KR20150124757A

KR20150124757A - 전자 장치의 악성 어플리케이션 처리 방법 및 처리 장치

Info

Publication number: KR20150124757A
Application number: KR1020140051707A
Authority: KR
Inventors: 아키라 오가타; 카즈아키 요시자와
Original assignee: 삼성전자주식회사
Priority date: 2014-04-29
Filing date: 2014-04-29
Publication date: 2015-11-06

Abstract

본 발명은 악성 메시지를 이용한 전자 장치의 악성 어플리케이션 처리 방법에 관한 것이다.
본 발명에 의한 전자 장치의 악성 어플리케이션 처리 방법은 제1 어플리케이션에서 제2 어플리케이션으로 전송되는 메시지를 모니터링하는 동작, 상기 모니터링된 메시지가 악성 메시지인지 여부를 판단하는 동작, 및 상기 메시지가 악성 메시지로 판단되면 상기 메시지가 상기 제2 어플리케이션으로 전송되는 것을 차단하는 동작을 포함할 수 있다.

Description

전자 장치의 악성 어플리케이션 처리 방법 및 처리 장치{PROCESSING METHOD AND PROCESSING DEVICE OF MALICIOUS APPLICATION FOR ELECTRONIC DEVICE}

본 발명의 다양한 실시예들은 악성 어플리케이션의 처리 방법 및 처리 장치에 관한 것이다.

최근 이동통신 기술의 발달로, 전자 장치는 손쉽게 휴대할 수 있으면서도 유무선 네트워크망에 자유로이 접속 가능한 형태로 변모하고 있다. 특히, 이른바 스마트폰(smartphone)이라 불리는 전자 장치는 주소록, 공인인증서, USIM 정보, 위치 정보 등 전자 장치를 사용하는 사용자의 개인정보를 두루 담고 있을 수 있어, 해킹이나 스미싱 등의 범죄의 표적이 되고 있는 실정이다.

이에 수반하여, 전자 장치의 보안 시스템 또는 보안 프로그램(어플리케이션)의 개발이 지속적으로 이루어지고 있다. 이러한 전자 장치의 보안 시스템 등은 통상적으로 어플리케이션 파일을 스캐닝하고, 스캐닝 결과 탐지된 악성 어플리케이션을 삭제하는데 주안점을 두고 있다.

상술한 바와 같은 보안 시스템 등은 어플리케이션 파일의 삭제 전까지는 악성 어플리케이션에 의한 공격에 적절히 대처할 수 없다. 아울러, 정상적인 어플리케이션이 악성 어플리케이션에 의하여 감염된 것으로 판단되어, 감염된 어플리케이션을 삭제하는 경우, 감염되기 이전의 어플리케이션의 데이터 또한 역시 삭제되어 통상적인 수단으로는 복구할 수 없게 된다. 또한 악성 어플리케이션에 의하여 감염된 어플리케이션은 삭제되므로 악성 어플리케이션이 의도하지 않은 정상적인 동작마저 수행될 수 없게 된다.

따라서, 본 발명은 어플리케이션 파일 스캐닝을 통하지 않고도 악성 어플리케이션을 탐지하고, 악성 어플리케이션의 공격을 차단하며, 악성 어플리케이션에 의하여 감염된 프로그램을 처리하는 방법 및 이를 수행하는 전자 장치를 제공한다.

본 발명의 다양한 실시예에 따른 악성 어플리케이션 처리하는 전자 장치는, 제1 어플리케이션에서 제2 어플리케이션으로 전송되는 메시지를 모니터링하는 모니터링 모듈, 상기 모니터링된 메시지가 악성 메시지인지 여부를 판단하는 판단 모듈, 및 상기 메시지가 악성 메시지로 판단되면 상기 메시지가 상기 제2 어플리케이션으로 전송되는 것을 차단하는 동작을 포함하는 제어 모듈을 포함할 수 있다.

다양한 실시예에 따른 악성 어플리케이션 처리 방법은, 어플리케이션이 멀웨어에 의하여 감염되었는지 판단하는 동작, 상기 멀웨어가 액세스하고자 하는 리소스에 대한 권한 정보를 획득하는 동작, 및 상기 어플리케이션이 감염된 것으로 판단되면, 상기 어플리케이션에 허가된 적어도 하나의 권한 중에서 상기 획득한 권한 정보에 대응되는 권한을 제한하는 동작을 포함할 수 있다.

본 발명의 다양한 실시예에 의하면, 악성 어플리케이션에서 공격 대상이 된 어플리케이션으로 악성 메시지가 전송되는 것을 미연에 방지할 수 있다. 또한 악성 어플리케이션의 메시지로부터 악성 어플리케이션을 탐지할 수 있게 되고, 탐지한 어플리케이션에 대하여 적절한 조치가 가능해진다. 이로써 일반적인 보안 시스템에 있어서 수행되는 어플리케이션 파일 스캐닝을 요하지 않으므로 악성 어플리케이션의 검출에 소요되는 시간을 단축할 수 있다.

또한 다양한 실시예에 의하면, 악성 어플리케이션을 격리하므로 악성 어플리케이션에 의한 공격을 방지할 수 있으면서도 악성 어플리케이션의 어플리케이션 파일 또는 데이터를 유지할 수 있다. 이로써 정상적인 어플리케이션을 악성 어플리케이션으로 오판한 경우에도, 기 생성한 유용한 데이터는 삭제되지 않을 수 있다.

또한, 다양한 실시예에 의하면, 악성 어플리케이션에 의하여 감염된 어플리케이션이 액세스하려는 리소스의 권한 중, 유해한 기능을 수행하는 리소스에의 액세스 권한만을 불승인할 수 있으므로, 유해한 리소스에 대한 액세스만을 차단하면서 유용한 기능의 일부 또는 전부를 잠정적으로 수행할 수 있게 된다. 이로써, 어플리케이션을 삭제하는 것에 비하여, 사용자는 감염된 어플리케이션을 이용하더라도, 안전하게 유용한 기능의 일부 또는 전부를 여전히 사용할 수 있다.

도 1은 다양한 실시예에 따른 악성 어플리케이션 처리 방법을 수행하는 전자 장치를 나타낸다.
도 2는 다양한 실시예에 따른 악성 어플리케이션 처리 모듈을 나타낸다.
도 3은 다양한 실시예에 따른 악성 어플리케이션 처리 흐름을 나타낸다.
도 4는 다양한 실시예에 따른 또 다른 악성 어플리케이션 처리 흐름을 나타낸다.
도 5는 다양한 실시예에 따른 악성 어플리케이션의 격리를 나타낸다.
도 6은 다양한 실시예에 따른 어플리케이션의 격리를 포함한 악성 어플리케이션 처리 흐름을 나타낸다.
도 7의 (a)는 다양한 실시예에 따른 정상적인 어플리케이션의 리소스(resource)에 대한 액세스를 나타내고, (b)는 다양한 실시예에 따른 감염된 어플리케이션의 리소스에 대한 액세스를 나타낸다.
도 8은 다양한 실시예에 따른 감염된 어플리케이션의 처리 흐름을 나타낸다.
도 9는 다양한 실시예들에 따른 전자 장치의 블록도를 나타낸다.

이하, 본 발명의 다양한 실시예가 첨부된 도면과 연관되어 기재된다. 본 발명의 다양한 실시예는 다양한 변경을 가할 수 있고 여러 가지 실시예를 가질 수 있는바, 특정 실시예들이 도면에 예시되고 관련된 상세한 설명이 기재되어 있다. 그러나 이는 본 발명의 다양한 실시예를 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 다양한 실시예의 사상 및 기술 범위에 포함되는 모든 변경 및/또는 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다. 도면의 설명과 관련하여, 유사한 구성요소에 대해서는 유사한 참조 부호가 사용되었다.

본 발명의 다양한 실시예 가운데 사용될 수 있는 "포함한다." 또는 "포함할 수 있다." 등의 표현은 개시된 해당 기능, 동작 또는 구성요소 등의 존재를 가리키며, 추가적인 하나 이상의 기능, 동작 또는 구성요소 등을 제한하지 않는다. 또한 본 발명의 다양한 실시예에서, "포함하다." 또는 "가지다." 등의 용어는 명세서상에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성요소, 부품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.

본 발명의 다양한 실시예에서 "또는" 등의 표현은 함께 나열된 단어들의 어떠한, 그리고 모든 조합을 포함한다. 예를 들어, "A 또는 B"는, A를 포함할 수도, B를 포함할 수도, 또는 A와 B 모두를 포함할 수도 있다.

본 발명의 다양한 실시예 가운데 "제1", "제2", "첫째", 또는 "둘째" 등의 표현들이 본 발명의 다양한 실시예의 다양한 구성요소들을 수식할 수 있지만, 해당 구성요소들을 한정하지 않는다. 예를 들어, 상기 표현들은 해당 구성요소들의 순서 및/또는 중요도 등을 한정하지 않는다. 상기 표현들은 한 구성요소를 다른 구성요소와 구분 짓기 위해 사용될 수 있다. 예를 들어, 제1 사용자 기기와 제2 사용자 기기는 모두 사용자 기기이며, 서로 다른 사용자 기기를 나타낸다. 예를 들어, 본 발명의 다양한 실시예의 권리 범위를 벗어나지 않으면서 제1 구성요소는 제2 구성요소로 명명될 수 있고, 유사하게 제2 구성요소도 제1 구성요소로 명명될 수 있다.

