KR102548984B1 - 인공지능 모델을 이용하여 악성 문서 파일을 탐지하기 위한 방법 및 이를 위한 장치 - Google Patents

Abstract

본 명세서는 서버가 인공지능 모델을 이용하여 비실행 파일의 악성을 탐지하기 위한 방법에 있어서, 상기 비실행 파일의 취약점 또는 동적 특징을 탐지하고, 상기 취약점 또는 상기 동적 특징의 탐지에 근거하여, 상기 비실행 파일의 엔진 분석 결과를 생성하며, 상기 악성을 탐지하기 위한 상기 인공지능 모델에 상기 동적 특징의 데이터를 입력하여, 인공지능 모델 분석 결과를 생성하고, 상기 엔진 분석 결과 및 상기 인공지능 모델 분석 결과에 근거하여, 최종 분석 결과를 생성할 수 있다.

Description

인공지능 모델을 이용하여 악성 문서 파일을 탐지하기 위한 방법 및 이를 위한 장치 { METHODS AND APPARATUS FOR DETECTING MALICIOUS DOCUMENT FILES USING ARTIFICIAL INTELLIGENCE MODELS }

본 명세서는 인공지능 모델을 이용하여 악성 문서 파일을 탐지하기 위한 방법 및 장치에 관한 것이다.

지능형 지속 위협(Advanced Persistent Threat, APT) 공격은 공격자가 특정 타깃을 정하고 목표한 정보를 빼내기 위해 고도의 공격기법을 적용하여 지속적으로 다양한 형태의 악성 코드를 활용한다. 특히 APT 공격은 초기 침입단계에서 탐지하지 못하는 경우가 많으며, 주로 악성 코드를 포함하는 비실행(Non-Portable Executable, Non-PE) 파일을 이용하는 경우가 많다.

문서 행위란 비실행 파일이 관련된 응용프로그램의 액션을 실행하는 행위로서, 기존의 APT 솔루션들은 문서 행위 기반으로 동작하기 때문에 문서의 행위 발생 후, 샌드박스(Virtural Machine, VM)의 변화를 관찰하여 악성여부를 판단한다. 이는 문서 행위의 발현을 전부 기다린 후 악성여부를 파악하기 때문에 분석시간이 오래 걸린다.

또한, 기존 APT 솔루션들은 비실행 파일을 샌드박스에서 실행 후 샌드박스의 변화를 기반으로 판단한다. 예를 들어, APT 솔루션은 WINDOWS API 후킹(hooking)을 통해, 문서 행위의 대략적인 기능을 파악할 수는 있지만, 일반적인 문서 프로세스에는 많은 기능들이 포함되어 있어, 문서의 어떤 기능을 이용하여 어떤 행위가 유발되었는 지를 정확히 알기 어렵다.

악성 문서 파일은 악성 코드 제작 도구를 이용하여 대량 생산된다. 대량 생산된 악성 문서 파일들은 비슷한 특징을 갖고 있으며, 이를 탐지하기 위해서는 탐지 시그니처(signature) 및 행위 탐지 패턴이 요구된다.

시그니처 및 탐지 패턴은 분석가가 직접 분석하여 이들의 공통점을 찾아 제작해야 한다. 이러한 과정은 정적 분석과 동적 분석으로 분류될 수 있으며, 각각에 맞는 시그니처와 탐지 패턴을 제작하는 과정은 인공지능 모델을 통해 보다 빠르게 탐지될 수 있다.

본 명세서의 목적은, 인공지능 모델을 이용하여 악성 문서 파일을 탐지하기 위한 방법 및 장치를 제안한다.

본 명세서가 이루고자 하는 기술적 과제들은 이상에서 언급한 기술적 과제들로 제한되지 않으며, 언급되지 않은 또 다른 기술적 과제들은 이하의 명세서의 상세한 설명으로부터 본 명세서가 속하는 기술분야에서 통상의 지식을 가진 자에게 명확하게 이해될 수 있을 것이다.

본 명세서의 일 양상은, 서버가 인공지능 모델을 이용하여 비실행 파일의 악성을 탐지하기 위한 방법에 있어서, 상기 비실행 파일의 취약점 또는 동적 특징을 탐지하는 단계; 상기 취약점 또는 상기 동적 특징의 탐지에 근거하여, 상기 비실행 파일의 엔진 분석 결과를 생성하는 단계; 상기 악성을 탐지하기 위한 상기 인공지능 모델에 상기 동적 특징의 데이터를 입력하여, 인공지능 모델 분석 결과를 생성하는 단계; 및 상기 엔진 분석 결과 및 상기 인공지능 모델 분석 결과에 근거하여, 최종 분석 결과를 생성하는 단계; 를 포함할 수 있다.

또한, 상기 비실행 파일에 상기 취약점 또는 상기 동적 특징을 탐지하기 위한 중단점을 설정하는 단계; 를 더 포함하며, 상기 비실행 파일의 취약점 또는 동적 특징을 탐지하는 단계는 상기 중단점에 근거할 수 있다.

또한, 상기 동적 특징은 디버깅(debugging) 엔진을 통해 추출되는 정보일 수 있다.

또한, 상기 인공지능 모델 분석 결과는 상기 인공지능 모델이 예측한 상기 비실행 파일의 악성 확률에 대한 예측값을 포함할 수 있다.

또한, 상기 비실행 파일의 취약점 또는 동적 특징을 탐지하는 단계는 상기 취약점을 탐지하는 단계; 및 상기 취약점이 탐지되지 않는 것에 근거하여, 상기 동적 특징을 탐지하는 단계; 를 포함할 수 있다.

또한, 상기 최종 분석 결과는 상기 예측값에 근거하여, 정상, 의심, 또는 악성 여부에 대한 정보를 포함할 수 있다.

본 명세서의 또 다른 일 양상은, 인공지능 모델을 이용하여 비실행 파일의 악성을 탐지하기 위한 서버에 있어서, 통신부; 디버깅(debugging) 엔진 및 상기 인공지능 모델이 포함된 메모리; 및 상기 통신부 및 상기 메모리를 기능적으로 제어하는 프로세서; 를 포함하고, 상기 프로세서는 상기 비실행 파일의 취약점 또는 동적 특징을 탐지하고, 상기 취약점 또는 상기 동적 특징의 탐지에 근거하여, 상기 비실행 파일의 엔진 분석 결과를 생성하며, 상기 악성을 탐지하기 위한 상기 인공지능 모델에 상기 동적 특징의 데이터를 입력하여, 인공지능 모델 분석 결과를 생성하고, 상기 엔진 분석 결과 및 상기 인공지능 모델 분석 결과에 근거하여, 최종 분석 결과를 생성할 수 있다.

본 명세서의 실시예에 따르면,인공지능 모델을 이용하여 악성 문서 파일을 탐지할 수 있다.

본 명세서에서 얻을 수 있는 효과는 이상에서 언급한 효과로 제한되지 않으며, 언급하지 않은 또 다른 효과들은 아래의 기재로부터 본 명세서가 속하는 기술분야에서 통상의 지식을 가진 자에게 명확하게 이해될 수 있을 것이다.

도 1은 본 명세서와 관련된 전자 기기를 설명하기 위한 블록도이다.
도 2는 본 명세서와 관련된 서버 또는 클라이언트를 나타내는 도면이다.
도 3은 본 명세서에 적용될 수 있는 비정상 입력의 예시이다.
도 4는 본 명세서가 적용될 수 있는 문서 행위 판단 방법을 예시한다.
도 5는 본 명세서의 일 실시예에 따른 AI 장치의 블록도이다.
도 6는 본 명세서의 일 실시예에 따른 머신러닝 모델링 방법의 예시이다.
도 7은 본 명세서가 적용될 수 있는 동적 특징 추출의 예시이다.
도 8은 본 명세서가 적용될 수 있는 분석 엔진의 예시이다.
도 9는 본 명세서가 적용될 수 있는 분석 엔진의 일 실시예이다.
도 10은 본 명세서가 적용될 수 있는 최종 분석 결과의 예시이다.
본 명세서에 관한 이해를 돕기 위해 상세한 설명의 일부로 포함되는, 첨부 도면은 본 명세서에 대한 실시예를 제공하고, 상세한 설명과 함께 본 명세서의 기술적 특징을 설명한다.

