WO2012008669A1 - Ｄｒｍ 환경에서의 악성 코드 실시간 검사 장치 및 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체 - Google Patents

Ｄｒｍ 환경에서의 악성 코드 실시간 검사 장치 및 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체 Download PDF

Info

Publication number
WO2012008669A1
WO2012008669A1 PCT/KR2011/000513 KR2011000513W WO2012008669A1 WO 2012008669 A1 WO2012008669 A1 WO 2012008669A1 KR 2011000513 W KR2011000513 W KR 2011000513W WO 2012008669 A1 WO2012008669 A1 WO 2012008669A1
Authority
WO
WIPO (PCT)
Prior art keywords
file
malicious code
module
drm
handle
Prior art date
Application number
PCT/KR2011/000513
Other languages
English (en)
French (fr)
Inventor
박철
이종일
이영훈
진교영
Original Assignee
주식회사 파수닷컴
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 파수닷컴 filed Critical 주식회사 파수닷컴
Priority to EP11806954.1A priority Critical patent/EP2595081A4/en
Priority to US13/810,618 priority patent/US20130219501A1/en
Priority to JP2013519561A priority patent/JP5603491B2/ja
Publication of WO2012008669A1 publication Critical patent/WO2012008669A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection

Definitions

  • the present invention relates to a real-time malicious code inspection apparatus and a recording medium recording a program for executing the method on a computer, and more particularly, to a device capable of real-time inspection of the malware infection of the DRM applied file and its A recording medium having recorded thereon a program for executing the method on a computer.
  • the proliferation of the Internet has created both positive aspects of information sharing beyond time and space constraints and negative aspects such as hacking and dissemination of malware.
  • the attack of other systems using malicious codes such as viruses, spyware, worms, and other device information destruction problems are serious enough to seem like a general problem at present.
  • the malicious code is mainly distributed through files and programs downloaded from the Internet, and a widely used method for preventing such infection is to identify and treat an infection using an antivirus program.
  • DRM digital rights
  • DRM software development kit
  • the DRM module works in conjunction with the vaccine program. After the user runs the vaccine program and selects a DRM application file to be scanned and treated, the vaccine program calls the DRM module to request decoding of the file. If the DRM module determines that the file has a 'save' permission, the DRM module decrypts the file and stores the file as a source file for treatment in memory. The antivirus program performs virus scan and remediation on the original file stored in memory and calls the DRM module again. The DRM module encrypts and saves the original file after the treatment is completed.
  • SDK software development kit
  • An object of the present invention is to provide an apparatus capable of inspecting and treating an infection of a malicious code in real time on a file encrypted by applying DRM.
  • Another technical problem to be solved by the present invention is a computer-readable recording medium having recorded thereon a program for executing a method on the computer, which can detect and cure malicious code in real time on a file encrypted with DRM. To provide.
  • a preferred embodiment of the apparatus for real-time malicious code inspection in a DRM environment when a user inputs an execution command for a file to which DRM is applied, is generated in response to the file. After checking the user's authority to the file based on the handle, decryption / encryption is performed during the file read / write operation through the handle generated corresponding to the file, and the handle and the path of the file generated corresponding to the file are executed.
  • a DRM module for outputting a scan request message including a and determining whether to perform the opening operation of the file according to a result of a malicious code scan of the file;
  • An interface module for transferring the inspection request message input from the DRM module; And inspecting whether a malicious code is infected with an original file that is decrypted and read by the DRM module based on a handle generated corresponding to the file included in the scan request message received from the interface module and a path of the file.
  • a malicious code inspection module for transmitting a malicious code inspection result for the original file to the DRM module through the interface module.
  • the recording medium (a) when a user inputs an execution command for a file to which the DRM is applied, on the basis of a handle generated in response to the file; After checking the user's authority, decryption / encryption is performed during the file read / write operation through the handle generated corresponding to the file, and a check request message including the handle generated corresponding to the file and the path of the file is output.
  • a recording medium recording a program for executing a real-time malicious code in a DRM environment and a method for executing the method on a computer, provides an interface that can be linked with a vaccine program in DRM implementation, By loading it into a supporting application, DRM can be applied to scan and repair malware in real time.
  • FIG. 1 is a view showing the configuration of a preferred embodiment for the apparatus for real-time malicious code scanning in DRM environment according to the present invention.
  • FIG. 2 is a flowchart illustrating a preferred embodiment of a method for real-time malicious code scanning in a DRM environment according to the present invention.
  • FIG. 1 is a diagram showing the configuration of a preferred embodiment of the apparatus for real-time malicious code scanning in a DRM environment according to the present invention.
  • a preferred embodiment 100 of a real-time malware inspection apparatus in a DRM environment includes a DRM module 110, an interface module 120, a malicious code inspection module 130, and a malicious code. Consists of treatment module 140.
  • the DRM module 110 checks the user's authority to the file based on the handle created in response to the file when the user inputs a 'file open' command by double-clicking a file to which the DRM is applied. do. At this time, the handle generated corresponding to the file is valid only in the process including the DRM module 110. If it is determined that the user has 'read permission' for the file, the DRM module 110 performs decryption / encryption during the file read / write operation through the handle generated corresponding to the file. Next, the DRM module 110 calls the interface module 120 by providing a handle and a path of a file generated corresponding to the file. And a message according to the malicious code scan result received from the interface module 120 is output to the user.