어떤 구성요소가 다른 구성요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 중간에 다른 구성요소가 존재하지 않는 것으로 이해될 수 있어야 할 것이다.

본 발명의 다양한 실시예에서 사용한 용어는 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 본 발명의 다양한 실시예를 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다.

다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명의 다양한 실시예가 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가지고 있다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥 상 가지는 의미와 일치하는 의미를 가지는 것으로 해석되어야 하며, 본 발명의 다양한 실시예에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.

본 발명의 다양한 실시예에 따른 전자 장치는, 통신 기능이 포함된 장치일 수 있다. 예를 들면, 전자 장치는 스마트 폰(smartphone), 태블릿 PC(tablet personal computer), 이동 전화기(mobile phone), 화상전화기, 전자북 리더기(e-book reader), 데스크톱 PC(desktop personal computer), 랩탑 PC(laptop personal computer), 넷북 컴퓨터(netbook computer), PDA(personal digital assistant), PMP(portable multimedia player), MP3 플레이어, 모바일 의료기기, 카메라(camera), 또는 웨어러블 장치(wearable device)(예: 전자 안경과 같은 head-mounted-device(HMD), 전자 의복, 전자 팔찌, 전자 목걸이, 전자 앱세서리(appcessory), 전자 문신, 또는 스마트 와치(smartwatch))중 적어도 하나를 포함할 수 있다.

어떤 실시예들에 따르면, 전자 장치는 통신 기능을 갖춘 스마트 가전 제품(smart home appliance)일 수 있다. 스마트 가전 제품은, 예를 들자면, 전자 장치는 텔레비전, DVD(digital video disk) 플레이어, 오디오, 냉장고, 에어컨, 청소기, 오븐, 전자레인지, 세탁기, 공기 청정기, 셋톱 박스(set-top box), TV 박스(예를 들면, 삼성 HomeSync^TM, 애플TV^TM, 또는 구글 TV^TM), 게임 콘솔(game consoles), 전자 사전, 전자 키, 캠코더(camcorder), 또는 전자 액자 중 적어도 하나를 포함할 수 있다.

어떤 실시예들에 따르면, 전자 장치는 각종 의료기기(예: MRA(magnetic resonance angiography), MRI(magnetic resonance imaging), CT(computed tomography), 촬영기, 초음파기 등), 네비게이션(navigation) 장치, GPS 수신기(global positioning system receiver), EDR(event data recorder), FDR(flight data recorder), 자동차 인포테인먼트(infotainment) 장치, 선박용 전자 장비(예: 선박용 항법 장치 및 자이로 콤파스 등), 항공 전자기기(avionics), 보안 기기, 차량용 헤드 유닛, 산업용 또는 가정용 로봇, 금융 기관의 ATM(automatic teller? machine) 또는 상점의 POS(point of sales) 중 적어도 하나를 포함할 수 있다.

어떤 실시예들에 따르면, 전자 장치는 통신 기능을 포함한 가구(furniture) 또는 건물/구조물의 일부, 전자 보드(electronic board), 전자 사인 입력장치(electronic signature receiving device), 프로젝터(projector), 또는 각종 계측기기(예: 수도, 전기, 가스, 또는 전파 계측 기기 등) 중 적어도 하나를 포함할 수 있다. 본 발명의 다양한 실시예에 따른 전자 장치는 전술한 다양한 장치들 중 하나 또는 그 이상의 조합일 수 있다. 또한, 본 개시에 따른 전자 장치는 플렉서블 장치일 수 있다. 또한, 본 발명의 다양한 실시예에 따른 전자 장치는 전술한 기기들에 한정되지 않음은 당업자에게 자명하다.

이하, 첨부된 도면을 참조하여 다양한 실시예에 따른 전자 장치에 대해서 살펴본다. 다양한 실시예에서 이용되는 사용자라는 용어는 전자 장치를 사용하는 사람 또는 전자 장치를 사용하는 장치(예: 인공지능 전자 장치)를 지칭할 수 있다.

본 명세서에 있어서, 악성 프로그램, 악성 어플리케이션, 악성 소프트웨어(또는 멀웨어(malware)), 및 악성 코드 등은, 사용자의 전자 장치에 포함되어 사용자의 개인 정보를 수집하고, 수집된 개인 정보를 네트워크를 통해 다른 기기로 전송하거나 스미싱 등 기타 불법적인 목적으로 사용하는 기능을 갖는 프로그램, 어플리케이션, 소프트웨어, 코드 등을 의미할 수 있다.

도 1은 다양한 실시예에 따른 악성 어플리케이션 처리 방법을 수행하는 전자 장치를 나타낸다.

도 1을 참조하면, 전자 장치 1000은 휘발성 메모리(예 RAM) 상의 어플리케이션 환경 A 및 보조 기억 장치(예 비휘발성 메모리) 상의 파일 스토리지 B를 포함할 수 있다. 어플리케이션 환경 A는 제1 어플리케이션 210p, 제2 어플리케이션 220p, 제3 어플리케이션(악성 어플리케이션) 230p, 제4 어플리케이션 240p, 악성 어플리케이션 처리 모듈 100을 포함할 수 있다.

또한, 파일 스토리지 B는 제1 어플리케이션의 어플리케이션 파일 210f 및 데이터 210d, 제2 어플리케이션의 어플리케이션 파일 220f 및 데이터 220d, 제3 어플리케이션(악성 어플리케이션)의 어플리케이션 파일 230f 및 데이터 230d, 제4 어플리케이션의 어플리케이션 파일 240f 및 데이터 240d를 포함할 수 있다.

제1~4 어플리케이션 210p~240p은 각각 어플리케이션 환경 A에서 구동되며, 이들과 연관된 각각의 어플리케이션 파일 210f~240f 및 데이터 210d~240d는 파일 스토리지 B에 저장될 수 있다. 한편, 도 1에 있어서 제1~4 어플리케이션 210p~240p, 이들의 어플리케이션 파일 210f~240f 및 데이터 210d~240d은 4개의 어플리케이션에 대하여 도시되고 설명되어 있으나, 다른 개수의 어플리케이션, 어플리케이션 파일 및 데이터가 존재할 수 있다.

제1~4 어플리케이션 210p~240p는 각각 어플리케이션 환경 A에서 구동되는 제1~4 어플리케이션 그 자체를 지칭하거나, 제1~4 어플리케이션이 구동되고 있는 프로세스를 지칭할 수 있다. 프로세스 간 통신(inter process communications; IPCs), 특히 어플리케이션의 프로세스 간 통신에 있어서는 어플리케이션 사이에 일정한 메시지가 송수신될 수 있다. 이때 메시지는 어느 한 어플리케이션이 다른 어플리케이션의 구성 요소를 호출하거나 특정 정보를 전송하기 위하여 사용될 수 있다. 도 1에서는 프로세스 간 통신(IPCs)의 일환으로서 제1~3 어플리케이션 210p~230p와 제4 어플리케이션 240p 사이에는 악성 어플리케이션 처리를 위한 전자 장치 1000를 통하여 각각 제1~3 메시지가 전송되고 있다.

다양한 실시예에서, 안드로이드 운영체제(Android OS)에 있어서 프로세스 간 통신(IPCs)으로 전송되는 제1~3 메시지는 인텐트(intent)일 수 있다.

제1~4 어플리케이션 파일 210f~240f는 파일 스토리지 B에 저장될 수 있다. 제1~4 어플리케이션 파일 210f~240f는 각각 제1~4 어플리케이션 210p~240p를 구동하고 어플리케이션의 기능을 수행하는데 필요한 시스템 파일을 포함할 수 있다. 안드로이드 운영체제에서 제1~4 어플리케이션 파일 210f~240f는 예를 들어 ".apk" 파일일 수 있다.

제1~4 어플리케이션의 데이터 210d~240d는, 제1~4 어플리케이션 210p~240p가 각각 주어진 기능을 수행함에 있어서 사용하는 데이터를 포함할 수 있다. 파일 스토리지 B는 제1~4 어플리케이션 파일 210f~240f 및 제1~4 어플리케이션의 데이터 210d~240d를 각각 대응지어 저장할 수 있다.

도 2는 다양한 실시예에 따른 악성 어플리케이션 처리 모듈 100을 나타낸다.

도 2를 참조하면, 악성 어플리케이션 처리 모듈 100은 모니터링 모듈 101, 판단 모듈 102, 및 제어 모듈 103을 포함할 수 있다. 어플리케이션 간 송수신되는 메시지를 처리하는 메시지 처리기(message handler)(미도시)는 악성 어플리케이션 처리 모듈 100을 포함할 수 있으며, 악성 어플리케이션 처리 모듈 100은 메시지 처리기 그 자체일 수도 있다. 다만 전자 장치 1000가 메시지 처리기 그 자체일 경우에는 다른 구성을 추가적으로 포함할 수도 있다.

