KR1020140064646A
Authority: KR
Inventors: 김락현
Original assignee: 주식회사 안랩
Priority date: 2014-05-28
Filing date: 2014-05-28
Publication date: 2016-08-04
Also published as: KR20150136919A

Abstract

본 발명의 실시예들은 클라이언트단말에서 악성파일을 진단하기 위한 기술 분야에 관한 것으로, 보다 구체적으로는 실행파일 형태 및 압축파일 형태를 모두 갖는 컨테이너-PE 파일의 특징을 이용해서 컨테이너-PE 파일을 압축 해제하지 않고도 악성파일 여부를 진단함으로써, 컨테이너-PE 파일에 대해 빠르고 효율적인 진단을 가능하게 하는 기술에 대한 것이다.

Description

악성파일진단장치 및 악성파일진단장치의 진단 방법{MALICIOUS FILE DIAGNOSIS DEVICE AND CONTROL METHOD THEREOF}

본 발명의 실시예들은 클라이언트단말에서 악성파일을 진단하기 위한 기술 분야에 관한 것으로, 보다 구체적으로는 실행파일 형태 및 압축파일 형태를 모두 갖는 컨테이너-PE 파일의 특징을 이용해서 컨테이너-PE 파일을 압축 해제하지 않고도 악성파일 여부를 진단함으로써, 컨테이너-PE 파일에 대해 빠르고 효율적인 진단을 가능하게 하는 기술들과 관련된다.

악성코드의 종류 및 개수는 폭증하고 있으며, 시간이 지날수록 점점 더 지능화 되어 가고 있으며, 이러한 악성코드에 의해 감염된 또는 악성코드 배포에 이용되는 파일(이하, 악성파일)은, 실행파일 형태인 PE(Portable Executable) 파일이 주를 이루고 있다.

한편, 가장 많은 악성파일이 존재하고 있는 PE 파일의 경우는, SFX류, Installer류 등 컨테이너(Container) 파일의 형태가 지속적으로 늘어나고 있으며 이는 압축파일의 형태를 지닌다.

이와 같이, PE 파일 즉 실행파일의 형태 및 컨테이너 파일 즉 압축파일의 형태를 모두 갖는 컨테이너-PE 파일은, 실행파일의 특징 및 압축파일의 특징을 모두 포함하고 있으며 하나 이상의 압축된 원본파일을 포함하고 있다.

이에, 많은 악성파일들이 설치 배포를 용이하게 하기 위해 컨테이너-PE 파일을 채용하고 있으며, 기존의 악성코드 진단/치료 장치에서는 이러한 악성파일을 진단해 내기 위해 컨테이너-PE 파일 내 압축된 내부 파일을 모두 압축 해제한 후 진단을 시도하게 되고 따라서 진단에 많은 시간을 소비하게 된다.

따라서, 본 발명에서는, 실행파일 형태 및 압축파일 형태를 모두 갖는 컨테이너-PE 파일의 특징을 이용해서 컨테이너-PE 파일을 압축 해제하지 않고도 악성파일 여부를 진단할 수 있는 특화된 컨테이너-PE 파일 진단 기법을 제안하고자 한다.

본 발명의 실시예들은, 실행파일 형태 및 압축파일 형태를 모두 갖는 컨테이너-PE 파일의 특징을 이용해서 컨테이너-PE 파일을 압축 해제하지 않고도 악성파일 여부를 진단함으로써, 컨테이너-PE 파일에 대해 빠르고 효율적인 진단을 가능하게 하는 기술 방안을 제안할 수 있다.

상기 목적을 달성하기 위한 본 발명의 제 1 관점에 따른 악성파일진단장치의 진단 방법은, 실행파일 형태 및 압축파일 형태를 갖는 특정 진단대상파일을 확인하는 진단대상확인단계; 상기 특정 진단대상파일의 압축 해제 시 행위와 관련된 핵심진단정보를, 상기 특정 진단대상파일 내 상기 압축파일 형태의 스트림(Stream)으로부터 추출하는 핵심진단정보추출단계; 및 상기 추출한 핵심진단정보를 기초로, 상기 특정 진단대상파일이 악성파일인지 여부를 진단하는 파일진단단계를 포함한다.

상기 목적을 달성하기 위한 본 발명의 제 2 관점에 따른 악성파일진단장치는, 실행파일 형태 및 압축파일 형태를 갖는 특정 진단대상파일을 확인하는 진단대상확인부; 상기 특정 진단대상파일의 압축 해제 시 행위와 관련된 핵심진단정보를, 상기 특정 진단대상파일 내 상기 압축파일 형태의 스트림(Stream)으로부터 추출하는 핵심진단정보추출부; 및 상기 추출한 핵심진단정보를 기초로, 상기 특정 진단대상파일이 악성파일인지 여부를 진단하는 파일진단부를 포함한다.

본 발명의 실시예들은, 실행파일 형태 및 압축파일 형태를 모두 갖는 컨테이너-PE 파일의 특징을 이용해서 컨테이너-PE 파일을 압축 해제하지 않고도 악성파일 여부를 진단할 수 있는 특화된 컨테이너-PE 파일 진단 기법을 제공함으로써, 컨테이너-PE 파일에 대해 빠르고 효율적인 진단을 가능하게 하는 효과를 도출할 수 있다.