  • the test result output to the user by the DRM module 110 varies depending on whether malicious code is detected. If the check result that the malicious code is not detected from the interface module 12 is transmitted, the DRM module 110 performs an open operation for the file without outputting a separate message to the user. On the contrary, when a test result indicating that malicious code is detected is delivered, the DRM module 110 outputs a message informing the user of the malicious code infection, and returns a handle to the corresponding file to terminate the file opening operation.
  • the interface module 120 requests a malicious code inspection by providing a handle and a path of a file corresponding to the file received from the DRM module 110 to the malicious code inspection module 130 before the encrypted file is opened. Then, the scan result by the malicious code inspection module 130 is output to the DRM module 110.
  • the interface module 120 may be integrally implemented with the DRM module 110.
  • the malicious code inspection module 130 checks whether the malicious code is infected with the original file that is decrypted and read by the DRM module 110 based on the handle and the file path of the file provided from the interface module 120. Since the malicious code inspection module 130 is loaded and executed in the DRM module 110 supporting application, the content of the encrypted file may be read in a decrypted state using a handle received as a parameter. In addition, since the malicious code inspection module 130 is called in the hooked context, the malicious code inspection module 130 should not perform an operation such as a call to CreateFile () or a message output, but should only perform inspection using a handle of the corresponding file.
  • the malicious code inspection module 130 If you want to output a message, such as "in the test" during the inspection of the malicious code, request the output of the message to the malicious code treatment module 140. The output of such a message may be performed before returning the malicious code inspection result to the interface module 120. In addition, the malicious code inspection module 130 returns a scan result such as uninfected, infected, or error to the interface module 120. Furthermore, when the malicious code inspection module 130 is determined to be infected with the malicious code, the malicious code inspection module 130 provides the path of the corresponding file to the malicious code treatment module 140 to notify the infection.
  • the malicious code treatment module 140 treats malicious code by a user's selection based on a path of a corresponding file received from the malicious code checking module 130.
  • This malicious code cleaning operation may be implemented using an SDK provided by the DRM module 110 in the same manner as a user scan (ie, a manual scan). Therefore, after the malicious code inspection module 130 detects the malicious code from the corresponding file, the malicious code is treated in the same manner as the conventional manual scan.
  • the reason why the malicious code cleaning module 140 performs the cleaning operation by a separate operation is that the DRM module 110, the interface module 120, and the malicious code scanning module 130 operate in the same process. This is because the file contents can be accessed in a decrypted state by sharing, but since the malware repair module 140 operates in a different process from them, the file handle cannot be shared and the file contents cannot be accessed in the decrypted state. .
  • FIG. 2 is a flowchart illustrating a preferred embodiment of a method for real-time malicious code scanning in a DRM environment according to the present invention.
  • the DRM module 110 checks the user's authority to the file based on a handle generated in response to the file. (S200). If it is determined that the user has 'read permission' for the file (S205), the DRM module 110 performs decryption / encryption during the file read / write operation through the handle generated corresponding to the file (S210). ). Next, the DRM module 110 calls the interface module 120 by providing a handle generated in correspondence with the file and the path of the file (S215).
  • the interface module 120 requests a malicious code inspection by providing a handle and a path of a file corresponding to the file received from the DRM module 110 to the malicious code inspection module 130 before the encrypted file is opened ( S220).
  • the malicious code inspection module 130 checks whether the malicious code is infected with the original file decrypted and read by the DRM module 110 based on the handle and the file path of the file provided from the interface module 120 (S225). ).
  • the malicious code inspection module 130 returns the inspection result to the interface module 120 (S230).
  • the interface module 120 transmits the inspection result returned from the malicious code inspection module 130 to the DRM module 110 (S235).
  • the DRM module 110 checks the received test result (S240). If the malicious code is found to be found, the DRM module 110 returns a handle generated in response to the file and ends the file open operation (S245). The end of the file opening operation is performed in the same manner when the user determines that the user does not have 'read permission' for the file in step S205. On the contrary, if it is determined that no malicious code is found, the DRM module 110 continues to open the file (S250).
  • the malicious code inspection module 130 requests the treatment of malicious code by providing a path of a file where the malicious code is found to the malicious code treatment module 140.
  • the treatment request operation for the malicious code may be selectively performed according to the setting state.
  • the malware repair module 140 receives a message about the malware infection of the file based on the path of the file received from the malware scan module 130. Output to the user, and whether to be treated by the user is selected. If the user selects a treatment, the malicious code treatment module 140 performs a treatment operation on the corresponding file.
  • the treatment operation by the malicious code treatment module 140 is the same as the manual treatment process for the file to which the conventional DRM is applied.
  • the invention can also be embodied as computer readable code on a computer readable recording medium.
  • the computer-readable recording medium includes all kinds of recording devices in which data that can be read by a computer system is stored. Examples of computer-readable recording media include ROM, RAM, CD-ROM, magnetic tape, floppy disk, optical data storage, and the like, and may also be implemented in the form of a carrier wave (for example, transmission over the Internet). Include.
  • the computer readable recording medium can also be distributed over network coupled computer systems so that the computer readable code is stored and executed in a distributed fashion.