모니터링 모듈 101은 어플리케이션(의 프로세스)로부터 전송되는 메시지를 모니터링(monitoring)할 수 있다. 예를 들어, 도 1의 경우 모니터링 모듈 101은 제1~3 어플리케이션의 프로세스 210p~230p에서 제4 어플리케이션의 프로세스 240p로 각각 전송되는 제1~3 메시지를 모니터링할 수 있다.

판단 모듈 102은 모니터링 모듈 101에 의한 메시지 모니터링 결과를 이용하여 모니터링된 메시지가 악성 메시지인지 여부를 판단한다. 이때 모니터링된 메시지가 악성 메시지인지 판단하는 방법으로는, 전자 장치 1000의 내부의 스토리지에 저장된 악성 메시지의 패턴과 상기 모니터링된 메시지를 대조하는 방법을 이용할 수 있다. 다양한 실시예에서 상기 악성 메시지의 패턴은 외부의 서버로부터 획득될 수도 있다.

제어 모듈 103은 판단 모듈 102에서 악성 메시지로 판단된 메시지를 다른 어플리케이션으로 전송되지 않도록 차단할 수 있다. 아울러, 악성 메시지를 전송한 어플리케이션을 악성 어플리케이션으로 판단하고, 악성 어플리케이션의 프로세스를 종료하거나, 악성 어플리케이션의 어플리케이션 파일 및 데이터를 삭제할 수 있다.

예를 들어, 도 1의 제3 어플리케이션 230p로부터 악성 메시지가 전송되면, 모니터링 모듈 101이 어플리케이션 간에 전송되는 메시지를 모니터링할 수 있다. 모니터링 결과를 기초로 판단 모듈 102는 제3 어플리케이션 230p로부터의 메시지를 악성 메시지로 판단하고, (i)제어 모듈 103은 당해 악성 메시지를 차단할 수 있다. 또한, (ii)제어 모듈 103은 당해 악성 메시지를 전송한 제3 어플리케이션을 악성 어플리케이션으로 판단하고, 제3 어플리케이션 230p를 종료시킬 수 있다. (iii)제어 모듈 103은 제3 어플리케이션을 언인스톨, 즉 제3 어플리케이션의 어플리케이션 파일 230f 및 데이터 230d를 삭제할 수 있다.

도 3은 다양한 실시예에 따른 악성 어플리케이션 처리 흐름을 나타낸다.

도 3을 참조하면, 동작 310에서 전자 장치(예 :악성 메시지 처리 모듈 100의 모니터링 모듈 101)는 메시지를 송신하는 어플리케이션에서 다른 어플리케이션으로 전송되는 메시지를 모니터링할 수 있다. 도 1의 예의 경우 악성 메시지 처리 모듈 100의 모니터링 모듈 101은 제1~3 어플리케이션에서 제4 어플리케이션으로 전송되는 제1~3 메시지를 모니터링할 수 있다.

동작 320에서 전자 장치(예 : 악성 메시지 처리 모듈 100의 판단 모듈 102)는 S101 동작에서 모니터링된 메시지가 악성 메시지인지 여부를 판단할 수 있다. 상술한 바와 같이, 모니터링된 메시지가 악성 메시지인지 여부는 전자 장치 내부의 스토리지에 저장된 악성 메시지의 패턴과 모니터링된 메시지를 대조하는 방법을 이용할 수 있다. 다양한 실시예에서 상기 악성 메시지의 패턴은 외부의 서버로부터 획득될 수도 있다. 도 1의 예의 경우 악성 메시지 처리 모듈 100의 판단 모듈 102는 제3 어플리케이션에서 제4 어플리케이션으로 전송되는 제3 메시지를 악성 메시지로 판단할 수 있다.

동작 330에서 모니터링된 메시지가 악성 메시지인 경우 동작 340으로 진행하고, 모니터링된 메시지가 악성 메시지가 아닌 경우 동작 310으로 되돌아가 계속하여 어플리케이션 간 전송되는 메시지를 모니터링 할 수 있다. 도 1의 예의 경우 제3 메시지는 악성 메시지로 판단하였으므로 동작 340으로 진행할 수 있다.

동작 340에서 전자 장치(예 : 악성 메시지 처리 모듈 100의 제어 모듈 103)는 악성 메시지로 판단된 메시지가 다른 어플리케이션으로 전송되는 것을 차단할 수 있다. 도 1의 예의 경우 제어 모듈 103은 악성 메시지로 판단된 제3 메시지가 제4 어플리케이션 240p로 전송되는 것을 차단할 수 있다.

결국, 다양한 실시예에 의한 전자 장치의 악성 어플리케이션 처리 방법은 제1 어플리케이션에서 제2 어플리케이션으로 전송되는 메시지를 모니터링하는 동작, 상기 모니터링된 메시지가 악성 메시지인지 여부를 판단하는 동작, 및 상기 메시지가 악성 메시지로 판단되면 상기 메시지가 상기 제2 어플리케이션으로 전송되는 것을 차단하는 동작을 포함할 수 있다.

도 4는 다양한 실시예에 따른 악성 어플리케이션 또 다른 처리 흐름을 나타낸다. 도 4와 관련하여 상술한 내용과 유사, 중복, 또는 대응되는 내용은 생략될 수 있다.

도 4를 참조하면, 동작 410에서 전자 장치는 어플리케이션 간 전송되는 메시지를 모니터링 할 수 있다.

동작 420에서, 전자 장치는 동작 410에서 모니터링된 메시지가 악성 메시지인지 여부를 판단할 수 있다.

동작 430에서, 모니터링된 메시지가 악성 메시지인 경우 동작 440으로 진행하고, 모니터링된 메시지가 악성 메시지가 아닌 경우 동작 410으로 되돌아가 계속하여 어플리케이션 간 전송되는 메시지를 모니터링 할 수 있다.

동작 440에서, 전자 장치는 악성 메시지로 판단된 메시지가 다른 어플리케이션으로 전송되는 것을 차단할 수 있다.

동작 450에서, 전자 장치(예 : 악성 메시지 처리 모듈 100의 제어 모듈 103)는 동작 440에서 차단된 악성 메시지를 전송한 어플리케이션을 악성 어플리케이션으로 판단할 수 있다. 도 1의 예의 경우 제어 모듈 103은 악성 메시지(제3 메시지)를 전송한 제3 어플리케이션 230p를 악성 어플리케이션으로 판단할 수 있다.

동작 460에서, 전자 장치(예 : 악성 메시지 처리 모듈 100의 제어 모듈 103)는 동작 450에서 악성 어플리케이션으로 판단된 어플리케이션의 프로세스를 종료할 수 있다. 도 1의 예의 경우 제어 모듈 103은 악성 어플리케이션으로 판단된 제3 어플리케이션 230p의 프로세스를 종료할 수 있다.

동작 470에서, 전자 장치(예 : 악성 메시지 처리 모듈 100의 제어 모듈 103)는 악성 어플리케이션으로 판단된 어플리케이션을 언인스톨, 즉 어플리케이션 파일 및/또는 데이터를 삭제할 수 있다. 도 1의 예의 경우 제어 모듈 103은 악성 어플리케이션으로 판단된 제3 어플리케이션 파일 230f 및 데이터 230d를 삭제할 수 있다.

일반적인 악성 어플리케이션 보안 시스템은 파일 스토리지에 저장된 어플리케이션 파일들을 스캐닝하여 악성 어플리케이션을 탐지하고, 탐지된 악성 어플리케이션의 어플리케이션 파일을 삭제한다. 이 일반적인 악성 어플리케이션 보안 시스템에 의하면 악성 어플리케이션이 일단 동작하면 언인스톨될 때까지 공격 대상이 된 어플리케이션을 보호할 수 없다. 그러나, 본 발명의 실시예에 따른 악성 어플리케이션 처리 방법 및 전자 장치에 의하면, 악성 어플리케이션에서 공격 대상이 된 어플리케이션으로 악성 메시지가 전송되는 것을 미연에 방지할 수 있다. 다시 말해 악성 어플리케이션의 행동(behavior) 자체로부터 악성 어플리케이션을 탐지할 수 있게 되고, 악성 어플리케이션으로부터의 악성 행동(malicious behavior)을 차단할 수 있게 된다.

또한, 일반적인 악성 어플리케이션 보안 시스템은 메시지 처리기에서 전송되는 메시지를 모니터링하고, 악성 어플리케이션을 탐지한 때에는 파일 스토리지에 저장된 어플리케이션 파일들을 모두 스캐닝 해야 한다. 이에 따라서 악성 어플리케이션을 탐지하는데 소요되는 시간이 길어진다. 그러나, 본 발명의 실시예에 따른 악성 어플리케이션 처리 방법 및 전자 장치에 의하면, 별도의 어플리케이션 파일들에 대한 스캐닝을 요하지 않으므로 악성 어플리케이션의 검출에 소요되는 시간을 단축할 수 있다.