이하, 첨부된 도면을 참조하여 본 명세서에 개시된 실시예를 상세히 설명하되, 도면 부호에 관계없이 동일하거나 유사한 구성요소는 동일한 참조 번호를 부여하고 이에 대한 중복되는 설명은 생략하기로 한다. 이하의 설명에서 사용되는 구성요소에 대한 접미사 "모듈" 및 "부"는 명세서 작성의 용이함만이 고려되어 부여되거나 혼용되는 것으로서, 그 자체로 서로 구별되는 의미 또는 역할을 갖는 것은 아니다. 또한, 본 명세서에 개시된 실시예를 설명함에 있어서 관련된 공지 기술에 대한 구체적인 설명이 본 명세서에 개시된 실시예의 요지를 흐릴 수 있다고 판단되는 경우 그 상세한 설명을 생략한다. 또한, 첨부된 도면은 본 명세서에 개시된 실시예를 쉽게 이해할 수 있도록 하기 위한 것일 뿐, 첨부된 도면에 의해 본 명세서에 개시된 기술적 사상이 제한되지 않으며, 본 명세서의 사상 및 기술 범위에 포함되는 모든 변경, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다.

제1, 제2 등과 같이 서수를 포함하는 용어는 다양한 구성요소들을 설명하는데 사용될 수 있지만, 상기 구성요소들은 상기 용어들에 의해 한정되지는 않는다. 상기 용어들은 하나의 구성요소를 다른 구성요소로부터 구별하는 목적으로만 사용된다.

어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다.

단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다.

본 명세서에서, "포함한다" 또는 "가지다" 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.

또한, 명세서에서 사용되는 "부"라는 용어는 소프트웨어 또는 하드웨어 구성요소를 의미하며, "부"는 어떤 역할들을 수행한다. 그렇지만 "부"는 소프트웨어 또는 하드웨어에 한정되는 의미는 아니다. "부"는 어드레싱할 수 있는 저장 매체에 있도록 구성될 수도 있고 하나 또는 그 이상의 프로세서들을 재생시키도록 구성될 수도 있다. 따라서, 일 예로서 "부"는 소프트웨어 구성요소들, 객체지향 소프트웨어 구성요소들, 클래스 구성요소들 및 태스크 구성요소들과 같은 구성요소들과, 프로세스들, 함수들, 속성들, 프로시저들, 서브루틴들, 프로그램 코드의 세그먼트들, 드라이버들, 펌웨어, 마이크로 코드, 회로, 데이터, 데이터베이스, 데이터 구조들, 테이블들, 어레이들 및 변수들을 포함한다. 구성요소들과 "부"들 안에서 제공되는 기능은 더 작은 수의 구성요소들 및 "부"들로 결합되거나 추가적인 구성요소들과 "부"들로 더 분리될 수 있다.

또한, 본 명세서의 일 실시예에 따르면 "부"는 프로세서 및 메모리로 구현될 수 있다. 용어 "프로세서"는 범용 프로세서, 중앙 처리 장치 (CPU), 마이크로프로세서, 디지털 신호 프로세서 (DSP), 제어기, 마이크로제어기, 상태 머신 등을 포함하도록 넓게 해석되어야 한다. 몇몇 환경에서는, "프로세서"는 주문형 반도체 (ASIC), 프로그램가능 로직 디바이스 (PLD), 필드 프로그램가능 게이트 어레이 (FPGA) 등을 지칭할 수도 있다. 용어 "프로세서"는, 예를 들어, DSP 와 마이크로프로세서의 조합, 복수의 마이크로프로세서들의 조합, DSP 코어와 결합한 하나 이상의 마이크로프로세서들의 조합, 또는 임의의 다른 그러한 구성들의 조합과 같은 처리 디바이스들의 조합을 지칭할 수도 있다.

용어 "메모리"는 전자 정보를 저장 가능한 임의의 전자 컴포넌트를 포함하도록 넓게 해석되어야 한다. 용어 메모리는 임의 액세스 메모리 (RAM), 판독-전용 메모리 (ROM), 비-휘발성 임의 액세스 메모리 (NVRAM), 프로그램가능 판독-전용 메모리 (PROM), 소거-프로그램가능 판독 전용 메모리 (EPROM), 전기적으로 소거가능 PROM (EEPROM), 플래쉬 메모리, 자기 또는 광학 데이터 저장장치, 레지스터들 등과 같은 프로세서-판독가능 매체의 다양한 유형들을 지칭할 수도 있다. 프로세서가 메모리로부터 정보를 판독하고/하거나 메모리에 정보를 기록할 수 있다면 메모리는 프로세서와 전자 통신 상태에 있다고 불린다. 프로세서에 집적된 메모리는 프로세서와 전자 통신 상태에 있다.

본 명세서에서 사용되는 "비실행 파일"이란 실행 파일 또는 실행 가능한 파일과 반대되는 개념으로서 자체적으로 실행되지 않는 파일을 의미한다. 예를 들어, 비실행 파일은 PDF 파일, 한글 파일, 워드 파일과 같은 문서 파일, JPG 파일과 같은 이미지 파일, 동영상 파일, 자바 스크립트 파일, HTML 파일 등이 될 수 있으나, 이에 한정되지 않는다.

아래에서는 첨부한 도면을 참고하여 실시예에 대하여 본 명세서가 속하는 기술 분야에서 통상의 지식을 가진 자가 용이하게 실시할 수 있도록 상세히 설명한다. 그리고 도면에서 본 개시를 명확하게 설명하기 위해서 설명과 관계없는 부분들은 생략될 수 있다.

도 1은 본 명세서와 관련된 전자 기기를 설명하기 위한 블록도이다.

상기 전자 기기(100)는 무선 통신부(110), 입력부(120), 센싱부(140), 출력부(150), 인터페이스부(160), 메모리(170), 제어부(180) 및 전원 공급부(190) 등을 포함할 수 있다. 도 1에 도시된 구성요소들은 전자 기기를 구현하는데 있어서 필수적인 것은 아니어서, 본 명세서 상에서 설명되는 전자 기기는 위에서 열거된 구성요소들 보다 많거나, 또는 적은 구성요소들을 가질 수 있다.

보다 구체적으로, 상기 구성요소들 중 무선 통신부(110)는, 전자 기기(100)와 무선 통신 시스템 사이, 전자 기기(100)와 다른 전자 기기(100) 사이, 또는 전자 기기(100)와 외부서버 사이의 무선 통신을 가능하게 하는 하나 이상의 모듈을 포함할 수 있다. 또한, 상기 무선 통신부(110)는, 전자 기기(100)를 하나 이상의 네트워크에 연결하는 하나 이상의 모듈을 포함할 수 있다.

이러한 무선 통신부(110)는, 방송 수신 모듈(111), 이동통신 모듈(112), 무선 인터넷 모듈(113), 근거리 통신 모듈(114), 위치정보 모듈(115) 중 적어도 하나를 포함할 수 있다.

입력부(120)는, 영상 신호 입력을 위한 카메라(121) 또는 영상 입력부, 오디오 신호 입력을 위한 마이크로폰(microphone, 122), 또는 오디오 입력부, 사용자로부터 정보를 입력받기 위한 사용자 입력부(123, 예를 들어, 터치키(touch key), 푸시키(mechanical key) 등)를 포함할 수 있다. 입력부(120)에서 수집한 음성 데이터나 이미지 데이터는 분석되어 사용자의 제어명령으로 처리될 수 있다.