Abstract

DRM 환경에서의 악성 코드 실시간 검사 장치 및 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체가 개시된다. DRM 모듈은 실행명령이 입력된 DRM이 적용된 파일의 핸들을 기초로 파일에 대한 사용자의 권한을 확인한 후 핸들을 통한 파일 읽기/쓰기 동작시 복호화/암호화를 수행하고, 핸들과 파일의 경로가 포함된 검사 요청 메시지를 출력하며, 파일에 대한 악성 코드 검사 결과에 따라 파일의 열기 동작의 수행 여부를 결정한다. 악성 코드 검사 모듈은 인터페이스 모듈로부터 전달받은 검사 요청 메시지에 포함되어 있는 핸들과 파일의 경로를 기초로 DRM 모듈에 의해 복호화되어 읽혀지는 원본 파일에 대한 악성 코드 감염 여부를 검사한다. 본 발명에 따르면, DRM이 적용되어 암호화된 문서의 악성 코드 감염 여부를 실시간으로 검사하고 치료할 수 있다.

Description

ＤＲＭ 환경에서의 악성 코드 실시간 검사 장치 및 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체
본 발명은 악성 코드 실시간 검사 장치 및 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체에 관한 것으로, 보다 상세하게는, DRM이 적용된 파일의 악성 코드 감염 여부를 실시간으로 검사할 수 있는 장치 및 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체에 관한 것이다.
인터넷의 확산은 시간적, 공간적 제약을 뛰어 넘는 정보 공유라는 긍정적 측면과 해킹, 악성코드 유포 등과 같은 부정적 측면을 동시에 낳고 있다. 이 중에서 바이러스, 스파이웨어, 웜 등과 같은 악성코드를 이용한 타 시스템의 공격, 타 단말기 정보파괴 문제는 현재 일반적인 문제처럼 느껴질 정도로 심각한 실정이다. 이러한 악성코드는 주로 인터넷을 통해 다운받은 파일, 프로그램 등을 통해 유포되며, 이에 대한 대비책으로 널리 사용되는 방법이 백신 프로그램을 이용한 감염 여부의 확인 및 치료이다.
백신 프로그램에 의한 악성 코드의 치료는 일반적인 파일에 대해서는 가장 간단하고 손쉬운 방법이다. 그러나 디지털 저작권(Digital Rights Management : DRM)이 걸려 있는 파일에 대해서는 암호화되어 있는 파일을 복호한 후 백신 프로그램에 의한 검사 및 치료가 가능하다는 문제가 있다. 이러한 문제로 인해 DRM이 적용된 파일에 대해서는 일반 파일과는 상이한 바이러스 검사 및 치료 기법이 요구된다.
먼저, 백신 프로그램이 제공하는 사용자 검사에 의한 DRM 적용 파일에 대한 악성 코드의 검사 및 치료에 대해 살펴본다. 사용자 검사는 사용자 모드(User Mode)에서 동작하기 때문에 DRM에서 제공하는 암호화된 파일에 접근할 수 있는 소프트웨어 개발 키트(Software Development Kit : SDK)를 사용하여 구현된다. 이때 DRM 모듈은 백신 프로그램과 연동하여 동작한다. 사용자가 백신 프로그램을 구동한 후 검사 및 치료를 원하는 DRM 적용 파일을 선택하면, 백신 프로그램은 DRM 모듈을 호출하여 해당 파일에 대한 복호를 요청한다. DRM 모듈은 해당 파일에 대해 '저장' 권한이 있는 것으로 확인되면, 해당 파일을 복호하여 메모리에 치료를 위한 원본 파일로 저장한다. 백신 프로그램은 메모리에 저장되어 있는 원본 파일에 대한 바이러스 검사 및 치료를 수행한 후 다시 DRM 모듈을 호출한다. DRM 모듈은 치료가 종료된 원본 파일을 암호화한 후 저장한다.