도 5는 다양한 실시예에 따른 악성 어플리케이션의 격리를 나타낸다. 도 5와 관련하여 상술한 내용과 유사, 중복, 또는 대응되는 내용은 생략될 수 있다.

도 5를 참조하면, 파일 스토리지 B에서 제3 어플리케이션은 앞서 설명한 바와 같이 전자 장치(예 : 악성 메시지 처리 모듈 100의 제어 모듈 103)에 의하여 악성 어플리케이션으로 판단된 것으로 가정한다. 전자 장치(예 : 악성 메시지 처리 모듈 100의 제어 모듈 103)은 악성 어플리케이션으로 판단된 제3 어플리케이션을 격리할 수 있다.

여기서 어플리케이션의 격리란, 어플리케이션의 소스 파일(또는 어플리케이션 파일, 설치 파일, 안드로이드 운영체제에서의 ".apk" 파일) 및 데이터를 파일 스토리지에서 삭제하지 않으면서도, 어플리케이션 파일 및 데이터에 대한 실행, 런칭(launching), 호출, 액세스 등을 불가능하게 하고, 동시에 당해 어플리케이션이 다른 어플리케이션, 리소스 등에 대하여 호출, 액세스 등을 할 수 없게 하는 것을 의미할 수 있다. 도 5에서 제3 어플리케이션을 격리하는 경우, 개념적으로 제3 어플리케이션 파일 230f 및 데이터 230d를 점선으로 둘러싸는 것으로 나타낼 수 있다.

또한, 다양한 실시예에 따르면, 전자 장치(예 : 악성 메시지 처리 모듈 100의 제어 모듈 103)는 지정된 조건 만족시 악성 어플리케이션으로 판단된 어플리케이션의 격리를 해제할 수 있다. 지정된 조건에는 예를 들어 (i)사용자로부터 어플리케이션의 격리를 해제하는 입력을 수신하는 경우 이외에, (ii)소정의 기간 동안 악성 어플리케이션으로 판단된 어플리케이션이 악성 메시지의 전송을 하지 않는 경우, (iii)악성 메시지를 탐지시에 이용되는 별도의 스토리지에 저장된 악성 메시지의 패턴이 업데이트되어 일전에 악성 어플리케이션으로 판단된 어플리케이션이 더 이상 악성 메시지로 판단되지 않게 된 경우 등이 있을 수 있다.

도 6은 다양한 실시예에 따른 어플리케이션의 격리를 포함한 악성 어플리케이션 처리 흐름을 나타낸다. 도 6과 관련하여 상술한 내용과 유사, 중복, 또는 대응되는 내용은 생략될 수 있다.

도 6을 참조하면, 동작 610에서 전자 장치는 어플리케이션 간 전송되는 메시지를 모니터링 할 수 있다.

동작 620에서, 전자 장치는 동작 610에서 모니터링된 메시지가 악성 메시지인지 여부를 판단할 수 있다.

동작 630에서, 모니터링된 메시지가 악성 메시지인 경우 동작 640으로 진행하고, 모니터링된 메시지가 악성 메시지가 아닌 경우 동작 610으로 되돌아가 계속하여 어플리케이션 간 전송되는 메시지를 모니터링 할 수 있다.

동작 640에서, 전자 장치는 악성 메시지로 판단된 메시지가 다른 어플리케이션으로 전송되는 것을 차단할 수 있다.

동작 650에서, 전자 장치는 동작 440에서 차단된 악성 메시지를 전송한 어플리케이션을 악성 어플리케이션으로 판단할 수 있다.

동작 660에서, 전자 장치는 동작 650에서 악성 어플리케이션으로 판단된 어플리케이션의 프로세스를 종료할 수 있다. 도 1의 예의 경우 제어 모듈 103은 악성 어플리케이션으로 판단된 제3 어플리케이션 230p의 프로세스를 종료할 수 있다.

동작 670에서 전자 장치(예 : 악성 메시지 처리 모듈 100의 제어 모듈 103)는 악성 어플리케이션으로 판단된 어플리케이션을 격리, 즉 어플리케이션의 소스 파일(어플리케이션 파일 등) 및 데이터를 삭제하지 않으면서 어플리케이션 파일 또는 데이터에의 액세스 등을 불가능하게 할 수 있다. 도 1의 예의 경우 제어 모듈 103은 악성 어플리케이션으로 판단된 제3 어플리케이션의 제3 어플리케이션 파일 230p 또는 데이터230d를 유지하면서, 제3 어플리케이션을 격리할 수 있다.

또한, 다양한 실시예에 따르면, 도시하지는 않았으나 동작 670 이후에 동작 680으로, 상술하였던 지정된 조건에 따라서 어플리케이션의 격리를 해제하는 동작을 포함할 수도 있다.

본 발명에 따른 다양한 실시예에 의하면, 어플리케이션의 격리를 통하여 악성 어플리케이션으로 판단된 어플리케이션에 의한 공격을 방지할 수 있으면서도 악성 어플리케이션으로 판단된 어플리케이션의 소스 파일(혹은 어플리케이션 파일 등) 또는 데이터를 유지할 수 있다.

악성 어플리케이션은 일전에 정상적인 어플리케이션이었지만 다른 악성 어플리케이션 등에 의하여 감염될 수 있고, 감염된 어플리케이션은 또 다른 악성 어플리케이션으로 판단될 수도 있다. 이러한 경우에도 본 발명에 따른 다양한 실시예에 의하면, 악성 어플리케이션으로 판단되었음에도 불구하고 정상적인 어플리케이션이었을 때 생성된 유용한 데이터는 삭제되지 않을 수 있다.

더욱이, 어플리케이션의 격리를 이용하면, 정상적인 어플리케이션을 악성 어플리케이션으로 오판한 경우에도, 정상적인 어플리케이션이었을 때 생성한 유용한 데이터는 삭제되지 않을 수 있다. 그러므로, 이후에 지정된 조건에 따라 어플리케이션의 격리를 해제하면 상기 유용한 데이터를 다시 사용할 수 있다.

또한, 사용자 측면에서는 악성 어플리케이션의 삭제, 방치 이외에 격리라는 새로운 선택지를 제공할 수 있는 이점이 있다.

도 7의 (a)는 다양한 실시예에 따른 정상적인 어플리케이션의 리소스(resource)에 대한 액세스를 나타내고, (b)는 다양한 실시예에 따른 감염된 어플리케이션의 리소스에 대한 액세스를 나타낸다.

어플리케이션은 그 기능을 수행하기 위하여 프레임워크의 리소스에 액세스할 수 있다. 이때 어플리케이션이 리소스에 액세스하기 위하여는 소정의 권한을 필요로 할 수 있다. 한편, 리소스는 어플리케이션의 기능을 수행하기 위한 하드웨어적 또는 소프트웨어적인 구성을 포함할 수 있다.

도 7의 (a)를 참조하면, 750N은 정상적인 어플리케이션, 700은 프레임워크(framework), 721~725는 리소스를 나타낸다. 711~715는 리소스 721~725 각각에 액세스하기 위한 권한을 나타낸다. 프레임워크 700 상의 리소스 721~725는 주소록 721, 장치 정보 722, 네트워크 723, 외부 메모리 724, 및 위치 정보 725일 수 있다. 또한, 권한 A 711은 주소록 721에 액세스하기 위한 권한이고, 권한 B 712는 장치 정보 722에 액세스하기 위한 권한이고, 권한 C 713은 네트워크 723에 액세스하기 위한 권한이고, 권한 D 714는 외부 메모리 724에 액세스하기 위한 권한이고, 권한 E 715는 위치 정보 725에 액세스하기 위한 권한일 수 있다.

한편, 도 7에 있어서, 상기 리소스 721~725와, 이에 대응하는 권한 711~715는 5개의 리소스에 대하여 도시되고 설명되어 있으나, 다른 수의 리소스 및 이에 대응하는 권한이 포함할 수 있다.

구체적으로 어플리케이션 750N은 정상적인 기능을 수행하기 위하여 허가된 권한 A 711 및 권한 D 714를 통하여 프레임워크 700 상의 주소록 721 및 외부 메모리 724에 액세스할 수 있다.

도 7의 (b)를 참조하면, 750I는 악성 어플리케이션(이하, 멀웨어(malware))에 의하여 감염된 어플리케이션일 수 있다(이하에서는 '감염된 어플리케이션'이라고도 한다). 도 7의 정상적인 어플리케이션 750N과는 달리, 감염된 어플리케이션 750I는 권한 A 711, B 712, D 714, 및 E 715이 허가되어 있다. 감염된 어플리케이션 750I는 이러한 권한 A 711, B 712, D 714, 및 E 715를 통하여 주소록 721, 장치 정보 722, 외부 메모리 724, 및 위치 정보 725에 대한 액세스를 시도할 수 있다.