도 1은 본 발명의 바람직한 실시예에 따른 악성파일진단장치가 포함된 진단 시스템의 구성을 보여주는 예시도이다.
도 2는 본 발명의 바람직한 실시예에 따른 악성파일진단장치의 구성을 보여주는 예시도이다.
도 3은 본 발명에서 진단대상으로 하는 컨테이너-PE 파일을 보여주는 예시도이다.
도 4는 본 발명의 바람직한 실시예에 따른 악성파일진단장치의 동작 방법을 보여주는 흐름도이다.

본 발명은 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다. 각 도면을 설명하면서 유사한 참조부호를 유사한 구성요소에 대해 사용하였다.

어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다.

본 출원에서 사용한 용어는 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 출원에서, "포함하다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.

다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가지고 있다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥 상 가지는 의미와 일치하는 의미를 가지는 것으로 해석되어야 하며, 본 출원에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.

이하, 첨부된 도면을 참조하여 본 발명의 바람직한 실시예에 대하여 설명한다.

먼저, 도 1을 참조하여 본 발명을 설명하면 다음과 같다.

여기서, 도 1은 본 발명의 바람직한 실시예에 따른 악성파일진단장치(100)가 포함된 진단 시스템의 예로서 보여주고 있다.

예를 들면, 악성파일진단장치(100)는, 악성파일 진단을 위한 엔진 형태 또는 어플리케이션 형태로 클라이언트단말(200)에 설치됨으로써, 클라이언트단말(200) 내에 포함될 수 있다.

물론, 이외에도 본 발명의 바람직한 실시예에 따른 악성파일진단장치(100)는, 클라이언트단말 외부의 서버(미도시) 내에 포함되는 구성일 수도 있다.

이 경우라면 악성파일진단장치(100)는, 다수의 클라이언트단말 각각에 대해 클라우드 기반으로 후술할 악성파일 진단 과정을 수행할 수 있다.

이하에서는, 설명의 편의를 위해, 도 1과 같이 본 발명의 바람직한 실시예에 따른 악성파일진단장치(100)가 클라이언트단말(200) 내에 포함되는 구성으로 설명하도록 하겠다.

클라이언트단말(200)은, 다양한 형태의 파일이 저장 및 설치되는 파일시스템(미도시)을 포함하고 있다.

이러한 클라이언트단말(200)에서, 만약 악성코드에 의해 감염된 또는 악성코드 배포에 이용되는 파일(이하, 악성파일)을 파일시스템(미도시) 내에 저장 및 설치한다면, 클라이언트단말(200)은 파일을 통해 배포된 악성코드에 의한 악성 행위를 피하기 어려울 것이다.

한편, 최근에는 많은 악성파일들이 설치 배포를 용이하게 하기 위해, 실행파일 형태 및 압축파일 형태를 모두 갖는 컨테이너-PE 파일을 채용하는 추세이다.

헌데, 기존의 악성코드 진단/치료 장치에서는, 이러한 컨테이너-PE 파일을 채용한 악성파일을 진단해 내기 위해, 컨테이너-PE 파일 내 압축된 내부 파일을 모두 압축 해제한 후 진단을 시도하게 되고 따라서 진단에 많은 시간을 소비하게 된다.

이에, 본 발명에서는, 컨테이너-PE 파일을 압축 해제하지 않고도 악성파일 여부를 진단해낼 수 있는 특화된 컨테이너-PE 파일 진단 기법을 제안하고자 하며, 보다 구체적으로는 특화된 컨테이너-PE 파일 진단 기법을 실현할 수 있는 악성파일진단장치(100)를 제안한다.

이하에서는, 도 2를 참조하여 본 발명의 일 실시예에 따른 악성파일진단장치를 보다 구체적으로 설명하도록 한다.

도 2에 도시된 바와 같이, 본 발명의 악성파일진단장치(100)는, 실행파일 형태 및 압축파일 형태를 갖는 특정 진단대상파일을 확인하는 진단대상확인부(110)와, 상기 특정 진단대상파일의 압축 해제 시 행위와 관련된 핵심진단정보를, 상기 특정 진단대상파일 내 상기 압축파일 형태의 스트림(Stream)으로부터 추출하는 핵심진단정보추출부(120)와, 상기 추출한 핵심진단정보를 기초로, 상기 특정 진단대상파일이 악성파일인지 여부를 진단하는 파일진단부(130)를 포함한다.

진단대상확인부(110)는, 실행파일 형태 및 압축파일 형태를 갖는 특정 진단대상파일을 확인한다.

이때, 특정 진단대상파일은, 실행파일 형태의 PE(Portable Executable) 스트림 및 압축파일 형태의 컨테이너(Container) 스트림을 포함하는 컨테이너-PE 파일인 것이 바람직하다.

이러한 컨테이너-PE 파일은, 도 3에 도시된 바와 같은 구조로, 실행파일 형태의 스트림 즉 PE 스트림과, 압축파일 형태의 스트림 즉 컨테이너 스트림을 포함하여 구성될 수 있다. 여기서, 컨테이너 스트림에는, 하나 이상의 압축된 원본파일이 포함되어 있다.