센싱부(140)는 전자 기기 내 정보, 전자 기기를 둘러싼 주변 환경 정보 및 사용자 정보 중 적어도 하나를 센싱하기 위한 하나 이상의 센서를 포함할 수 있다. 예를 들어, 센싱부(140)는 근접센서(141, proximity sensor), 조도 센서(142, illumination sensor), 터치 센서(touch sensor), 가속도 센서(acceleration sensor), 자기 센서(magnetic sensor), 중력 센서(G-sensor), 자이로스코프 센서(gyroscope sensor), 모션 센서(motion sensor), RGB 센서, 적외선 센서(IR 센서: infrared sensor), 지문인식 센서(finger scan sensor), 초음파 센서(ultrasonic sensor), 광 센서(optical sensor, 예를 들어, 카메라(121 참조)), 마이크로폰(microphone, 122 참조), 배터리 게이지(battery gauge), 환경 센서(예를 들어, 기압계, 토양습도계, 온도계, 방사능 감지 센서, 열 감지 센서, 가스 감지 센서 등), 화학 센서(예를 들어, 전자 코, 헬스케어 센서, 생체 인식 센서 등) 중 적어도 하나를 포함할 수 있다. 한편, 본 명세서에 개시된 전자 기기는, 이러한 센서들 중 적어도 둘 이상의 센서에서 센싱되는 정보들을 조합하여 활용할 수 있다.

출력부(150)는 시각, 청각 또는 촉각 등과 관련된 출력을 발생시키기 위한 것으로, 디스플레이부(151), 음향 출력부(152), 햅팁 모듈(153), 광 출력부(154) 중 적어도 하나를 포함할 수 있다. 디스플레이부(151)는 터치 센서와 상호 레이어 구조를 이루거나 일체형으로 형성됨으로써, 터치 스크린을 구현할 수 있다. 이러한 터치 스크린은, 전자 기기(100)와 사용자 사이의 입력 인터페이스를 제공하는 사용자 입력부(123)로써 기능함과 동시에, 전자 기기(100)와 사용자 사이의 출력 인터페이스를 제공할 수 있다.

인터페이스부(160)는 전자 기기(100)에 연결되는 다양한 종류의 외부 기기와의 통로 역할을 수행한다. 이러한 인터페이스부(160)는, 유/무선 헤드셋 포트(port), 외부 충전기 포트(port), 유/무선 데이터 포트(port), 메모리 카드(memory card) 포트, 식별 모듈이 구비된 장치를 연결하는 포트(port), 오디오 I/O(Input/Output) 포트(port), 비디오 I/O(Input/Output) 포트(port), 이어폰 포트(port) 중 적어도 하나를 포함할 수 있다. 전자 기기(100)에서는, 상기 인터페이스부(160)에 외부 기기가 연결되는 것에 대응하여, 연결된 외부 기기와 관련된 적절할 제어를 수행할 수 있다.

또한, 메모리(170)는 전자 기기(100)의 다양한 기능을 지원하는 데이터를 저장한다. 메모리(170)는 전자 기기(100)에서 구동되는 다수의 응용 프로그램(application program 또는 애플리케이션(application)), 전자 기기(100)의 동작을 위한 데이터들, 명령어들을 저장할 수 있다. 이러한 응용 프로그램 중 적어도 일부는, 무선 통신을 통해 외부 서버로부터 다운로드 될 수 있다. 또한 이러한 응용 프로그램 중 적어도 일부는, 전자 기기(100)의 기본적인 기능(예를 들어, 전화 착신, 발신 기능, 메시지 수신, 발신 기능)을 위하여 출고 당시부터 전자 기기(100)상에 존재할 수 있다. 한편, 응용 프로그램은, 메모리(170)에 저장되고, 전자 기기(100) 상에 설치되어, 제어부(180)에 의하여 상기 전자 기기의 동작(또는 기능)을 수행하도록 구동될 수 있다.

제어부(180)는 상기 응용 프로그램과 관련된 동작 외에도, 통상적으로 전자 기기(100)의 전반적인 동작을 제어한다. 제어부(180)는 위에서 살펴본 구성요소들을 통해 입력 또는 출력되는 신호, 데이터, 정보 등을 처리하거나 메모리(170)에 저장된 응용 프로그램을 구동함으로써, 사용자에게 적절한 정보 또는 기능을 제공 또는 처리할 수 있다.

또한, 제어부(180)는 메모리(170)에 저장된 응용 프로그램을 구동하기 위하여, 도 1과 함께 살펴본 구성요소들 중 적어도 일부를 제어할 수 있다. 나아가, 제어부(180)는 상기 응용 프로그램의 구동을 위하여, 전자 기기(100)에 포함된 구성요소들 중 적어도 둘 이상을 서로 조합하여 동작시킬 수 있다.

전원공급부(190)는 제어부(180)의 제어 하에서, 외부의 전원, 내부의 전원을 인가받아 전자 기기(100)에 포함된 각 구성요소들에 전원을 공급한다. 이러한 전원공급부(190)는 배터리를 포함하며, 상기 배터리는 내장형 배터리 또는 교체가능한 형태의 배터리가 될 수 있다.

상기 각 구성요소들 중 적어도 일부는, 이하에서 설명되는 다양한 실시 예들에 따른 전자 기기의 동작, 제어, 또는 제어방법을 구현하기 위하여 서로 협력하여 동작할 수 있다. 또한, 상기 전자 기기의 동작, 제어, 또는 제어방법은 상기 메모리(170)에 저장된 적어도 하나의 응용 프로그램의 구동에 의하여 전자 기기 상에서 구현될 수 있다.

본 명세서에서 서버(또는 클라우드 서버) 또는 클라이언트는 전자기기(100)를 포함할 수 있으며, 전자기기(100)는 단말로 통칭될 수 있다.

단말은 외부 서버(또는 클라우드 서버) 또는 클라이언트와 네트워크로 연결되어 통신할 수 있다.

도 2는 본 명세서와 관련된 서버 또는 클라이언트를 나타내는 도면이다.

본 명세서에서 서버(또는 클라우드 서버) 또는 클라이언트는 제어부(200) 및 통신부(230)를 포함할 수 있다. 제어부(200)는 프로세서(210) 및 메모리(220)를 포함할 수 있다. 프로세서(210)는 메모리(220)에 저장된 명령어들을 수행할 수 있다. 프로세서(210)는 통신부(230)를 제어할 수 있다. 메모리(220)는 캐시(cache) 메모리를 포함할 수 있다. 캐시 메모리는 후술되는 원본 문서를 일정 시간 동안 임시로 저장할 수 있다.

프로세서(210)는 메모리(220)에 저장된 명령어에 기초하여 서버 또는 클라이언트의 동작을 제어할 수 있다. 서버 또는 클라이언트는 하나의 프로세서를 포함할 수 있고, 복수의 프로세서를 포함할 수 있다. 서버 또는 클라이언트가 복수의 프로세서를 포함하는 경우, 복수의 프로세서 중 적어도 일부는 물리적으로 이격된 거리에 위치할 수 있다. 또한, 서버 또는 클라이언트는 이에 한정되지 않고 알려진 다양한 방식으로 구현될 수 있다.

통신부(230)는, 서버 또는 클라이언트와 무선 통신 시스템 사이, 서버 또는 클라이언트와 다른 서버 또는 클라이언트 사이, 또는 서버 또는 클라이언트와 외부서버(단말) 사이의 무선 통신을 가능하게 하는 하나 이상의 모듈을 포함할 수 있다. 또한, 통신부(210)는, 서버 또는 클라이언트를 하나 이상의 네트워크에 연결하는 하나 이상의 모듈을 포함할 수 있다.

제어부(200)는 메모리(220)에 저장된 응용 프로그램을 구동하기 위하여, 서버 또는 클라이언트의 구성요소들 중 적어도 일부를 제어할 수 있다. 나아가, 제어부(200)는 상기 응용 프로그램의 구동을 위하여, 서버 또는 클라이언트에 포함된 구성요소들 중 적어도 둘 이상을 서로 조합하여 동작 시킬 수 있다.

본 명세서에서 서버는 리버싱 엔진 또는/및 CDR 서비스를 제공하는 CDR 엔진을 포함할 수 있다.

리버싱(Reversing) 엔진

리버싱 엔진이란, 비실행 파일에 대한 리버스 엔지니어링(리버싱) 과정을 자동화 한 분석/진단 엔진이다. 이는 역공학이라고 불리며, 이를 통해 서버는 소스코드가 없는 소프트웨어를 컴퓨터가 실행할 수 있는 언어인 어셈블리단까지 들어가 소프트웨어의 원리 및 구조에 대해 알 수 있다. 이를 이용하여 서버는 일반적인 소프트웨어(예를 들어, msoffice, pdf) 구조, 악성코드 행위, 취약점 악용 방법 등을 알 수 있다.