본 발명의 다양한 실시예에 따르면, 전자 장치는 어플리케이션 750N이 멀웨어에 의하여 감염되었는지 여부를 판단할 수 있고, 멀웨어가 액세스하고자 하는 리소스에 관한 권한 정보를 획득할 수 있다. 또한, 전자 장치는 획득한 상기 멀웨어의 권한 정보를 참조하여, 감염된 어플리케이션에 허가된 권한 중에서 상기 획득한 멀웨어의 권한 정보에 대응되는 권한을 제한할 수 있다.

전자 장치는 다양한 탐지 방법에 의하여 정상적인 어플리케이션 750N이 멀웨어에 의하여 감염되었는지 여부를 판단할 수 있다. 어플리케이션 750N의 감염 여부를 탐지하는 방법으로는 예를 들어 상술한 바와 같은 악성 메시지로 탐지하는 방법, 및 어플리케이션 파일을 스캐닝하여 탐지하는 방법 등이 있을 수 있다.

또한, 전자 장치는, 멀웨어가 주소록 721, 장치 정보 722, 및 위치 정보 725에 액세스하기 위하여 권한 A 711, B 712, E 715를 이용한다는 권한 정보를 획득할 수 있다. 멀웨어의 상기 권한 정보는 전자 장치 내부에 마련된 데이터베이스로부터 획득될 수 있으며, 또는 네트워크망을 통해 외부 서버로부터 획득될 수도 있다.

또한, 전자 장치는 어플리케이션 750N이 멀웨어에 의하여 감염되었다고 판단하면, 멀웨어의 상기 권한 정보를 기초로, 감염된 어플리케이션 750I가 액세스하고자 하는 리소스에 대한 권한 A 411, B 412, D 414, 및 E 415 중에서 상기 획득하였던 멀웨어의 권한 정보에 대응되는 권한 A 411, B 412, 및 E 415를 제한할 수 있다. 이로써, 감염된 어플리케이션 750I로부터의 액세스의 권한 가운데 외부 메모리 724에 액세스하기 위한 권한 D 714만이 승인되고, 주소록 721, 장치 정보 722, 및 위치 정보 725에 액세스하기 위한 권한 A 411, B 412, E 415는 제한될 수 있다.

한편, 다양한 실시예에 따르면, 상기 전자 장치는 멀웨어(혹은, 악성 어플리케이션, 악성 프로그램, 악성 코드 등)를 탐지할 수 있는 보안 프로그램(또는 어플리케이션) 또는 보안 프로그램을 포함한 장치로 구현될 수 있다. 안드로이드 운영체제인 경우 상기 권한 A~E 711~715는 퍼미션(permission)일 수 있다. 또, 어플리케이션이 리소스에 액세스하기 위한 퍼미션의 할당(허가) 정보는, 어플리케이션 고유의 정보를 포함하는 매니페스트(manifest) 정보에 포함될 수 있다. 예를 들어, 도 7 (a)의 경우 정상적인 어플리케이션 750N이 주소록 721 및 외부 메모리 724에 액세스하기 위한 퍼미션 A 711 및 D 714의 할당 정보는 어플리케이션 750N의 매니페스트 정보에 포함될 수 있다. 또한, 도 7 (b)의 경우 감염된 어플리케이션 750I가 주소록 721, 장치 정보 722, 외부 메모리 724, 및 위치 정보 725에 액세스하기 위한 퍼미션 A 711, B 712, D 714, 및 E 715는 감염된 어플리케이션 750I의 매니페스트 정보에 포함될 수 있다.

또한, 본 발명의 다양한 실시예에 의하면, 상기 전자 장치는 사용자에게 시각적인 정보를 전달할 수 있는 디스플레이를 포함할 수 있다. 전자 장치는 상기 디스플레이를 통하여 제한된 권한의 내역을 사용자에게 시각적으로 제공할 수도 있다.

도 8은 다양한 실시예에 따른 감염된 어플리케이션의 처리 흐름을 나타낸다.

도 8을 참조하면, 동작 810에서 전자 장치는 어플리케이션이 멀웨어에 의하여 감염되었는지 여부를 판단할 수 있다. 감염 여부의 판단 방법은 상술한 바와 같이, 악성 메시지로부터 탐지하는 방법 및 어플리케이션 파일을 스캐닝하는 방법 등이 있을 수 있다. 어플리케이션이 멀웨어에 의하여 감염된 것으로 판단되면(동작 810에서 Y) S402 동작으로 진행할 수 있고, 그렇지 않은 경우(동작 810에서 N) 멀웨어의 처리 방법을 종료할 수 있다. 예를 들어 도 7 (b)의 경우 전자 장치는 어플리케이션 750I가 멀웨어에 의하여 감염된 것으로 판단할 수 있다.

동작 820에서 전자 장치는 전자 장치 내부에 마련된 데이터베이스 또는 외부의 서버로부터 멀웨어가 액세스하고자 하는 리소스에 대한 권한 정보를 획득할 수 있다. 예를 들어 도 7 (b)의 경우 전자 장치는 멀웨어가 주소록 721, 장치 정보 722, 및 위치 정보 725에 액세스하기 위하여 권한 A 711, B 712, E 715를 이용한다는 권한 정보를 획득할 수 있다.

동작 830에서 전자 장치는 동작 820에서 획득한 멀웨어의 권한 정보를 참조하여, 감염된 어플리케이션이 액세스하고자 하는 리소스에 대한 적어도 하나의 권한, 즉 감염된 어플리케이션에 허가된 권한 중에서 상기 획득하였던 멀웨어의 권한 정보에 대응되는 권한을 제한할 수 있다. 예를 들어 도 7 (b)의 경우 전자 장치는 감염된 어플리케이션 750I에 허가된 권한인 권한 A 411, B 412, D 414, 및 E 415 중에서, 상기 획득하였던 멀웨어에 허가된 권한 A 411, B 412, 및 E 415를 제한할 수 있다.

한편, 다양한 실시예에 따르면, 도시하지 않으나 동작 830 이후에 동작 840으로서 전자 장치는 디스플레이를 통하여 제한된 권한의 내역을 사용자에게 시각적으로 제공할 수도 있다.

본 발명에 따른 다양한 실시예에 의하면, 멀웨어에 의하여 감염된 어플리케이션이 액세스하려는 리소스의 권한 중, 유해한 기능을 수행하는 액세스 권한만을 제한할 수 있으므로, 유해한 리소스에 대한 액세스만을 차단하면서 유용한 기능의 일부 또는 전부를 잠정적으로 수행할 수 있다. 이로써 감염된 어플리케이션을 탐지하고, 감염된 어플리케이션을 삭제하는 것에 비하여, 사용자는 감염된 어플리케이션을 이용하더라도 안전하게 유용한 기능의 일부 또는 전부를 여전히 사용할 수 있다. 또한, 본 발명에 따른 다양한 실시예에 의하면, 사용자는 불승인된 권한의 내역을 시각적으로 인지할 수도 있으므로, 실제로 수행되는 기능에 대한 사용자의 예측 가능성을 제고할 수 있다.

도 9는 다양한 실시예들에 따른 전자 장치의 블록도를 나타낸다.

상기 전자 장치 901은, 예를 들면, 도 1에 도시된 전자 장치 1000의 전체 또는 일부를 구성할 수 있다. 도 9을 참조하면, 상기 전자 장치 901은 하나 이상의 어플리케이션 프로세서(AP: application processor) 910, 통신 모듈 920, SIM(subscriber identification module) 카드 924, 메모리 930, 센서 모듈 940, 입력 장치 950, 디스플레이 960, 인터페이스 970, 오디오 모듈 980, 카메라 모듈 991, 전력관리 모듈 995, 배터리 996, 인디케이터 997 및 모터 998을 포함할 수 있다.

상기 AP 910은 운영체제 또는 응용 프로그램을 구동하여 상기 AP 910에 연결된 다수의 하드웨어 또는 소프트웨어 구성요소들을 제어할 수 있고, 멀티미디어 데이터를 포함한 각종 데이터 처리 및 연산을 수행할 수 있다. 상기 AP 910은, 예를 들면, SoC(system on chip) 로 구현될 수 있다. 한 실시예에 따르면, 상기 AP 910은 GPU(graphic processing unit, 미도시)를 더 포함할 수 있다.

상기 통신 모듈 920은 상기 전자 장치 901(예 : 전자 장치1000)와 네트워크를 통해 연결된 다른 전자 장치들(예: 서버) 간의 통신에서 데이터 송수신을 수행할 수 있다. 한 실시예에 따르면, 상기 통신 모듈 920은 셀룰러 모듈 921, Wi-Fi 모듈 923, BT 모듈 925, GPS 모듈 927, NFC 모듈 928 및 RF(radio frequency) 모듈 929를 포함할 수 있다.