이하에서는, 설명의 편의를 위해 특정 진단대상파일 및 컨테이너-PE 파일을 혼용하여 설명하도록 하겠다.

이에 보다 구체적으로 설명하면, 진단대상확인부(110)는, 클라이언트단말(200)의 파일시스템(미도시) 내 저장된 후보 진단대상파일들 중에서, 본 발명의 특화된 컨테이너-PE 파일 진단 기법에 따라 진단할 수 있는 특정 진단대상파일 다시 말해 컨테이너-PE 파일을 확인(인식)해내는 것이다.

예를 들면, 본 발명의 악성파일진단장치(100)에서는, 주기적으로 또는 기 설정된 특정 이벤트(예 : 파일 실행, 파일 복사 등) 발생 시, 이와 관련하여 지정된 파일명의 파일들 또는 지정된 저장위치의 파일들에 대하여 악성파일 진단 과정 즉 본 발명의 특화된 컨테이너-PE 파일 진단 기법을 수행할 수 있다.

이때, 지정된 파일명의 파일 또는 지정된 저장위치의 파일을 후보 진단대상파일로 언급하여 설명하면, 본 발명의 악성파일진단장치(100)에서는 후보 진단대상파일이 본 발명의 특화된 컨테이너-PE 파일 진단 기법으로 진단할 수 있는 특정 진단대상파일 다시 말해 컨테이너-PE 파일인지를 확인해야 한다.

이에, 진단대상확인부(110)는, 후보 진단대상파일이 실행파일 형태를 갖는지 여부를 먼저 확인하고, 실행파일 형태를 갖는 것으로 확인되면 이후 후보 진단대상파일이 압축파일 형태를 갖는지 여부를 확인함으로써, 후보 진단대상파일이 실행파일 형태 및 압축파일 형태를 모두 갖는다고 확인되는 경우 후보 진단대상파일을 특정 진단대상파일 즉 컨테이너-PE 파일인 것으로 확인할 수 있다.

여기서, 진단대상확인부(110)는, 후보 진단대상파일에 포함된 파일포맷정보에 기초하여, 후보 진단대상파일이 실행파일 형태를 갖는지 여부 즉 PE 파일(예 : PE32, PE64 등)인지 여부를 확인할 수 있다.

한편, 진단대상확인부(110)에서 후보 진단대상파일이 압축파일 형태를 갖는지 여부를 확인하는 방식으로는, 다음의 3가지 방식이 가능할 것이다.

이때, 후보 진단대상파일이 압축파일 형태를 갖는지 여부를 확인하는 과정에 앞서, 전술과 같이 후보 진단대상파일이 PE 파일인 것으로 확인된 상태이다.

이에 한가지 방식을 설명하면, 진단대상확인부(110)는, 후보 진단대상파일 내 실행파일 형태의 스트림에서 즉 PE 스트림에서, 특정 진단대상파일과 관련하여 지정된 바이너리 패턴을 기초로 후보 진단대상파일이 압축파일 형태를 갖는지 여부를 확인할 수 있다.

즉, 진단대상확인부(110)는, 특정 진단대상파일 즉 컨테이너-PE 파일과 관련하여 지정된 바이너리 패턴을 기 보유하고, 후보 진단대상파일 내 PE 스트림의 실행코드 시작지점부터 실행코드 종료지점에서 컨테이너-PE 파일과 관련하여 지정된 바이너리 패턴이 있는지 확인하여, 해당 바이너리 패턴이 있으면 후보 진단대상파일이 압축파일 형태를 갖는 특정 진단대상파일 즉 컨테이너-PE 파일인 것으로 확인할 수 있다.

다른 한가지 방식을 설명하면, 진단대상확인부(110)는, 후보 진단대상파일 내 실행파일 형태의 스트림에서 즉 PE 스트림에서, 특정 진단대상파일과 관련하여 작성된 스크립트를 기초로 후보 진단대상파일이 압축파일 형태를 갖는지 여부를 확인할 수 있다.

즉, 진단대상확인부(110)는, 특정 진단대상파일 즉 컨테이너-PE 파일과 관련하여 분석가에 의해 작성된 스크립트를 기 보유하고, 후보 진단대상파일 내 PE 스트림에서 컨테이너-PE 파일과 관련하여 작성된 스크립트에 따라 위치를 이동하며 스트링 및 해쉬값을 비교하여, 비교 결과가 해당 스크립트의 로직 결과와 일치되면 후보 진단대상파일이 압축파일 형태를 갖는 특정 진단대상파일 즉 컨테이너-PE 파일인 것으로 확인할 수 있다.

나머지 한가지 방식을 설명하면, 진단대상확인부(110)는, 후보 진단대상파일 내 실행파일 형태의 스트림에서 즉 PE 스트림에서, 특정 진단대상파일과 관련하여 작성된 컴파일 가능 형식의 코드를 기초로 후보 진단대상파일이 압축파일 형태를 갖는지 여부를 확인할 수 있다.