예를 들어, 리버싱 엔진은 다음의 단계를 수행할 수 있다.

1.파일 분석: 비실행 파일 자체의 외관(예를 들어, 속성, 작성자, 작성 날짜, 파일 타입)을 분석하는 단계로서, 일반 백신 프로그램과 유사하게 비실행 파일 자체의 정보만으로 악성여부를 진단할 수 있다.

2.정적 분석: 비실행 파일 내의 데이터를 추출, 분석해서 정상, 악성 여부를 판별하는 단계로서, 비실행 파일은 실행하지 않고 파일 구조에 맞게 내부 데이터를 추출하여 비교 분석하여 악성여부를 진단할 수 있다. 이는 매크로, URL 추출 분석 등에 적합할 수 있다.

3.동적 분석: 비실행 파일을 실행하고 모니터링하면서 행위를 분석하여 악성 여부를 판별하는 단계로서, 매크로, 하이퍼링크, DDE 등 정상기능을 이용한 악성 행위를 탐지하기에 용이하다.

4.디버깅 분석: 비실행 파일을 실행하고 디버깅하여 취약점, 익스플로잇 등을 분석하는 단계로서, 매크로, 하이퍼링크, DDE를 포함하여 문서 내 본문, 표, 폰트, 그림 등을 이용한 응용프로그램의 취약점을 탐지하기에 적합하다.

리버싱 엔진은 디버깅 분석에 사용될 수 있는 디버깅 엔진을 포함할 수 있다. 디버깅 엔진은 비실행 파일의 열람 과정을 디버깅 모드를 이용하여 문서 입력, 처리, 출력단계에서 발생하는 취약점을 진단할 수 있다. 여기서 취약점이란, 응용프로그램이 응용프로그램의 개발자가 개발한 코드(로직)에서 예상하지 못한 값을 입력 받았을 때, 발생하는 오류, 버그 등을 이용하는 것으로서, 공격자는 취약점을 통해 비정상 종료로 인한 서비스 거부, 원격 코드 실행 등의 악성 문서 행위를 실행할 수 있다.

디버깅 엔진은 디버거를 포함할 수 있다. 디버거는 리버스 엔지니어링을 하기 위한 도구로 다른 대상 프로그램을 어셈블리 레벨에서 Break Point를 할 수 있는 프로그램, 프로세스를 의미할 수 있다.

CDR(Contents Disarm and Reconstruction)

CDR 서비스는 비실행 파일을 분해해 악성파일 혹은 불필요한 파일을 제거하고 콘텐츠는 원본과 최대한 동일하게 하여, 새로운 파일을 만드는 솔루션이다.

즉, Contents Disarm and Reconstruction(CDR)은 문서 내의 컨텐츠를 무해화(Disarm)하고 재조합(Reconstruction)하여 안전한 문서를 만들어 고객에게 제공하는 서비스를 의미하며, 무해화 대상 파일은 비실행 파일 일체(예를 들어, 워드, 엑셀, 파워포인트, 한글, PDF)를 대상으로 할 수 있으며, 무해화 대상 컨텐츠는 액티브 컨텐츠(예를 들어, 매크로, 하이퍼링크, OLE 객체 등)일 수 있다.

도 3은 본 명세서에 적용될 수 있는 비정상 입력의 예시이다.

도 3을 참조하면, 응용프로그램은 비실행 파일을 통해, 비정상적인 값(예를 들어, 입력값이 정상범위인 2를 초과하는 경우)을 입력 받는 경우, 개발자가 의도하지 않은 실행흐름으로 변경되어 취약점이 동작될 수 있다. 디버깅 엔진은 문서 열람 과정을 자동 디버깅하여 취약점과 관련된 특정 지점에 브레이크 포인트를 설정하고 입력값과 관련된 특정값을 확인하여 입력값이 취약점을 일으키는 값인지 아닌지 판별하여 악성 여부를 진단할 수 있다.

보다 자세하게, 디버깅 엔진은 비실행 파일을 확인하고 이를 열람하기 위한 응용프로그램을 실행하여 디버깅을 시작할 수 있다. 비실행 파일을 열람하는 과정에서 문서 행위와 관련된 모듈이 로드 되면, 디버깅 엔진은 해당 모듈이 분석 대상 모듈인지 확인하고, 분석 대상이라면 지정된 주소에 브레이크 포인트를 설정할 수 있다.

예를 들어, 악성 비실행 파일은 응용프로그램의 버전이나 운영체제 환경 등의 특정 조건이 만족하지 않으면 응용프로그램을 종료하거나 아무런 악성 행위가 발생하지 않는 흐름으로 분기하는 분기 지점들을 가질 수 있다. 서버는 사전에 분석가에 의해 분석되어 이러한 가능성을 가지는 분기 지점에 브레이크 포인트를 설정할 수 있다.

또한, 서버는 해당 분기 지점과 연관되어, 응용프로그램을 종료하지 않고 계속 실행하거나 악성 행위가 발생할 수 있는 흐름으로 유도할 수 있는 조건들을 설정할 수 있다.

응용프로그램의 프로세스 실행 중 해당 브레이크 포인트 지점에서 프로세스가 멈춘 경우, 서버는 탐지 로직에 따라 취약점 여부를 탐지한 후, 결과를 분석 리포트에 저장하는 단계를 수행할 수 있다.

서버에 포함된 자동화 리버싱 엔진은 전술한 단계들을 자동으로 수행하면서 분석하여 분석가가 연구, 개발한 진단 알고리즘을 통해, 악성 비실행 파일을 진단하고 차단할 수 있다.

도 4는 본 명세서가 적용될 수 있는 문서 행위 판단 방법을 예시한다.

도 4를 참조하면, 서버는 비실행 파일 및 비실행 파일을 실행시키기 위한 응용프로그램(예를 들어, MSOFFICE, 한컴오피스 등)을 포함할 수 있다.

서버는 디버깅(debugging) 모드로 응용프로그램의 프로세스를 실행한다(S4010). 예를 들어, 서버는 CreateProcess API를 이용하여 디버깅 모드(DEBUG_ONLY_THIS_PROCESS)로 응용프로그램의 분석 대상 비실행 파일을 열기 위한 문서 프로세스를 실행할 수 있다. 이를 통해, 서버는 응용프로그램 프로세스의 디버그 이벤트를 수신 받을 수 있다.

보다 자세하게, 서버는 CreateProcess API를 이용하여 응용프로그램 프로세스를 “DEBUG_ONLY_THIS_PROCESS” 플래그를 줘서 실행할 수 있다.

서버는 응용프로그램의 프로세스에 근거하여, 문서 행위와 매칭되는 지점에 제1 중단점(breakpoint)를 설정한다(S4020). 예를 들어, 서버는 메모리에 적재된 응용프로그램의 프로세스와 관련된 OP(operating) 코드를 “0xCC”로 변경하여 중단점을 설정할 수 있다. OP 코드란, 명령코드를 의미하며 CPU가 실제로 수행하여야 할 작업 내용이 작성되어 있는 코드일 수 있다. 이를 위해, 서버는 WriteProcessMemory를 이용하여 메모리를 변경할 수 있다.

서버에는 문서 행위 및 해당 문서 행위가 매칭되는 지점에 관한 정보가 미리 설정되어 있을 수 있다. 예를 들어, 서버는 미리 정의 되어있는 행위 매칭 Break Point Table에 따라 WriteProcessMemory API를 이용하여 중단점을 설치할 수 있다.

서버는 비실행 파일이 실행 중인지 여부를 검사한다(S4030). 보다 자세하게, 서버는 Break Point를 설정한 후, 분석이 요청된 기타 비실행 파일들이 열람되어 있는 중인지 여부를 확인한다. 비실행 파일에서 요구하는 기능에 따라, 응용프로세스는 필요한 모듈이 메모리에 적재되므로, 타켓이 되는 비실행 파일의 문서 행위 판단의 신뢰성 확보에서 응용프로그램은 기타 비실행 파일들이 열람되어 있지 않은 상태를 갖어야 한다. 예를 들어, 악성 비실행 파일이 열람되었다면, 문서 행위 판단 결과에 대한 신뢰성이 낮아질 수 있다.