다음으로 실시간 검사는 드라이버로 구현되어 커널 모드(Kernel Mode)에서 동작하고, 응용 프로그램의 파일 접근(즉, 응용 프로그램의 파일 열기와 닫기)을 후킹하는 방식으로 구현된다. 그러나 DRM은 문서를 복호하기 위해 사용자 인증, 키 접근, 사용내역 전송 등의 작업을 필요로 하기 때문에 커널 모드에서 실행될 수 없다. 따라서 사용자 모드에서 동작하는 DRM이 적용된 파일에 대해서는 커널 모드에서 동작하는 실시간 검사를 적용하는 것이 불가능하다는 문제가 있다.
본 발명이 이루고자 하는 기술적 과제는, DRM이 적용되어 암호화된 파일에 대해 실시간으로 악성 코드의 감염 여부를 검사 및 치료할 수 있는 장치를 제공하는 데 있다.
본 발명이 이루고자 하는 다른 기술적 과제는, DRM이 적용되어 암호화된 파일에 대해 실시간으로 악성 코드의 감염 여부를 검사 및 치료할 수 있는 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체를 제공하는 데 있다.
상기의 기술적 과제를 달성하기 위한, 본 발명에 따른 DRM 환경에서의 악성 코드 실시간 검사 장치에 대한 바람직한 실시예는, 사용자가 DRM이 적용된 파일에 대한 실행 명령을 입력하면, 상기 파일에 대응하여 생성한 핸들을 기초로 상기 파일에 대한 사용자의 권한을 확인한 후 상기 파일에 대응하여 생성된 핸들을 통한 파일 읽기/쓰기 동작시 복호화/암호화를 수행하고, 상기 파일에 대응하여 생성된 핸들과 상기 파일의 경로가 포함된 검사 요청 메시지를 출력하며, 상기 파일에 대한 악성 코드 검사 결과에 따라 상기 파일의 열기 동작의 수행 여부를 결정하는 DRM 모듈; 상기 DRM 모듈로부터 입력된 상기 검사 요청 메시지를 전달하는 인터페이스 모듈; 및 상기 인터페이스 모듈로부터 전달받은 상기 검사 요청 메시지에 포함되어 있는 상기 파일에 대응하여 생성된 핸들과 상기 파일의 경로를 기초로 상기 DRM 모듈에 의해 복호화되어 읽혀지는 원본 파일에 대한 악성 코드 감염 여부를 검사하고, 상기 원본 파일에 대한 악성 코드 검사 결과를 상기 인터페이스 모듈을 통해 상기 DRM 모듈로 전달하는 악성 코드 검사 모듈;을 구비한다.
상기의 다른 기술적 과제를 달성하기 위한, 본 발명에 따른 기록매체는, (a) 사용자가 DRM이 적용된 파일에 대한 실행 명령을 입력하면, 상기 파일에 대응하여 생성한 핸들을 기초로 상기 파일에 대한 사용자의 권한을 확인한 후 상기 파일에 대응하여 생성된 핸들을 통한 파일 읽기/쓰기 동작시 복호화/암호화를 수행하고, 상기 파일에 대응하여 생성된 핸들과 상기 파일의 경로가 포함된 검사 요청 메시지를 출력하는 단계; (b) 상기 DRM 모듈로부터 입력된 상기 검사 요청 메시지에 포함되어 있는 상기 파일에 대응하여 생성된 핸들과 상기 파일의 경로를 기초로 상기 복호화되어 읽혀지는 원본 파일에 대한 악성 코드 감염 여부를 검사하고, 상기 원본 파일에 대한 악성 코드 검사 결과를 리턴하는 단계; 및 (c) 상기 파일에 대한 악성 코드 검사 결과에 따라 상기 파일의 열기 동작의 수행 여부를 결정하는 단계;를 가지는 DRM 환경에서의 악성 코드 실시간 검사 방법을DRM 환경에서의 악성 코드 실시간 검사 방법을 컴퓨터에서 실행시키기 위한 프로그램을 보유한다.
본 발명에 따른 DRM 환경에서의 악성 코드 실시간 검사 장치 및 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체에 의하면, DRM 구현에 있어서 백신 프로그램과 연동할 수 있는 인터페이스를 제공하고, 백신 프로그램을 DRM 지원 응용 프로그램에 로딩함으로써, DRM이 적용되어 암호화된 문서의 악성 코드 감염 여부를 실시간으로 검사하고 치료할 수 있다.