즉, 진단대상확인부(110)는, 특정 진단대상파일 즉 컨테이너-PE 파일과 관련하여 분석가에 의해 작성된 컴파일 가능 형식의 코드를 기 보유하고, 후보 진단대상파일 내 PE 스트림에서 컨테이너-PE 파일과 관련하여 작성된 코드를 컴파일한 후 해당 코드에 따라 위치를 이동하며 스트링 및 해쉬값을 비교하여, 비교 결과가 컴파일한 해당 코드의 로직 결과와 일치되면 후보 진단대상파일이 압축파일 형태를 갖는 특정 진단대상파일 즉 컨테이너-PE 파일인 것으로 확인할 수 있다.

핵심진단정보추출부(120)는, 특정 진단대상파일 즉 진단대상확인부(110)에서 컨테이너-PE 파일인 것으로 확인된 특정 진단대상파일로부터, 핵심진단정보를 추출한다.

즉, 핵심진단정보추출부(120)는, 특정 진단대상파일 즉 컨테이너-PE 파일 내 압축파일 형태의 스트림 즉 컨테이너 스트림으로부터, 본 발명의 특화된 컨테이너-PE 파일 진단 기법을 위한 핵심진단정보를 추출한다.

이때, 추출한 핵심진단정보는, 컨테이너 스트림의 헤더(Header)로부터 추출되는 정보인 것이 바람직하다.

다시 말해, 핵심진단정보추출부(120)는, 특정 진단대상파일 즉 컨테이너-PE 파일 내 컨테이너 스트림의 헤더로부터, 본 발명의 특화된 컨테이너-PE 파일 진단 기법을 위한 핵심진단정보를 추출하는 것이다.

여기서, 특정 진단대상파일에서 추출한 핵심진단정보는, 특정 진단대상파일 즉 컨테이너-PE 파일에 특정 압축알고리즘이 적용되었는지 여부 또는 컨테이너-PE 파일에 적용된 압축알고리즘의 종류에 따라서 외형적으로 변경되지 않는 정보이다.

도 3에 도시된 바와 같이, 컨테이너-PE 파일은, PE 스트림과, 컨테이너 스트림을 포함하여 구성되며, 컨테이너-PE 파일의 맨 앞부분에는 PE 스트림의 헤더가 있고, PE 스트림의 맨 끝부분을 시작으로 컨테이너 스트림의 맨 앞부분에는 컨테이너 스트림의 헤더가 있다.

여기서, PE 스트림의 헤더는, 컨테이너-PE 파일 내부적으로 같은 동작을 하는 파일이더라도, 컨테이너-PE 파일에 특정 압축알고리즘이 적용되었는지 여부에 따라 헤더 내 정보들이 변경될 수 있고, 컨테이너-PE 파일에 적용된 압축알고리즘의 종류(예 : RAR, CAB 등)에 따라서 역시 헤더 내 정보들이 변경될 수 있기 때문에, PE 스트림의 헤더 내 정보는 외형적으로 변경되는 정보라고 볼 수 있다.

따라서, PE 스트림의 헤더 정보를 이용해서 컨테이너-PE 파일이 악성파일인지 여부를 진단하는 경우라면, 컨테이너-PE 파일에 특정 압축알고리즘이 적용되었는지 여부 또는 컨테이너-PE 파일에 적용된 압축알고리즘의 종류(예 : RAR, CAB 등)에 따라서 외형적으로 다른 파일로 보이기 때문에, 컨테이너-PE 파일을 채용한 동일한 악성파일에 대해서 압축알고리즘 별로 여러 개의 악성진단시그니처(예 : DNA Rule, DNA Crc 등)를 사용해야만 하고, 결국 진단 시간도 길어질 것이다.

하지만, 컨테이너 스트림의 헤더는, 컨테이너-PE 파일에 특정 압축알고리즘이 적용되었는지 여부 또는 컨테이너-PE 파일에 적용된 압축알고리즘의 종류(예 : RAR, CAB 등)에 따라서, 헤더 내 정보들이 변경되지 않기 때문에, 컨테이너 스트림의 헤더 내 정보는 외형적으로 변경되지 않는 정보라고 볼 수 있다.

따라서, 컨테이너 스트림의 헤더 정보를 이용해서 컨테이너-PE 파일이 악성파일인지 여부를 진단하는 본 발명의 특화된 컨테이너-PE 파일 진단 기법의 경우는, 컨테이너-PE 파일에 특정 압축알고리즘이 적용되었는지 여부 또는 컨테이너-PE 파일에 적용된 압축알고리즘의 종류(예 : RAR, CAB 등)로부터 자유로울 수 있기 때문에, 컨테이너-PE 파일을 채용한 동일한 악성파일에 대해서 압축알고리즘과 무관하게 단일 개의 악성진단시그니처 만을 사용할 수 있고, 결국 진단 시간도 단축될 것이다.

이처럼, 컨테이너 스트림의 헤더로부터 추출되는 핵심진단정보는, 특정 진단대상파일 즉 컨테이너-PE 파일의 압축 해제 시 행위와 관련된 정보로서, 예컨대 PE 스트림의 실행코드에 의해서 컨테이너-PE 파일의 압축된 내부 파일 즉 컨테이너 스트림 내 압축된 파일들이 압축 해제 될 때의 동작 특징정보, 각 원본파일의 해쉬값, 컨테이너-PE 파일의 버전정보 등을 포함할 수 있다.