서버는 비실행 파일이 실행 중이지 않은 것에 근거하여, 분석 대상 비실행 파일을 실행한다(S4040). 보다 자세하게, 서버는 사용자가 분석을 요청한 비실행 파일을 해당 포맷에 맞는 응용프로그램 프로세스(예를 들어, EXCEL, WORD, PPT 등)를 이용하여 열람한다. 예들 들어, 서버는 MS Power point을 이용하여 sample.ppt 파일을 열람할 수 있다. 또는 서버는 비실행 파일이 실행 중인 지 여부를 검사하지 않고, 분석 대상 파일을 바로 실행할 수 있다.

서버는 메모리 상에 분석 대상 비실행 파일과 관련된 신규 모듈이 로드되었는 지 여부를 판단한다(S4050). 서버는 분석 대상 비실행 파일이 응용프로그램 프로세스에 의해 실행되면, 신규 모듈이 로드되었는지 확인한다.

예를 들어, 서버는 디버깅 모드를 이용하여, 응용프로그램 프로세스에서 디버깅 이벤트가 발생하면 이를 수신할 수 있다. 서버는 해당 이벤트를 이용하여 LOAD DLL 이벤트가 발생하면 신규 모듈(예를 들어, DLL 메모리 탑재)로 판단할 수 있다. 보다 자세하게, 서버는 “LOAD_DLL_DEBUG_EVENT” 이벤트가 발생하면 신규 모듈이 올라온 것으로 판단할 수 있다.

예를 들어, 서버는 분석 대상 비실행 파일에서 필요한 기능(예를 들어, 메크로, ActiveX 기능 등)을 사용하기위해 응용프로그램 프로세스 기능에 맞는 모듈을 신규로 메모리에 적재할 수 있다.

서버는 신규 모듈의 로드에 근거하여, 문서 행위와 매칭되는 지점에 제2 중단점을 설정한다(S4060). 만일, 신규 모듈이 로드되었다고 판단되지 않는 경우, 서버는 제2 중단점을 설정하지 않는다.

서버는 제1 중단점 및/또는 제2 중단점에서 응용프로그램 프로세스가 중단되었는지 여부를 모니터링한다(S4070). 예를 들어, 서버는 중단점에서 응용프로그램 프로세스가 중단되어 프로세스 제어권이 디버거로 넘어갔는지를 확인할 수 있다. 제어권을 넘겨받은 디버거는 어떤 중단점에서 중단되었는지를 확인할 수 있다.

서버는 모니터링 결과에 근거하여, 제1 중단점 및/또는 제2 중단점과 매칭되는 문서 행위 정보를 생성한다(S4080). 예를 들어, 서버는 중단점의 주소값을 확인할 수 있다. 이후, 서버는 해당 문서 행위 및 해당 문서 행위가 매칭되는 지점에 관한 정보에 근거하여, 중단점의 주소값과 매칭된 문서 행위에 대한 정보를 생성하고 이를 저장할 수 있다.

다음의 표 1은 저장되는 중단점의 주소값과 매칭된 문서 행위의 예시이다.

서버는 분석 대상 비실행 파일의 열람이 종료되었는지를 판단한다(S4090). 예를 들어, 서버는 기설정된 시간이 지났거나 메시지박스(Alert), Break Point를 일정시간 거치지 않았을 경우 등의 방식으로 분석 대상 비실행 파일의 열람이 종료되었는지 판단할 수 있다.

만일, 열람이 종료되지 않은 경우, 서버는 응용프로그램의 프로세스가 중단점에서 중단되었는지를 지속적으로 모니터링한다. 이를 통해, 서버는 문서 행위가 충분히 발현되도록 대기할 수 있다.

이후, 서버는 저장된 문서 행위 정보를 단말로 전달할 수 있다. 이를 위해, 단말은 서버와 통신할 수 있고, 서버의 동작을 제어할 수 있는 관리프로그램을 포함할 수 있다. 단말은 관리 응용프로그램을 통해, 사용자에게 문서 행위 정보를 제공할 수 있다.

기존의 APT 솔루션은 문서 행위 발현 후, 샌드박스 변화를 기반으로 문서 행위를 추출한다. 이는 샌드박스가 문서 행위가 발현될 때까지 대기해야 하기 때문에 분석시간이 길어진다. 또한, 최종적으로 마지막 부분(예를 들어, 샌드박스 변화 후)을 확인하기 때문에 본 명세서의 분석 속도보다 느리다.

또한, 본 명세서의 서버는 샌드박스의 변화 전 단계에서 응용프로그램 프로세스가 실행되는 시점부터 분석을 시작할 수 있다.

또한, 어셈블리 레벨(예를 들어, CPU 명령어 처리 단계)부터 문서 행위의 변화를 확인하기 때문에 기존 APT 솔루션보다 분석 속도(행위 추출)가 빠르다.

또한, 기존 APT 솔루션은 문서 행위가 발현할 때까지 대기하므로, 종료 시점을 알기 어렵다. 하지만 본 명세서에서 서버는 문서 행위의 종료 시점을 대략적으로 판단할 수 있으므로, 빠르게 분석이 가능하다.

또한, 본 명세서에서 서버는 문서 행위와 대응되는 응용프로그램 프로세스가 사용하는 기능을 정확하게 파악할 수 있다.

도 5는 본 명세서의 일 실시예에 따른 AI 장치의 블록도이다.

도 5를 참조하면, 상기 AI 장치(20)는 AI 프로세싱을 수행할 수 있는 AI 모듈을 포함하는 전자 기기 또는 상기 AI 모듈을 포함하는 서버 등을 포함할 수 있다. 또한, 상기 AI 장치(20)는 도 1에 도시된 전자기기(100)의 적어도 일부의 구성으로 포함되어 AI 프로세싱 중 적어도 일부를 함께 수행하도록 구비될 수도 있다.

상기 AI 장치(20)는 AI 프로세서(21), 메모리(25) 및/또는 통신부(27)를 포함할 수 있다.

상기 AI 장치(20)는 인공지능 모델을 학습할 수 있는 컴퓨팅 장치로서, 서버, 데스크탑 PC, 노트북 PC, 태블릿 PC 등과 같은 다양한 전자 장치로 구현될 수 있다.

AI 프로세서(21)는 메모리(25)에 저장된 프로그램을 이용하여 인공지능 모델을 학습할 수 있다. 특히, AI 프로세서(21)는 악성 문서 탐지를 위한 인공지능 모델을 메모리(25) 상에 생성할 수 있고, 리버싱 엔진을 통해, 수집될 수 있는 데이터를 이용하여, 이러한 인공지능 모델을 학습시킬 수 있다.

예를 들어, 인공지능 모델은 XGBoost 와 같은 DecisionTree 기반의 앙상블 모델을 이용하여, 생성될 수 있다. 보다 자세하게, 악성코드 분석가가 악성 코드를 탐지하는 정책(예를 들어, 시그니처, 행위 탐지 패턴)을 만드는 방법은 DecisionTree과 유사하므로, 본 명세서의 인공지능 모델은 DecisionTree 기반의 앙상블 모델을 이용할 때, 보다 높은 성능을 기대할 수 있다.

도 6는 본 명세서의 일 실시예에 따른 머신러닝 모델링 방법의 예시이다.

도 6을 참조하면, 서버는 인공지능 모델의 학습을 위한 샘플 데이터를 수집하고, 전처리하여 인공지능 모델의 학습을 수행할 수 있다.

대량으로 제작된 악성 문서 파일들은 비슷한 패턴을 갖고 있기 때문에 이들의 데이터 특징과 악성 문서 파일의 행위 패턴을 학습한 인공지능 모델을 활용하면, 서버는 효과적으로 악성 문서 파일을 탐지할 수 있다.

서버는 학습을 위한 샘플 데이터를 수집한다(S6010). 예를 들어, 서버는 사용자 또는 네트워크로부터 샘플 데이터를 수집할 수 있다. 샘플 데이터는 비실행 파일을 포함한다.