상기 셀룰러 모듈 921은 통신망(예: LTE, LTE-A, CDMA, WCDMA, UMTS, WiBro 또는 GSM 등)을 통해서 음성 통화, 영상 통화, 문자 서비스 또는 인터넷 서비스 등을 제공할 수 있다. 또한, 상기 셀룰러 모듈 921은, 예를 들면, 가입자 식별 모듈(예: SIM 카드 924)을 이용하여 통신 네트워크 내에서 전자 장치의 구별 및 인증을 수행할 수 있다. 한 실시예에 따르면, 상기 셀룰러 모듈 921은 상기 AP 910가 제공할 수 있는 기능 중 적어도 일부 기능을 수행할 수 있다. 예를 들면, 상기 셀룰러 모듈 921은 멀티 미디어 제어 기능의 적어도 일부를 수행할 수 있다.

한 실시예에 따르면, 상기 셀룰러 모듈 921은 커뮤니케이션 프로세서(CP: communication processor)를 포함할 수 있다. 또한, 상기 셀룰러 모듈 921은, 예를 들면, SoC로 구현될 수 있다. 도 8에서는 상기 셀룰러 모듈 921(예: CP), 상기 메모리 930 또는 상기 전력관리 모듈 995 등의 구성요소들이 상기 AP 910과 별개의 구성요소로 도시되어 있으나, 한 실시예에 따르면, 상기 AP 910가 전술한 구성요소들의 적어도 일부(예: 셀룰러 모듈 921)를 포함하도록 구현될 수 있다.

한 실시예에 따르면, 상기 AP 910 또는 상기 셀룰러 모듈 921(예: CP)은 각각에 연결된 비휘발성 메모리 또는 다른 구성요소 중 적어도 하나로부터 수신한 명령 또는 데이터를 휘발성 메모리에 로드(load)하여 처리할 수 있다. 또한, 상기 AP 910 또는 상기 셀룰러 모듈 921은 다른 구성요소 중 적어도 하나로부터 수신하거나 다른 구성요소 중 적어도 하나에 의해 생성된 데이터를 비휘발성 메모리에 저장(store)할 수 있다.

상기 Wi-Fi 모듈 923, 상기 BT 모듈 925, 상기 GPS 모듈 927 또는 상기 NFC 모듈 928 각각은, 예를 들면, 해당하는 모듈을 통해서 송수신되는 데이터를 처리하기 위한 프로세서를 포함할 수 있다. 도 9에서는 셀룰러 모듈 921, Wi-Fi 모듈 923, BT 모듈 925, GPS 모듈 927, 또는 NFC 모듈 928이 각각 별개의 블록으로 도시되었으나, 한 실시예에 따르면, 셀룰러 모듈 921, Wi-Fi 모듈 923, BT 모듈 925, GPS 모듈 927, 또는 NFC 모듈 928 중 적어도 일부(예: 두 개 이상)는 하나의 통합 칩(IC, integrated chip) 또는 IC 패키지 내에 포함될 수 있다. 예를 들면, 셀룰러 모듈 921, Wi-Fi 모듈 923, BT 모듈 925, GPS 모듈 927, 또는 NFC 모듈 928 각각에 대응하는 프로세서들 중 적어도 일부(예: 셀룰러 모듈 921에 대응하는 커뮤니케이션 프로세서 및 Wi-Fi 모듈 923에 대응하는 Wi-Fi 프로세서)는 하나의 SoC로 구현될 수 있다.

상기 RF 모듈 929는 데이터의 송수신, 예를 들면, RF 신호의 송수신을 할 수 있다. 상기 RF 모듈 929는, 도시되지는 않았으나, 예를 들면, 트랜시버(transceiver), PAM(power amp module), 주파수 필터(frequency filter) 또는 LNA(low noise amplifier) 등을 포함할 수 있다. 또한, 상기 RF 모듈 929는 무선 통신에서 자유 공간상의 전자파를 송수신하기 위한 부품, 예를 들면, 도체 또는 도선 등을 더 포함할 수 있다. 도 9에서는 셀룰러 모듈 921, Wi-Fi 모듈 923, BT 모듈 925, GPS 모듈 927, 및 NFC 모듈 928이 하나의 RF 모듈 929를 서로 공유하는 것으로 도시되어 있으나, 한 실시예에 따르면, 셀룰러 모듈 921, Wi-Fi 모듈 923, BT 모듈 925, GPS 모듈 927 또는 NFC 모듈 928 중 적어도 하나는 별개의 RF 모듈을 통하여 RF 신호의 송수신을 수행할 수 있다.

상기 SIM 카드 924는 가입자 식별 모듈을 포함하는 카드일 수 있으며, 전자 장치의 특정 위치에 형성된 슬롯에 삽입될 수 있다. 상기 SIM 카드 924는 고유한 식별 정보(예: ICCID(integrated circuit card identifier)) 또는 가입자 정보(예: IMSI(international mobile subscriber identity))를 포함할 수 있다.

상기 메모리 930(예: 상기 파일 스토리지 B)는 내장 메모리 932 또는 외장 메모리 934를 포함할 수 있다. 상기 내장 메모리 932는, 예를 들면, 휘발성 메모리(예를 들면, DRAM(dynamic RAM), SRAM(static RAM), SDRAM(synchronous dynamic RAM) 등) 또는 비휘발성 메모리(non-volatile Memory, 예를 들면, OTPROM(one time programmable ROM), PROM(programmable ROM), EPROM(erasable and programmable ROM), EEPROM(electrically erasable and programmable ROM), mask ROM, flash ROM, NAND flash memory, NOR flash memory 등) 중 적어도 하나를 포함할 수 있다.

한 실시예에 따르면, 상기 내장 메모리 932는 SSD(solid state drive) 일 수 있다. 상기 외장 메모리 934는 플래시 드라이브(flash drive), 예를 들면, CF(compact flash), SD(secure digital), Micro-SD(micro secure digital), Mini-SD(mini secure digital), xD(extreme digital) 또는 메모리 스틱(memory stick) 등을 더 포함할 수 있다. 상기 외장 메모리 934는 다양한 인터페이스를 통하여 상기 전자 장치 901과 기능적으로 연결될 수 있다. 한 실시예에 따르면, 상기 전자 장치 901은 하드 드라이브와 같은 저장 장치(또는 저장 매체)를 더 포함할 수 있다.

상기 센서 모듈 940은 물리량을 계측하거나 전자 장치 901의 작동 상태를 감지하여, 계측 또는 감지된 정보를 전기 신호로 변환할 수 있다. 상기 센서 모듈 940은, 예를 들면, 제스처 센서 940A, 자이로 센서 940B, 기압 센서 940C, 마그네틱 센서 940D, 가속도 센서 940E, 그립 센서 940F, 근접 센서 940G, 컬러 센서 940H(예: RGB(red, green, blue) 센서), 생체 센서 940I, 온/습도 센서 940J, 조도 센서 940K, 또는 UV(ultra violet) 센서 940M 중 적어도 하나를 포함할 수 있다. 추가적으로 또는 대체적으로, 상기 센서 모듈 940은, 예를 들면, 후각 센서(E-nose sensor, 미도시), EMG 센서(electromyography sensor, 미도시), EEG 센서(electroencephalogram sensor, 미도시), ECG 센서(electrocardiogram sensor, 미도시), IR(infra-red) 센서(미도시), 홍채 센서(미도시), 또는 지문 센서(미도시) 등을 포함할 수 있다. 상기 센서 모듈 940은 그 안에 속한 적어도 하나 이상의 센서들을 제어하기 위한 제어 회로를 더 포함할 수 있다.

상기 입력 장치 950은 터치 패널(touch panel) 952, (디지털) 펜 센서(pen sensor) 954, 키(key) 956, 또는 초음파(ultrasonic) 입력 장치 958을 포함할 수 있다. 상기 터치 패널 952는, 예를 들면, 정전식, 감압식, 적외선 방식 또는 초음파 방식 중 적어도 하나의 방식으로 터치 입력을 인식할 수 있다. 또한, 상기 터치 패널 952는 제어 회로를 더 포함할 수도 있다. 정전식의 경우, 물리적 접촉 또는 근접 인식이 가능하다. 상기 터치 패널 952는 택타일 레이어(tactile layer)를 더 포함할 수도 있다. 이 경우, 상기 터치 패널 952는 사용자에게 촉각 반응을 제공할 수 있다.

상기 (디지털) 펜 센서 954는, 예를 들면, 사용자의 터치 입력을 받는 것과 동일 또는 유사한 방법 또는 별도의 인식용 시트(sheet)를 이용하여 구현될 수 있다. 상기 키 956은, 예를 들면, 물리적인 버튼, 광학식 키 또는 키패드를 포함할 수 있다. 상기 초음파(ultrasonic) 입력 장치 958은 초음파 신호를 발생하는 입력 도구를 통해, 전자 장치 901에서 마이크(예: 마이크 988)로 음파를 감지하여 데이터를 확인할 수 있는 장치로서, 무선 인식이 가능하다. 한 실시예에 따르면, 상기 전자 장치 901은 상기 통신 모듈 920을 이용하여 이와 연결된 외부 장치(예: 컴퓨터 또는 서버)로부터 사용자 입력을 수신할 수도 있다.