파일진단부(130)는, 핵심진단정보추출부(120)에서 추출한 핵심진단정보를 기초로, 특정 진단대상파일이 악성파일인지 여부를 진단한다.

구체적으로 설명하면, 파일진단부(130)는, 각 악성파일 별 악성진단시그니처를 기 보유할 수 있으며, 이는 도 1에 도시된 악성코드대응서버(200)에 의해서 배포되는 정보일 수 있다.

악성코드대응서버(200)에서는, 다수의 클라이언트단말로부터 수집한 또는 획득한 악성파일 정보들을 이용하여, 지속적으로 각 악성파일 별 악성진단시그니처를 생성 및 업데이트하여 관리할 수 있다.

이러한 악성코드대응서버(200)는, 본 발명의 악성파일진단장치와 동일한 로직을 내장하고, 이를 각 악성파일 별 악성진단시그니처를 생성 및 업데이트 과정에 활용하는 것도 가능할 것이다.

이때, 각 악성파일 별 악성진단시그니처는, 각 악성파일 별로, 악성파일에 특정 압축알고리즘이 적용되었는지 여부 또는 악성파일에 적용된 압축알고리즘의 종류와 무관하게 추출(생성)된 단일 개의 악성진단시그니처를 포함한다.

다시 말해, 전술한 바와 같이 본 발명의 특화된 컨테이너-PE 파일 진단 기법의 경우는, 컨테이너-PE 파일 내 컨테이너 스트림의 헤더로부터 추출한 핵심진단정보를 이용하기 때문에, 컨테이너-PE 파일을 채용한 동일한 악성파일에 대해서 압축알고리즘과 무관하게 단일 개의 악성진단시그니처 만을 사용할 수 있는 환경이 전제될 수 있다.

따라서, 악성코드대응서버(200)는, 각 악성파일 별로 악성파일에 특정 압축알고리즘이 적용되었는지 여부 또는 악성파일에 적용된 압축알고리즘의 종류와 무관하게 추출(생성)된 단일 개의 악성진단시그니처를 포함하는, 최신의 각 악성파일 별 악성진단시그니처를 각 클라이언트단말로 배포할 수 있다.

이에, 파일진단부(130)는, 핵심진단정보추출부(120)에서 추출한 핵심진단정보를 기 보유한 각 악성파일 별 악성진단시그니처와 비교하여, 추출한 핵심진단정보와 대응되는 악성진단시그니처가 있는 경우 금번 진단하고 있는 특정 진단대상파일 즉 컨테이너-PE 파일이 검색된 악성진단시그니처와 관련된 악성파일인 것으로 진단할 수 있다.

물론, 파일진단부(130)는, 핵심진단정보추출부(120)에서 추출한 핵심진단정보를 기 보유한 각 악성파일 별 악성진단시그니처와 비교하여, 추출한 핵심진단정보와 대응되는 악성진단시그니처가 없는 경우, 금번 진단하고 있는 특정 진단대상파일 즉 컨테이너-PE 파일이 악성파일이 아닌 것으로 진단할 것이다.

이상에서 설명한 바와 같이, 본 발명에 따른 악성파일진단장치는, 실행파일 형태 및 압축파일 형태를 모두 갖는 컨테이너-PE 파일의 특징, 즉 컨테이너 스트림의 헤더에 컨테이너-PE 파일의 압축 해제 시 행위와 관련되며 압축알고리즘과 무관하게 외형적 변경이 없는 핵심진단정보가 존재하는 점을 이용하여, 컨테이너 스트림의 헤더로부터 핵심진단정보를 추출하고 이를 이용하여 컨테이너-PE 파일이 악성파일인지 여부를 진단하는 특화된 컨테이너-PE 파일 진단 기법을 제안/실현하고 있다.

따라서, 본 발명에 따른 악성파일진단장치는, 컨테이너-PE 파일을 압축 해제하지 않고도 악성파일 여부를 진단하기 때문에, 기존에 컨테이너-PE 파일 내 압축된 내부 파일 즉 컨테이너 스트림 내 압축된 파일들을 모두 압축 해제한 후 진단함에 따라 진단 시간이 길어지는 문제점을 해결하고, 더 나아가 압축알고리즘에 따라서 외형적으로 변경되지 않는 정보를 이용하기 때문에, 여러 개의 악성진단 시그니처를 사용할 필요 없이 단일 개만을 사용할 수 있어 진단 시간을 더욱 단축시킬 수 있고 시그니처 관리 및 운영의 효율 증대 효과까지 기대할 수 있다.

이하에서는, 도 4를 참조하여 본 발명의 바람직한 실시예에 따른 악성파일진단장치의 동작 방법을 보다 구체적으로 설명하도록 한다. 여기서, 설명의 편의를 위해 전술한 도 1 내지 도 3에 도시된 구성은 해당 참조번호를 언급하여 설명하겠다.

본 발명에 따른 악성파일진단장치(100)의 동작 방법은, 주기적으로 또는 기 설정된 특정 이벤트(예 : 파일 실행, 파일 복사 등) 발생 시, 이와 관련하여 지정된 파일명의 파일들 또는 지정된 저장위치의 파일 즉 후보 진단대상파일을 확인한다(S100).