서버는 샘플 데이터에 근거하여, 중복 데이터를 제거하고, 라벨링(labeling)을 수행한다(S6020). 예를 들어, 서버는 샘플 데이터의 정보를 분석하여, 중복되는 데이터는 제거하고, 악성인지 정상인지에 대한 라벨링을 수행할 수 있다.

서버는 샘플 데이터를 분류한다(S6030). 예를 들어, 샘플 데이터는 파일의 타입 별로 분류될 수 있다. 보다 자세하게, 서버는 CFB 타입(예를 들어, DOC, XLS, PPT), OOXML 타입(예를 들어, DOCX, XLSX, PPTX), PDF 타입 또는 HWP 타입 등으로 샘플 데이터를 분류할 수 있다.

서버는 분류된 샘플 데이터에 근거하여, 정적 특징 및/또는 동적 특징을 추출한다(S6040). 예를 들어, 서버는 파일의 타입 별로 학습에 필요한 정적 특징 및/또는 동적 특징을 추출할 수 있다. 보다 자세하게, 정적 특징이란, 서버가 비실행 파일을 실행하지 않고도 분석하여 추출할 수 있는 정보이고, 동적 특징이란, 서버가 디버깅 엔진을 통해 추출하는 정보를 의미할 수 있다.

표 2는 PDF 타입의 문서에서 정적 특징을 예시한다.

분류	항목	설명
Metadata	문서 일반 정보	- 문서의 일반적인 정보를 추출. - 악성 문서의 경우 비정상적인 값들이 포함되어 있음 ex) 편집기명, 작성자 명, 문서 수정 횟수, 문서 총 편집 시간 등
Body	문서 본문	- 문서의 본문에서 얻을 수 있는 정보 추출. - 악성 문서의 경우 정상 문서에 비해 더 단조로운 구조를 띄는 경우가 많음 ex) 문서 페이지 수, 문단 수, 글자 수, 포함된 이미지 수 등
Structure	Pdf Keyword	- 식별되는 Pdf Keyword의 등장 횟수를 사용ex) obj, endobj, stream, endstream, /Page, /Encrypt, /ObjStm, /JS, /JavaScript, /AA, /OpenAction, /AcroForm 등
자동 실행	Open Action & Automatic Annotation	- 특정 동작을 문서 열람시 수행하도록 설정하는 기능. - 공격자는 해당 기능으로 문서 열람시 JavaScript 등과 연계하여 악성 행위를 하도록 할 수 있음 ex) OpenAction, Automatic Annotation 포함 여부&개수
Scripts	JavaScript	- 공격자는 문서에 JavaScript를 삽입하여 공격자가 원하는 동작을 수행하도록 할 수 있음.ex) JavaScript 포함 여부
Suspicious Object	Embedded File	- PDF는 Embed 기능을 통해 이미지, 링크 등 다양한 Object를 삽입할 수 있음 - 공격자는 여기에 악의적인 콘텐츠를 삽입 할 수 있음. ex) Embedded File 개수

표 3은 Office 타입의 문서에서 정적 특징을 예시한다.

분류	항목	설명
Metadata	문서 일반 정보	- 문서의 일반적인 정보를 추출. - 악성 문서의 경우 비정상적인 값들이 포함되어 있음 ex) 편집기명, 작성자 명, 문서의 암호화 여부, 문서 수정 횟수, 문서 총 편집 시간, 문서 페이지 수 등
Body	문서 본문	- 문서 본문에서 얻을 수 있는 정보 추출. - 악성 문서의 경우 정상 문서에 비해 더 단조로운 구조를 띄는 경우가 많음 ex) 문서 페이지 수, 문단 수, 글자 수, 포함된 이미지 수 등
Structure	Storage & Stream	- Ole 형식의 문서는 그 구조가 폴더와 파일 개념과 유사한 Storage와 Stream으로 이루어져 있음. - 악성문서와 정상문서의 Ole 구조의 차이를 이용해 문서 분류 특징으로 사용
Macro	VBA Macro	- 사용자가 문서 열람 시 또는 문서 열람 후 특정 동작 수행시 공격자가 원하는 동작을 하도록 작성된 매크로가 문서에 삽입되어 악성행위를 수행될 수 있음 - 삽입된 VBA 매크로를 추출하여 악성 행위에 많이 사용되는 특정 키워드의 존재 여부, 종류 등을 사용 ex) AutoExec, Hex String, IP address, URLs, executable filenames, email addresses
External Links	DDE	- DDE(Dynamic Data Exchange)는 윈도우 응용 프로그램 간 데이터를 공유하기 위한 기능으로 외부의 source로부터 데이터를 가져오는데 사용됨. - 공격자는 해당 기능을 이용해 악성코드 유포지로 접속해 악성코드를 유포할 수 있음 ex) DDE link 삽입 여부
Suspicious Object	SWF	- 애니메이션 등을 위한 플래시 파일로 악성코드를 삽입하거나, 악성코드 유포지를 삽입하여 공격에 활용할 수 있음.ex) SWF 파일 포함 여부, 잘못된 포멧의 SWF 파일 포함 여부

표 4는 각 문서의 타입에 적용될 수 있는 동적 특징을 예시한다.

분류	항목	설명
외부 연결	linkURL	- 문서 열람 시 연결 시도하는 서버의 URL 주소
	Linkinfo	- 문서 열람 시 자동 연결 타입 정보 - 연결 기능을 이용하여 악성 코드를 다운 받을 수 있음 ex) AttachedTemplate, Frame, LinkedObject
매크로	Obj	- 매크로에 의해 인스턴스화 된 클래스 정보 - 악성 매크로가 주로 사용하는 오브젝트 정보를 학습 특징을 활용 ex) wscript.shell, msxml2.xmlhttp 등
	ObjRun	- 인스턴스화 된 클래스에서 악의적으로 사용할 수 있는 매크로 실행 여부를 특징으로 활용 ex) run, open, exec 등
	ExecuteMacro	- 매크로가 실행되었음을 알 수 있는 정보
실행 정보	ProcInfo	- 문서 파일 열람 시 하위 프로세스 생성 정보를 학습 특징으로 활용 - 악성 문서 파일은 악성 실행 파일을 하위 프로세스로 생성할 수 있음 ex) 프로세스 이름, 프로세스 인자값, 실행 경로 등

전술한 예시와 유사하게 서버는 문서의 타입 별로 정적/동적 특징을 설정할 수 있다.서버는 정적 특징 및/또는 동적 특징을 전처리한다(S6050). 예를 들어, 서버는 인공지능 모델이 이해할 수 있는 형태로 정적 특징 및/또는 동적 특징을 전처리 할 수 있다.

서버는 전처리된 정적 특징 및/또는 동적 특징을 이용하여 인공지능 모델을 학습시킨다(S6060).

도 7은 본 명세서가 적용될 수 있는 동적 특징 추출의 예시이다.

도 7을 참조하면, S6040의 디버깅 엔진을 통해 동적 특징을 추출하는 방법을 보다 자세히 예시한다. 이는 도 4에서 전술한 문서 행위 판단 방법과 동시 또는 별도로 수행될 수 있다.

서버는 디버깅 엔진을 통해, 샘플 데이터로부터 동적 특징을 추출하기 위한 중단점을 설정한다(S7010). 예를 들어, 서버에는 해당 샘플 데이터의 타입에 따라, 동적 특징에 매칭되는 지점에 관한 정보가 미리 설정되어 있을 수 있다. 보다 자세하게, 서버는 미리 정의 되어있는 동적 특징 매칭 Break Point Table에 따라 WriteProcessMemory API를 이용하여 중단점을 설정할 수 있다.

서버는 샘플 데이터를 실행하고, 중단점에서 샘플 데이터와 관련된 응용프로그램의 프로세스가 중단되는지 여부를 모니터링한다(S7020).

프로세스가 중단되지 않은 경우, 서버는 샘플 데이터와 관련된 신규 모듈이 로드되었는 지 여부를 판단한다(S7030). 예를 들어, 서버는 “LOAD_DLL_DEBUG_EVENT” 이벤트가 발생하면 신규 모듈이 올라온 것으로 판단할 수 있다. 신규 모듈이 로드 된 경우, 서버는 당해 신규 모듈에 대해서도 중단점을 설정하고, 신규 모듈과 관련된 응용프로그램의 프로세스가 중단되는지 여부를 모니터링 할 수 있다.