상기 디스플레이 960(예: 상기 전자 장치 1000에 포함된 디스플레이)은 패널 962, 홀로그램 장치 964, 또는 프로젝터 966을 포함할 수 있다. 상기 패널 962는, 예를 들면, LCD(liquid-crystal display) 또는 AM-OLED(active-matrix organic light-emitting diode) 등일 수 있다. 상기 패널 962는, 예를 들면, 유연하게(flexible), 투명하게(transparent) 또는 착용할 수 있게(wearable) 구현될 수 있다. 상기 패널 962는 상기 터치 패널 952와 하나의 모듈로 구성될 수도 있다. 상기 홀로그램 장치 964는 빛의 간섭을 이용하여 입체 영상을 허공에 보여줄 수 있다. 상기 프로젝터 966은 스크린에 빛을 투사하여 영상을 표시할 수 있다. 상기 스크린은, 예를 들면, 상기 전자 장치 901의 내부 또는 외부에 위치할 수 있다. 한 실시예에 따르면, 상기 디스플레이 960은 상기 패널 962, 상기 홀로그램 장치 964, 또는 프로젝터 966를 제어하기 위한 제어 회로를 더 포함할 수 있다.

상기 인터페이스 970은, 예를 들면, HDMI(high-definition multimedia interface) 972, USB(universal serial bus) 974, 광 인터페이스(optical interface) 976, 또는 D-sub(D-subminiature) 978을 포함할 수 있다. 추가적으로 또는 대체적으로, 상기 인터페이스 970은, 예를 들면, MHL(mobile high-definition link) 인터페이스, SD(secure Digital) 카드/MMC(multi-media card) 인터페이스 또는 IrDA(infrared data association) 규격 인터페이스를 포함할 수 있다.

상기 오디오 모듈 980은 소리(sound)와 전기신호를 쌍방향으로 변환시킬 수 있다. 상기 오디오 모듈 980은, 예를 들면, 스피커 982, 리시버 984, 이어폰 986, 또는 마이크 988 등을 통해 입력 또는 출력되는 소리 정보를 처리할 수 있다.

상기 카메라 모듈 991은 정지 영상 및 동영상을 촬영할 수 있는 장치로서, 한 실시예에 따르면, 하나 이상의 이미지 센서(예: 전면 센서 또는 후면 센서), 렌즈(미도시), ISP(image signal processor, 미도시) 또는 플래시(flash, 미도시)(예: LED 또는 제논 램프(xenon lamp))를 포함할 수 있다.

상기 전력 관리 모듈 995은 상기 전자 장치 901의 전력을 관리할 수 있다. 도시하지는 않았으나, 상기 전력 관리 모듈 995은, 예를 들면, PMIC(power management integrated circuit), 충전 IC(charger integrated circuit) 또는 배터리 또는 연료 게이지(battery or fuel gauge)를 포함할 수 있다.

상기 PMIC는, 예를 들면, 집적회로 또는 SoC 반도체 내에 탑재될 수 있다. 충전 방식은 유선과 무선으로 구분될 수 있다. 상기 충전 IC는 배터리를 충전시킬 수 있으며, 충전기로부터의 과전압 또는 과전류 유입을 방지할 수 있다. 한 실시예에 따르면, 상기 충전 IC는 유선 충전 방식 또는 무선 충전 방식 중 적어도 하나를 위한 충전 IC를 포함할 수 있다. 무선 충전 방식으로는, 예를 들면, 자기공명 방식, 자기유도 방식 또는 전자기파 방식 등이 있으며, 무선 충전을 위한 부가적인 회로, 예를 들면, 코일 루프, 공진 회로 또는 정류기 등의 회로가 추가될 수 있다.

상기 배터리 게이지는, 예를 들면, 상기 배터리 996의 잔량, 충전 중 전압, 전류 또는 온도를 측정할 수 있다. 상기 배터리 996은 전기를 저장 또는 생성할 수 있고, 그 저장 또는 생성된 전기를 이용하여 상기 전자 장치 901에 전원을 공급할 수 있다. 상기 배터리 996은, 예를 들면, 충전식 전지(rechargeable battery) 또는 태양 전지(solar battery)를 포함할 수 있다.

상기 인디케이터 997은 상기 전자 장치 901 혹은 그 일부(예: 상기 AP 910)의 특정 상태, 예를 들면, 부팅 상태, 메시지 상태 또는 충전 상태 등을 표시할 수 있다. 상기 모터 998은 전기적 신호를 기계적 진동으로 변환할 수 있다. 도시되지는 않았으나, 상기 전자 장치 901은 모바일 TV 지원을 위한 처리 장치(예: GPU)를 포함할 수 있다. 상기 모바일 TV지원을 위한 처리 장치는, 예를 들면, DMB(digital multimedia broadcasting), DVB(digital video broadcasting) 또는 미디어플로우(media flow) 등의 규격에 따른 미디어 데이터를 처리할 수 있다.

본 발명의 다양한 실시예에 따른 전자 장치의 전술한 구성요소들 각각은 하나 또는 그 이상의 부품(component)으로 구성될 수 있으며, 해당 구성 요소의 명칭은 전자 장치의 종류에 따라서 달라질 수 있다. 본 발명의 다양한 실시예에 따른 전자 장치는 전술한 구성요소 중 적어도 하나를 포함하여 구성될 수 있으며, 일부 구성요소가 생략되거나 또는 추가적인 다른 구성요소를 더 포함할 수 있다. 또한, 본 발명의 다양한 실시예에 따른 전자 장치의 구성 요소들 중 일부가 결합되어 하나의 개체(entity)로 구성됨으로써, 결합되기 이전의 해당 구성 요소들의 기능을 동일하게 수행할 수 있다.

본 발명의 다양한 실시예에 사용된 용어 "모듈"은, 예를 들어, 하드웨어, 소프트웨어 또는 펌웨어(firmware) 중 하나 또는 둘 이상의 조합을 포함하는 단위(unit)를 의미할 수 있다. "모듈"은 예를 들어, 유닛(unit), 로직(logic), 논리 블록(logical block), 부품(component) 또는 회로(circuit) 등의 용어와 바꾸어 사용(interchangeably use)될 수 있다. "모듈"은, 일체로 구성된 부품의 최소 단위 또는 그 일부가 될 수 있다. "모듈"은 하나 또는 그 이상의 기능을 수행하는 최소 단위 또는 그 일부가 될 수도 있다. "모듈"은 기계적으로 또는 전자적으로 구현될 수 있다. 예를 들면, 본 발명의 다양한 실시예에 따른 "모듈"은, 알려졌거나 앞으로 개발될, 어떤 동작들을 수행하는 ASIC(application-specific integrated circuit) 칩, FPGAs(field-programmable gate arrays) 또는 프로그램 가능 논리 장치(programmable-logic device) 중 적어도 하나를 포함할 수 있다.

다양한 실시예들에 따르면, 본 발명의 다양한 실시예에 따른 장치(예: 모듈들 또는 그 기능들) 또는 방법(예: 동작들)의 적어도 일부는, 예컨대, 프로그래밍 모듈의 형태로 컴퓨터로 읽을 수 있는 저장매체(computer-readable storage media)에 저장된 명령어로 구현될 수 있다. 상기 명령어는, 하나 이상의 프로세서에 의해 실행될 경우, 상기 하나 이상의 프로세서가 상기 명령어에 해당하는 기능을 수행할 수 있다. 컴퓨터로 읽을 수 있는 저장매체는, 예를 들면, 상기 파일 스토리지 B가 될 수 있다. 상기 프로그래밍 모듈의 적어도 일부는, 예를 들면, 전자 장치의 프로세서에 의해 구현(implement)(예: 실행)될 수 있다. 상기 프로그래밍 모듈의 적어도 일부는 하나 이상의 기능을 수행하기 위한, 예를 들면, 모듈, 프로그램, 루틴, 명령어 세트 (sets of instructions) 또는 프로세스 등을 포함할 수 있다.

상기 컴퓨터로 판독 가능한 기록 매체에는 하드디스크, 플로피디스크 및 자기 테이프와 같은 마그네틱 매체(Magnetic Media)와, CD-ROM(Compact Disc Read Only Memory), DVD(Digital Versatile Disc)와 같은 광기록 매체(Optical Media)와, 플롭티컬 디스크(Floptical Disk)와 같은 자기-광 매체(Magneto-Optical Media)와, 그리고 ROM(Read Only Memory), RAM(Random Access Memory), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함될 수 있다. 또한, 프로그램 명령에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함할 수 있다. 상술한 하드웨어 장치는 본 발명의 다양한 실시예의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지다.