이후, 본 발명에 따른 악성파일진단장치(100)의 동작 방법은, 후보 진단대상파일이 본 발명의 특화된 컨테이너-PE 파일 진단 기법으로 진단할 수 있는 특정 진단대상파일 다시 말해 컨테이너-PE 파일인지를 확인한다.

구체적으로는, 본 발명에 따른 악성파일진단장치(100)의 동작 방법은, 후보 진단대상파일이 실행파일 형태를 갖는지 즉 PE 포맷을 갖는지 여부를 먼저 확인한다(S110).

본 발명에 따른 악성파일진단장치(100)의 동작 방법은, 후보 진단대상파일이 실행파일 형태를 갖는 것으로 확인되면(S110 Yes), 이후 후보 진단대상파일이 압축파일 형태를 갖는지 즉 컨테이너 포맷을 갖는지 여부를 확인한다(S120).

여기서, S120단계에서 후보 진단대상파일이 압축파일 형태를 갖는지 여부를 확인하는 방식으로는, 다음의 3가지 방식이 가능할 것이다.

이에 한가지 방식을 설명하면, 본 발명에 따른 악성파일진단장치(100)의 동작 방법은, 후보 진단대상파일 내 실행파일 형태의 스트림에서 즉 PE 스트림에서, 특정 진단대상파일과 관련하여 지정된 바이너리 패턴을 기초로 후보 진단대상파일이 압축파일 형태를 갖는지 여부를 확인할 수 있다.

즉, 본 발명에 따른 악성파일진단장치(100)의 동작 방법은, 특정 진단대상파일 즉 컨테이너-PE 파일과 관련하여 지정된 바이너리 패턴을 기 보유하고, 후보 진단대상파일 내 PE 스트림의 실행코드 시작지점부터 실행코드 종료지점에서 컨테이너-PE 파일과 관련하여 지정된 바이너리 패턴이 있는지 확인하여, 해당 바이너리 패턴이 있으면 후보 진단대상파일이 압축파일 형태를 갖는 특정 진단대상파일 즉 컨테이너-PE 파일인 것으로 확인할 수 있다.

다른 한가지 방식을 설명하면, 본 발명에 따른 악성파일진단장치(100)의 동작 방법은, 후보 진단대상파일 내 실행파일 형태의 스트림에서 즉 PE 스트림에서, 특정 진단대상파일과 관련하여 작성된 스크립트를 기초로 후보 진단대상파일이 압축파일 형태를 갖는지 여부를 확인할 수 있다.

즉, 본 발명에 따른 악성파일진단장치(100)의 동작 방법은, 특정 진단대상파일 즉 컨테이너-PE 파일과 관련하여 분석가에 의해 작성된 스크립트를 기 보유하고, 후보 진단대상파일 내 PE 스트림에서 컨테이너-PE 파일과 관련하여 작성된 스크립트에 따라 위치를 이동하며 스트링 및 해쉬값을 비교하여, 비교 결과가 해당 스크립트의 로직 결과와 일치되면 후보 진단대상파일이 압축파일 형태를 갖는 특정 진단대상파일 즉 컨테이너-PE 파일인 것으로 확인할 수 있다.

나머지 한가지 방식을 설명하면, 본 발명에 따른 악성파일진단장치(100)의 동작 방법은, 후보 진단대상파일 내 실행파일 형태의 스트림에서 즉 PE 스트림에서, 특정 진단대상파일과 관련하여 작성된 컴파일 가능 형식의 코드를 기초로 후보 진단대상파일이 압축파일 형태를 갖는지 여부를 확인할 수 있다.

즉, 본 발명에 따른 악성파일진단장치(100)의 동작 방법은, 특정 진단대상파일 즉 컨테이너-PE 파일과 관련하여 분석가에 의해 작성된 컴파일 가능 형식의 코드를 기 보유하고, 후보 진단대상파일 내 PE 스트림에서 컨테이너-PE 파일과 관련하여 작성된 코드를 컴파일한 후 해당 코드에 따라 위치를 이동하며 스트링 및 해쉬값을 비교하여, 비교 결과가 컴파일한 해당 코드의 로직 결과와 일치되면 후보 진단대상파일이 압축파일 형태를 갖는 특정 진단대상파일 즉 컨테이너-PE 파일인 것으로 확인할 수 있다.

이에, 본 발명에 따른 악성파일진단장치(100)의 동작 방법은, 후보 진단대상파일이 압축파일 형태를 갖는 것으로 확인되면(S120 Yes), 후보 진단대상파일이 실행파일 형태 및 압축파일 형태를 모두 갖는 특정 진단대상파일 즉 컨테이너-PE 파일인 것으로 확인할 수 있다(S130).

본 발명에 따른 악성파일진단장치(100)의 동작 방법은, 특정 진단대상파일 즉 컨테이너-PE 파일 내 컨테이너 스트림의 헤더로부터, 본 발명의 특화된 컨테이너-PE 파일 진단 기법을 위한 핵심진단정보를 추출한다(S140).