프로세스가 중단되는 경우, 서버는 동적 특징을 추출한다(S7040).

예를 들어, 서버는 중단점에 근거하여, 동적 특징 데이터를 추출하고, 이를 기록하고 취합할 수 있다. 서버는 당해 샘플 데이터의 다른 중단점에도 전술한 동작을 반복하여, 동적 특징 데이터를 추출할 수 있다.

보다 자세하게, 중단점이 매크로(macro) 자동 실행과 관련된 동적 특징을 추출하기 위한 것인 경우, 서버는 프로세스가 중단되면 EAX 레지스터를 확인할 수 있다. 이후, 서버는 EAX 레지스터가 가리키는 메모리의 데이터를 확인하고, “Auto_Open” 키워드가 확인되면, 매크로 자동 실행 특징 데이터를 추출하고 기록할 수 있다. 다른 동적 특징에 대해서도, 이와 유사하게 추출될 수 있음은 물론이다.

본 명세서에서 서버는 학습된 인공지능 모델을 이용하여, 문서형 악성코드에 대한 탐지율을 높일 수 있다. 또한, 리버싱 엔진이 분석을 하는 동안, 정적 특징의 결과를 얻어, 두 가지 판별 모델(예를 들어, 리버싱 엔진 및 정적 특징 모델)의 결과를 취합해 문서형 악성코드의 탐지율 상승을 기대할 수 있다.

또한, 문서의 정상 기능(예를 들어, 매크로, 원격 데이터 연결 등)을 이용한 대량 생산 악성코드들은 인공지능 모델을 이용하여 탐지하여, 탐지율을 극대화할 수 있다.

도 8은 본 명세서가 적용될 수 있는 분석 엔진의 예시이다.

도 8을 참조하면, 분석 엔진(8000)은 시그니처를 분석하기 위한 시그니처 엔진, 비실행 파일의 정적 분석을 위한 정적 분석 엔진, 리버싱 엔진 및/또는 인공지능 모델을 포함할 수 있다. 또한, 분석 엔진(8000)은 서버에 포함될 수 있다.

예를 들어, 인공지능 모델은 전술한 도 6의 동작을 통해, 학습 완료된 상태를 갖을 수 있다. 또한, 서버는 리버싱 엔진을 통해, 전술한 도 4의 동작을 수행할 수 있고, 리버싱 엔진은 전술한 도 6 및 도 7의 디버깅 엔진을 포함할 수 있다.

서버는 분석 엔진(8000)을 통해, 분석 대상이 되는 비실행 파일에서 정적특징 및 동적특징을 추출하여, 학습된 인공지능 모델에 입력할 수 있다. 인공지능 모델은 정적특징 및 동적특징에 근거하여, 인공지능 모델 분석결과를 출력할 수 있다. 예를 들어, 인공지능 모델 분석결과는 분석 대상인 비실행 파일이 악성 파일일 확률(예측값)을 나타내는 정보를 포함할 수 있다.

또한, 서버는 인공지능 모델 분석과 별개로 정적 분석 엔진 및 리버싱 엔징을 통해, 분석 대상 비실행 파일에 대해, 정적 분석 및 동적 분석을 수행하여, 엔진 분석결과를 출력할 수 있다.

이후, 서버는 인공지능 모델 분석결과와 엔진 분석결과를 종합하여, 최종 분석결과를 생성할 수 있다.

이를 통해, 서버는 학습된 인공지능 모델과 자동화된 리버싱 엔진을 이용하여 악성 문서의 탐지율을 극대화할 수 있다.

도 9는 본 명세서가 적용될 수 있는 분석 엔진의 일 실시예이다.

도 9를 참조하면, 서버는 분석 대상이 되는 비실행 파일을 입력받고, 분석 엔진(8000)을 통해, 비실행 파일의 최종 분석 결과를 생성할 수 있다.

예를 들어, 서버는 리버싱 엔진을 이용하여, 분석 대상이 되는 비실행 파일의 문서 행위를 탐지하기 위해, 문서 행위와 매칭되는 지점에 악성 탐지를 위한 중단점을 설정할 수 있다. 또한, 서버는 리버싱 엔진을 이용하여, 분석 대상이 되는 비실행 파일의 취약점 탐지를 위한 중단점을 설정할 수 있다. 또한, 서버는 분석 대상이 되는 비실행 파일의 동적 특징을 추출하기 위한 중단점을 설정할 수 있다.

이를 위해, 서버는 각 중단점들을 설정하기 위한 설정값을 포함할 수 있다.

서버는 비실행 파일의 모니터링 결과에 근거하여, 악성이 탐지되지 않는 경우, 동적 특징 데이터를 생성한다(S9010). 예를 들어, 서버는 악성 탐지를 위한 중단점에서 비실행 파일과 관련된 응용프로그램 프로세스가 중단되지 않는 경우, 악성이 탐지되지 않는다고 판단할 수 있다. 이 경우, 서버는 동적 특징을 추출하기 위한 중단점에 근거하여, 비실행 파일의 동적 특징을 추출할 수 있다. 이를 위한 동작은 전술한 도 7의 동작과 동일 또는 유사하게 수행될 수 있다.

서버는 악성이 탐지되는 것에 근거하여, 비실행 파일의 취약점 또는 동적 특징을 탐지한다(S9020). 예를 들어, 서버는 중단점에서 응용프로그램 프로세스가 중단되는 경우, 디버거를 통해, 어떤 중단점에서 중단되었는지를 확인할 수 있다. 악성 탐지를 위한 중단점에 근거하여, 비실행 파일의 악성이 탐지되면, 서버는 취약점 탐지를 위한 중단점 및 동적 특징을 추출하기 위한 중단점에 근거하여, 취약점 또는 동적 특징을 탐지할 수 있다.

보다 자세하게, 서버는 비실행 파일과 관련된 응용프로그램 프로세스가 중단되면, 당해 중단점이 취약점 탐지를 위한 중단점인지 판단하고, 취약점 탐지를 위한 중단점이라면, 취약점을 탐지한다. 취약점 탐지가 되지 않는 경우, 서버는 동적 특징을 탐지할 수 있다.

예를 들어, 서버는 응용프로그램의 프로세스가 취약점 탐지를 위한 중단점에서 중단된 경우, 당해 중단점의 지정된 값을 검사하여, 비정상적인 값이 입력되면, 취약점 탐지를 할 수 있다.

보다 자세하게, 서버가 CVE-20XX-XXXX라는 취약점을 탐지하기 위한 중단점을 설정하고, 당해 중단점에서 비실행 파일과 관련된 응용프로그램의 프로세스가 중단한 경우, 서버는 EAX 레지스터를 검사할 수 있다. 만일, EAX 레지스터의 값이 정상값 범위 내라면, 정상 프로세스가 실행되고 있다고 판단될 수 있다. 하지만, EAX 레지스터의 값이 정상값 범위를 벗어난 경우, 서버는 CVE-20XX-XXXX를 취약점으로 탐지할 수 있다.

서버는 취약점 탐지가 되지 않고, 응용프로그램의 프로세스가 동적 특징 추출을 위한 중단점에서 중단된 경우, 당해 중단점의 지정된 값을 확인하여 동적 특징으로 탐지할 수 있다.

서버는 취약점 또는 동적 특징의 탐지에 근거하여, 엔진 분석 결과를 생성한다(S9030). 예를 들어, 서버는 중단점 별로, 취약점 여부 및/또는 동적 특징 데이터가 포함된 엔진 분석 결과를 생성할 수 있다. 또한, 엔진 분석 결과는 정적 분석 엔진을 통해 분석된 정적 분석 결과가 포함될 수 있다.

서버는 인공지능 모델에 동적 특징 데이터 및/또는 정적 특징 데이터를 입력하여, 인공지능 모델 분석 결과를 생성한다(S9040). 예를 들어, 서버는 정적 분석 엔진을 통해 추출된 정적 특징 데이터 및/또는 동적 특징 데이터를 학습된 인공지능 모델에 입력하고, 인공지능 모델로부터 분석 대상이 되는 비실행 파일의 악성 확률 정보가 포함된 인공지능 모델 분석 결과를 추출해 낼 수 있다.