본 발명의 다양한 실시예에 따른 모듈 또는 프로그래밍 모듈은 전술한 구성요소들 중 적어도 하나 이상을 포함하거나, 일부가 생략되거나, 또는 추가적인 다른 구성요소를 더 포함할 수 있다. 본 발명의 다양한 실시예에 따른 모듈, 프로그래밍 모듈 또는 다른 구성요소에 의해 수행되는 동작들은 순차적, 병렬적, 반복적 또는 휴리스틱(heuristic)한 방법으로 실행될 수 있다. 또한, 일부 동작은 다른 순서로 실행되거나, 생략되거나, 또는 다른 동작이 추가될 수 있다.

다양한 실시예에 따르면, 명령들을 저장하고 있는 저장 매체에 있어서, 상기 명령들은 적어도 하나의 프로세서에 의하여 실행될 때에 상기 적어도 하나의 프로세서로 하여금 적어도 하나의 동작을 수행하도록 설정된 것으로서, 상기 적어도 하나의 동작은, 제1 어플리케이션에서 제2 어플리케이션으로 전송되는 메시지를 모니터링하는 동작, 상기 모니터링된 메시지가 악성 메시지인지 여부를 판단하는 동작, 및 상기 메시지가 악성 메시지로 판단되면 상기 메시지가 상기 제2 어플리케이션으로 전송되는 것을 차단하는 동작을 포함할 수 있다

또한 상기 적어도 하나의 동작은, 어플리케이션이 멀웨어에 의하여 감염되었는지 판단하는 동작, 상기 멀웨어가 액세스하고자 하는 리소스에 대한 권한 정보를 획득하는 동작; 및 상기 어플리케이션이 감염된 것으로 판단되면, 상기 어플리케이션에 허가된 적어도 하나의 권한 중에서 상기 획득한 권한 정보에 대응되는 권한을 제한하는 동작을 포함할 수도 있다.

그리고 본 명세서와 도면에 개시된 실시예들은 본 발명의 다양한 실시예의 내용을 쉽게 설명하고, 이해를 돕기 위해 특정 예를 제시한 것일 뿐이며, 본 발명의 다양한 실시예의 범위를 한정하고자 하는 것은 아니다. 따라서 본 발명의 다양한 실시예의 범위는 여기에 개시된 실시예들 이외에도 본 발명의 다양한 실시예의 기술적 사상을 바탕으로 도출되는 모든 변경 또는 변형된 형태가 본 발명의 다양한 실시예의 범위에 포함되는 것으로 해석되어야 한다.

A 어플리케이션 환경
B 파일 스토리지
100 악성 프로그램 처리 모듈
101 모니터링 모듈
102 판단 모듈
103 제어 모듈
210p~240p 제1~4 어플리케이션
210f~240f 제1~4 어플리케이션 파일
210d~240d 제1~4 어플리케이션 데이터
700 프레임워크
711~715 권한
721~725 리소스
750N 정상적인 어플리케이션
750I 감염된 어플리케이션
1000 전자 장치

Claims

제1 어플리케이션에서 제2 어플리케이션으로 전송되는 메시지를 모니터링하는 동작;
상기 모니터링된 메시지가 악성 메시지인지 여부를 판단하는 동작; 및
상기 메시지가 악성 메시지로 판단되면 상기 메시지가 상기 제2 어플리케이션으로 전송되는 것을 차단하는 동작을 포함하는 전자 장치의 악성 어플리케이션 처리 방법.
청구항 1에 있어서,
상기 메시지가 악성 메시지로 판단되면 상기 제1 어플리케이션을 악성 어플리케이션으로 판단하는 동작을 더 포함하는 전자 장치의 악성 어플리케이션 처리 방법.
청구항 1에 있어서,
상기 메시지가 악성 메시지로 판단되면 상기 제1 어플리케이션의 프로세스를 종료(kill)하는 동작을 더 포함하는 전자 장치의 악성 어플리케이션 처리 방법.
청구항 1에 있어서,
상기 메시지가 악성 메시지로 판단되면 상기 제1 어플리케이션 또는 상기 제1 어플리케이션과 연관된 데이터를 삭제하는 동작을 더 포함하는 전자 장치의 악성 어플리케이션 처리 방법.
청구항 1에 있어서,
상기 메시지가 악성 메시지로 판단되면 상기 제1 어플리케이션 또는 상기 제1 어플리케이션과 연관된 데이터를 유지하면서, 상기 제1 어플리케이션을 격리하는 동작을 더 포함하는 전자 장치의 악성 어플리케이션 처리 방법.
청구항 5에 있어서,
상기 제1 어플리케이션을 격리하는 동작은, 상기 제1 어플리케이션에 대한 액세스을 차단하는 동작을 포함하는 전자 장치의 악성 어플리케이션 처리 방법.
청구항 5에 있어서,
지정된 조건에 따라, 상기 제1 어플리케이션의 상기 격리를 해제하는 동작을 더 포함하고,
상기 지정된 조건은, 사용자로부터 어플리케이션의 격리를 해제하는 입력을 수신하는 조건, 소정의 기간 동안 상기 제1 어플리케이션이 상기 악성 메시지를 전송하지 않는 조건, 및 상기 제1 어플리케이션의 메시지가 상기 악성 메시지가 아닌 조건 중 적어도 하나인 전자 장치의 악성 어플리케이션 처리 방법.
청구항 1에 있어서,
상기 전자 장치는 안드로이드 운영체제(Android OS)에 기반하여 동작하고, 상기 메시지는 인텐트(intent)인 전자 장치의 악성 어플리케이션 처리 방법.
어플리케이션이 멀웨어(malware)에 의하여 감염되었는지 판단하는 동작;
상기 멀웨어가 액세스하고자 하는 리소스에 대한 권한 정보를 획득하는 동작; 및
상기 어플리케이션이 감염된 것으로 판단되면, 상기 어플리케이션에 허가된 적어도 하나의 권한 중에서 상기 획득한 권한 정보에 대응되는 권한을 제한하는 동작을 포함하는 전자 장치의 악성 어플리케이션 처리 방법.
청구항 9에 있어서,
상기 멀웨어가 액세스하고자 하는 리소스에 대한 권한 정보는 상기 전자 장치 내부의 데이터베이스로부터 획득되는 전자 장치의 악성 어플리케이션 처리 방법.
청구항 9에 있어서,
상기 멀웨어가 액세스하고자 하는 리소스에 대한 권한 정보는 상기 전자 장치 외부의 서버로부터 획득되는 전자 장치의 악성 어플리케이션 처리 방법.
청구항 9에 있어서,
상기 전자 장치에 포함된 디스플레이를 통하여 상기 제한된 권한의 내역을 표시하는 동작을 더 포함하는 전자 장치의 악성 어플리케이션 처리 방법.
청구항 9에 있어서,
상기 전자 장치는 안드로이드 운영체제에 기반하여 동작하고,
상기 권한은 퍼미션(permission)에 대응하고,
상기 감염된 어플리케이션에 허가된 적어도 하나의 권한은 상기 감염된 어플리케이션의 매니페스트(manifest) 정보에 기초한 것인 전자 장치의 악성 어플리케이션 처리 방법.
제1 어플리케이션에서 제2 어플리케이션으로 전송되는 메시지를 모니터링하는 모니터링 모듈;
상기 모니터링된 메시지가 악성 메시지인지 여부를 판단하는 판단 모듈; 및
상기 메시지가 악성 메시지로 판단되면 상기 메시지가 상기 제2 어플리케이션으로 전송되는 것을 차단하는 동작을 포함하는 제어 모듈을 포함하는 전자 장치.
청구항 14에 있어서, 상기 제어 모듈은,
상기 메시지가 악성 메시지로 판단되면, 상기 제1 어플리케이션을 악성 어플리케이션으로 판단하도록 설정된 전자 장치.
청구항 14에 있어서, 상기 제어 모듈은,
상기 메시지가 악성 메시지로 판단되면 상기 제1 어플리케이션의 프로세스를 종료하도록 설정된 전자 장치.
청구항 14에 있어서, 상기 제어 모듈은,
상기 메시지가 악성 메시지로 판단되면 상기 제1 어플리케이션 또는 상기 제1 어플리케이션과 연관된 데이터를 삭제하도록 설정된 전자 장치.
청구항 14에 있어서, 상기 제어 모듈은,
상기 메시지가 악성 메시지로 판단되면, 상기 제1 어플리케이션 또는 상기 제1 어플리케이션과 연관된 데이터를 유지하면서, 상기 제1 어플리케이션을 격리하도록 설정된 전자 장치.
청구항 18에 있어서, 상기 제어 모듈은,
지정된 조건에 따라, 상기 제1 어플리케이션의 상기 격리를 해제하도록 설정되어 있고,
상기 지정된 조건은, 사용자로부터 어플리케이션의 격리를 해제하는 입력을 수신하는 조건, 소정의 기간 동안 상기 제1 어플리케이션이 상기 악성 메시지를 전송하지 않는 조건, 및 상기 제1 어플리케이션의 메시지가 상기 악성 메시지가 아닌 조건 중 적어도 하나인 전자 장치.
청구항 14에 있어서,
상기 전자 장치는 안드로이드 운영체제에 기반하여 동작하고, 상기 메시지는 인텐트인 전자 장치.