본 발명에 따른 악성파일진단장치(100)의 동작 방법은, S140단계에서 추출한 핵심진단정보를 기초로, 특정 진단대상파일이 악성파일인지 여부를 진단한다.

구체적으로 설명하면, 본 발명에 따른 악성파일진단장치(100)의 동작 방법은, 각 악성파일 별 악성진단시그니처를 기 보유할 수 있으며, 이는 도 1에 도시된 악성코드대응서버(200)에 의해서 배포되는 정보일 수 있다.

본 발명에 따른 악성파일진단장치(100)의 동작 방법은, S140단계에서 추출한 핵심진단정보를 기 보유한 각 악성파일 별 악성진단시그니처와 비교한다(S150).

본 발명에 따른 악성파일진단장치(100)의 동작 방법은, S150단계의 비교 결과, S140단계에서 추출한 핵심진단정보와 대응되는 악성진단시그니처가 있는지 여부를 판단하고(S160), 대응 악성진단시그니처가 있으면(S160 Yes) 금번 진단하고 있는 특정 진단대상파일 즉 컨테이너-PE 파일이 검색된 악성진단시그니처와 관련된 악성파일인 것으로 진단할 수 있다(S170).

한편, 본 발명에 따른 악성파일진단장치(100)의 동작 방법은, 대응 악성진단시그니처가 없으면(S160 No) 금번 진단하고 있는 특정 진단대상파일 즉 컨테이너-PE 파일이 악성파일이 아닌 것으로 진단할 것이다(S180).

이상에서 설명한 바와 같이, 본 발명에 따른 악성파일진단장치의 동작 방법은, 실행파일 형태 및 압축파일 형태를 모두 갖는 컨테이너-PE 파일의 특징, 즉 컨테이너 스트림의 헤더에 컨테이너-PE 파일의 압축 해제 시 행위와 관련되며 압축알고리즘과 무관하게 외형적 변경이 없는 핵심진단정보가 존재하는 점을 이용하여, 컨테이너 스트림의 헤더로부터 핵심진단정보를 추출하고 이를 이용하여 컨테이너-PE 파일이 악성파일인지 여부를 진단하는 특화된 컨테이너-PE 파일 진단 기법을 제안/실현하고 있다.

따라서, 본 발명에 따른 악성파일진단장치의 동작 방법은, 컨테이너-PE 파일을 압축 해제하지 않고도 악성파일 여부를 진단하기 때문에, 기존에 컨테이너-PE 파일 내 압축된 내부 파일 즉 컨테이너 스트림 내 압축된 파일들을 모두 압축 해제한 후 진단함에 따라 진단 시간이 길어지는 문제점을 해결하고, 더 나아가 압축알고리즘에 따라서 외형적으로 변경되지 않는 정보를 이용하기 때문에, 여러 개의 악성진단 시그니처를 사용할 필요 없이 단일 개만을 사용할 수 있어 진단 시간을 더욱 단축시킬 수 있고 시그니처 관리 및 운영의 효율 증대 효과까지 기대할 수 있다.

이처럼, 본 발명에 따른 악성파일진단장치 및 악성파일진단장치의 동작 방법은, 실행파일 형태 및 압축파일 형태를 모두 갖는 컨테이너-PE 파일의 특징을 이용해서 컨테이너-PE 파일을 압축 해제하지 않고도 악성파일 여부를 진단할 수 있는 특화된 컨테이너-PE 파일 진단 기법을 제공함으로써, 컨테이너-PE 파일에 대해 빠르고 효율적인 진단을 가능하게 하는 효과를 도출한다.

본 발명의 일실시예에 따른 악성파일진단장치의 동작 방법은, 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 매체에 기록되는 프로그램 명령은 본 발명을 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다. 상기된 하드웨어 장치는 본 발명의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.

이상과 같이 본 발명에서는 구체적인 구성 요소 등과 같은 특정 사항들과 한정된 실시예 및 도면에 의해 설명되었으나 이는 본 발명의 보다 전반적인 이해를 돕기 위해서 제공된 것일 뿐, 본 발명은 상기의 실시예에 한정되는 것은 아니며, 본 발명이 속하는 분야에서 통상적인 지식을 가진 자라면 이러한 기재로부터 다양한 수정 및 변형이 가능하다.

따라서, 본 발명의 사상은 설명된 실시예에 국한되어 정해져서는 아니되며, 후술하는 특허청구범위뿐 아니라 이 특허청구범위와 균등하거나 등가적 변형이 있는 모든 것들은 본 발명 사상의 범주에 속한다고 할 것이다.