서버는 인공지능 모델 분석 결과 및 엔진 분석 결과에 근거하여, 최종 분석 결과를 생성한다(S9050). 예를 들어, 서버는 엔진 분석 결과에 근거하여, 취약점이 탐지된 경우, 분석 대상이 되는 비실행 파일을 악성이라고 판단할 수 있다. 만일, 취약점이 탐지되지 않고, 악성이 탐지된 경우, 서버는 인공지능 모델 분석 결과에 근거하여, 인공지능 모델이 예측한 악성 예측치가 제1 특정값 보다 이상이면, 악성이라고 판단할 수 있다. 만일, 악성 예측치가 제1 특정값보다 낮고, 제2 특정값보다 높은 경우에 서버는 분석 대상이 되는 비실행 파일을 의심이라고 판단하고, 악성 예측치가 제2 특정값보다 낮은 경우에는 비실행 파일을 정상이라고 판단할 수 있다. 여기서, 제1 특정값은 제2 특정값 보다 높은 값으로 설정될 수 있다.

도 10은 본 명세서가 적용될 수 있는 최종 분석 결과의 예시이다.

도 10을 참조하면, 서버는 인공지능 모델 분석 결과 및 엔진 분석 결과에 근거하여, 최종 분석 결과를 생성할 수 있다. 이를 위해, 인공지능 모델 분석 결과에 근거하는 인공지능 모델의 악성 예측치는 분석 대상이 되는 비실행 파일의 타입, 분석 엔진(8000)의 사용환경 등에 따라 설정될 수 있다.

예를 들어, 제1 특정값이 80%, 제2 특정값이 50%로 설정되는 경우, 서버는 취약점이 탐지되지 않고, 악성이 탐지되는 비실행 파일의 경우, 악성 예측값이 80% 이상인 경우, 악성으로 최종 분석 결과를 생성할 수 있다.

악성 탐지되지 않고, 취약점도 탐지되지 않은 비실행 파일의 경우, 서버는 악성 예측값이 50% 이하인 경우, 정상으로 최종 분석 결과를 생성할 수 있다.

전술한 본 명세서는, 프로그램이 기록된 매체에 컴퓨터가 읽을 수 있는 코드로서 구현하는 것이 가능하다. 컴퓨터가 읽을 수 있는 매체는, 컴퓨터 시스템에 의하여 읽혀 질 수 있는 데이터가 저장되는 모든 종류의 기록장치를 포함한다. 컴퓨터가 읽을 수 있는 매체의 예로는, HDD(Hard Disk Drive), SSD(Solid State Disk), SDD(Silicon Disk Drive), ROM, RAM, CD-ROM, 자기 테이프, 플로피 디스크, 광 데이터 저장 장치 등이 있으며, 또한 캐리어 웨이브(예를 들어, 인터넷을 통한 전송)의 형태로 구현되는 것도 포함한다. 따라서, 상기의 상세한 설명은 모든 면에서 제한적으로 해석되어서는 아니되고 예시적인 것으로 고려되어야 한다. 본 명세서의 범위는 첨부된 청구항의 합리적 해석에 의해 결정되어야 하고, 본 명세서의 등가적 범위 내에서의 모든 변경은 본 명세서의 범위에 포함된다.

또한, 이상에서 서비스 및 실시 예들을 중심으로 설명하였으나 이는 단지 예시일 뿐 본 명세서를 한정하는 것이 아니며, 본 명세서가 속하는 분야의 통상의 지식을 가진 자라면 본 서비스 및 실시 예의 본질적인 특성을 벗어나지 않는 범위에서 이상에 예시되지 않은 여러 가지의 변형과 응용이 가능함을 알 수 있을 것이다. 예를 들어, 실시 예들에 구체적으로 나타난 각 구성 요소는 변형하여 실시할 수 있는 것이다. 그리고 이러한 변형과 응용에 관계된 차이점들은 첨부한 청구 범위에서 규정하는 본 명세서의 범위에 포함되는 것으로 해석되어야 할 것이다.

Claims (7)

1. 서버가 인공지능 모델을 이용하여 비실행 파일의 악성을 탐지하기 위한 방법에 있어서,
   상기 비실행 파일의 취약점을 탐지하기 위한 제1 중단점 또는 동적 특징을 탐지하기 위한 제2 중단점을 설정하는 단계;
   상기 제1 중단점 또는 상기 제2 중단점에 근거하여, 상기 취약점 또는 상기 동적 특징을 탐지하는 단계;
   상기 취약점 또는 상기 동적 특징의 탐지에 근거하여, 상기 비실행 파일의 엔진 분석 결과를 생성하는 단계;
   상기 악성을 탐지하기 위한 상기 인공지능 모델에 상기 동적 특징의 데이터를 입력하여, 인공지능 모델 분석 결과를 생성하는 단계; 및
   상기 엔진 분석 결과 및 상기 인공지능 모델 분석 결과에 근거하여, 최종 분석 결과를 생성하는 단계;
   를 포함하며,
   상기 동적 특징은
   디버깅(debugging) 엔진을 통해 추출되는 정보로서, 1) 상기 비실행 파일의 실행 시, 외부 연결(link)과 관련된 제1 특징, 2) 매크로의 자동실행과 관련된 제2 특징, 및 3) 상기 비실행 파일의 실행 시, 생성되는 자식 프로세스와 관련되는 제3 특징을 포함하며,
   상기 인공지능 모델 분석 결과는
   상기 인공지능 모델이 예측한 상기 비실행 파일의 악성 확률에 대한 예측값을 포함하고,
   상기 최종 분석 결과는
   상기 예측값에 근거하여, 정상, 의심, 또는 악성 여부에 대한 정보를 포함하는, 탐지방법.
   
2. 삭제
3. 삭제
4. 삭제
5. 제1항에 있어서,
   상기 비실행 파일의 취약점 또는 동적 특징을 탐지하는 단계는
   상기 취약점을 탐지하는 단계; 및
   상기 취약점이 탐지되지 않는 것에 근거하여, 상기 동적 특징을 탐지하는 단계;
   를 포함하는, 탐지방법.
   
6. 삭제
7. 인공지능 모델을 이용하여 비실행 파일의 악성을 탐지하기 위한 서버에 있어서,
   통신부;
   디버깅(debugging) 엔진 및 상기 인공지능 모델이 포함된 메모리; 및
   상기 통신부 및 상기 메모리를 기능적으로 제어하는 프로세서; 를 포함하고,
   상기 프로세서는
   상기 비실행 파일의 취약점을 탐지하기 위한 제1 중단점 또는 동적 특징을 탐지하기 위한 제2 중단점을 설정하고, 상기 제1 중단점 또는 상기 제2 중단점에 근거하여, 상기 취약점 또는 상기 동적 특징을 탐지하고, 상기 취약점 또는 상기 동적 특징의 탐지에 근거하여, 상기 비실행 파일의 엔진 분석 결과를 생성하며, 상기 악성을 탐지하기 위한 상기 인공지능 모델에 상기 동적 특징의 데이터를 입력하여, 인공지능 모델 분석 결과를 생성하고, 상기 엔진 분석 결과 및 상기 인공지능 모델 분석 결과에 근거하여, 최종 분석 결과를 생성하며, 상기 동적 특징은 디버깅(debugging) 엔진을 통해 추출되는 정보로서, 1) 상기 비실행 파일의 실행 시, 외부 연결(link)과 관련된 제1 특징, 2) 매크로의 자동실행과 관련된 제2 특징, 및 3) 상기 비실행 파일의 실행 시, 생성되는 자식 프로세스와 관련되는 제3 특징을 포함하고, 상기 인공지능 모델 분석 결과는 상기 인공지능 모델이 예측한 상기 비실행 파일의 악성 확률에 대한 예측값을 포함하며, 상기 최종 분석 결과는 상기 예측값에 근거하여, 정상, 의심, 또는 악성 여부에 대한 정보를 포함하는, 서버.
   

Images