100 : 악성파일진단장치
200 : 클라이언트단말
300 : 악성코드대응서버

Claims

실행파일 형태 및 압축파일 형태를 갖는 특정 진단대상파일을 확인하는 진단대상확인단계;
상기 특정 진단대상파일 내 상기 압축파일 형태의 스트림(Stream)으로부터, 상기 특정 진단대상파일에 적용된 압축알고리즘의 종류와 무관하게 외형적 변경이 없고 상기 특정 진단대상파일의 압축 해제 시 행위와 관련되는 핵심진단정보를 추출하는 핵심진단정보추출단계; 및
상기 추출한 핵심진단정보를 기초로, 상기 특정 진단대상파일이 악성파일인지 여부를 진단하는 파일진단단계를 포함하는 것을 특징으로 하는 악성파일진단장치의 진단 방법.
제 1 항에 있어서,
상기 특정 진단대상파일은,
실행파일 형태의 PE(Portable Executable) 스트림 및 압축파일 형태의 컨테이너(Container) 스트림을 포함하는 컨테이너-PE 파일이며,
상기 특정 진단대상파일에서 추출한 핵심진단정보는,
상기 컨테이너 스트림의 헤더(Header)로부터 추출되는 정보인 것을 특징으로 하는 악성파일진단장치의 진단 방법.
제 1 항에 있어서,
상기 특정 진단대상파일에서 추출한 핵심진단정보는,
상기 특정 진단대상파일에 특정 압축알고리즘이 적용되었는지 여부 또는 상기 특정 진단대상파일에 적용된 압축알고리즘의 종류에 따라서 외형적으로 변경되지 않는 정보인 것을 특징으로 하는 악성파일진단장치의 진단 방법.
제 1 항에 있어서,
상기 파일진단단계는,
각 악성파일 별 악성진단시그니처와 상기 추출한 핵심진단정보를 비교하여, 상기 추출한 핵심진단정보와 대응되는 악성진단시그니처가 있는 경우 상기 특정 진단대상파일이 상기 대응되는 악성진단시그니처와 관련된 악성파일인 것으로 진단하며,
상기 각 악성파일 별 악성진단시그니처는,
각 악성파일 별로, 악성파일에 특정 압축알고리즘이 적용되었는지 여부 또는 악성파일에 적용된 압축알고리즘의 종류와 무관하게 추출된 단일 개의 악성진단시그니처를 포함하는 것을 특징으로 하는 악성파일진단장치의 진단 방법.
제 1 항에 있어서,
상기 진단대상확인단계는,
후보 진단대상파일이 실행파일 형태를 갖는지 여부를 확인하는 제1단계와,
상기 실행파일 형태를 갖는 것으로 확인되면, 상기 후보 진단대상파일이 압축파일 형태를 갖는지 여부를 확인하는 제2단계를 포함하는 것을 특징으로 하는 악성파일진단장치의 진단 방법.
제 5 항에 있어서,
상기 제2단계는,
상기 후보 진단대상파일 내 상기 실행파일 형태의 스트림에서, 특정 진단대상파일과 관련하여 지정된 바이너리 패턴을 기초로 상기 후보 진단대상파일이 압축파일 형태를 갖는지 여부를 확인하는 단계와,
상기 후보 진단대상파일 내 상기 실행파일 형태의 스트림에서, 특정 진단대상파일과 관련하여 작성된 스크립트를 기초로 상기 후보 진단대상파일이 압축파일 형태를 갖는지 여부를 확인하는 단계와,
상기 후보 진단대상파일 내 상기 실행파일 형태의 스트림에서, 특정 진단대상파일과 관련하여 작성된 컴파일 가능 형식의 코드를 기초로 상기 후보 진단대상파일이 압축파일 형태를 갖는지 여부를 확인하는 단계 중 적어도 하나의 단계를 포함하는 것을 특징으로 하는 악성파일진단장치의 진단 방법.
실행파일 형태 및 압축파일 형태를 갖는 특정 진단대상파일을 확인하는 진단대상확인부;
상기 특정 진단대상파일 내 상기 압축파일 형태의 스트림(Stream)으로부터, 상기 특정 진단대상파일에 적용된 압축알고리즘의 종류와 무관하게 외형적 변경이 없고 상기 특정 진단대상파일의 압축 해제 시 행위와 관련되는 핵심진단정보를 추출하는 핵심진단정보추출부; 및
상기 추출한 핵심진단정보를 기초로, 상기 특정 진단대상파일이 악성파일인지 여부를 진단하는 파일진단부를 포함하는 것을 특징으로 하는 악성파일진단장치.
제 7 항에 있어서,
상기 특정 진단대상파일에서 추출한 핵심진단정보는,
상기 특정 진단대상파일에 특정 압축알고리즘이 적용되었는지 여부 또는 상기 특정 진단대상파일에 적용된 압축알고리즘의 종류에 따라서 외형적으로 변경되지 않는 정보인 것을 특징으로 하는 악성파일진단장치.
제 7 항에 있어서,
상기 파일진단부는,
각 악성파일 별 악성진단시그니처와 상기 추출한 핵심진단정보를 비교하여, 상기 추출한 핵심진단정보와 대응되는 악성진단시그니처가 검색되는 경우 상기 특정 진단대상파일이 상기 검색된 악성진단시그니처와 관련된 악성파일인 것으로 진단하며,
상기 각 악성파일 별 악성진단시그니처는,
각 악성파일 별로, 악성파일에 특정 압축알고리즘이 적용되었는지 여부 또는 악성파일에 적용된 압축알고리즘의 종류와 무관하게 추출된 단일 개의 악성진단시그니처를 포함하는 것을 특징으로 하는 악성파일진단장치.
제 1 항 내지 제 6 항 중 어느 한 항의 방법을 수행하는 프로그램을 기록한 컴퓨터 판독 가능 기록 매체.