도 1은 본 발명에 따른 DRM 환경에서의 악성 코드 실시간 검사 장치에 대한 바람직한 실시예의 구성을 도시한 도면, 그리고,
도 2는 본 발명에 따른 DRM 환경에서의 악성 코드 실시간 검사 방법에 대한 바람직한 실시예의 수행과정을 도시한 흐름도이다.
이하에서 첨부된 도면들을 참조하여 본 발명에 따른 DRM 환경에서의 악성 코드 실시간 검사 장치 및 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체의 바람직한 실시예에 대해 상세하게 설명한다.
도 1은 본 발명에 따른 DRM 환경에서의 악성 코드 실시간 검사 장치에 대한 바람직한 실시예의 구성을 도시한 도면이다.
도 1을 참조하면, 본 발명에 따른 DRM 환경에서의 악성 코드 실시간 검사 장치에 대한 바람직한 실시예(100)는 DRM 모듈(110), 인터페이스 모듈(120), 악성 코드 검사 모듈(130) 및 악성 코드 치료 모듈(140)로 구성된다.
DRM 모듈(110)은 사용자가 DRM이 적용된 파일을 더블 클릭하는 등의 동작을 통해 '파일 열기' 명령을 입력하면, 해당 파일에 대응하여 생성된 핸들을 기초로 해당 파일에 대한 사용자의 권한을 확인한다. 이때 해당 파일에 대응하여 생성된 핸들은 DRM 모듈(110)이 포함된 프로세스 내에서만 유효하다. 만약 사용자에게 해당 파일에 대한 '읽기 권한'이 있는 것으로 확인되면, DRM 모듈(110)은 해당 파일에 대응하여 생성된 핸들을 통한 파일 읽기/쓰기 동작시 복호화/암호화를 수행한다. 다음으로 DRM 모듈(110)은 해당 파일에 대응하여 생성된 핸들과 파일의 경로를 제공하여 인터페이스 모듈(120)을 호출한다. 그리고 인터페이스 모듈(120)로부터 전달받은 악성 코드 검사 결과에 따른 메시지를 사용자에게 출력한다. DRM 모듈(110)이 사용자에게 출력하는 검사 결과는 악성 코드의 검출 여부에 따라 달라진다. 만약 인터페이스 모듈(12)로부터 악성 코드가 검출되지 않았다는 검사 결과가 전달되면, DRM 모듈(110)은 사용자에게 별도의 메시지를 출력하지 않고 해당 파일에 대한 열기 동작을 수행한다. 이와 달리 악성 코드가 검출되었다는 검사 결과가 전달되면, DRM 모듈(110)은 악성 코드 감염 사실을 알리는 메시지를 사용자에게 출력하고, 해당 파일에 대한 핸들을 반환하여 파일 열기 동작을 종료한다.
인터페이스 모듈(120)은 암호화된 파일이 열리기 전에 악성 코드 검사 모듈(130)에 DRM 모듈(110)로부터 넘겨받은 파일에 대응하는 핸들과 파일의 경로를 제공하여 악성 코드 검사를 요청한다. 그리고 악성 코드 검사 모듈(130)에 의한 검사 결과를 DRM 모듈(110)로 출력한다. 이러한 인터페이스 모듈(120)은 DRM 모듈(110)에 일체로 구현될 수도 있다.
악성 코드 검사 모듈(130)은 인터페이스 모듈(120)로부터 제공받은 파일에 대한 핸들과 파일 경로를 기초로 DRM 모듈(110)에 의해 복호화되어 읽혀지는 원본 파일에 대한 악성 코드 감염 여부를 검사한다. 이러한 악성 코드 검사 모듈(130)은 DRM 모듈(110) 지원 응용 프로그램에 로딩되어 실행되므로, 파라미터로 전달받은 핸들을 사용하여 암호화된 파일의 내용을 복호화된 상태로 읽을 수 있다. 또한 악성 코드 검사 모듈(130)은 후킹된 컨텍스트에서 호출되므로, CreateFile() 호출, 메시지 출력 등의 동작을 수행하면 안되고, 해당 파일의 핸들을 사용하여 검사만 수행하여야 한다. 만약 악성 코드의 검사 중에 "검사중입니다"와 같은 메시지를 출력하고자 한다면, 악성 코드 치료 모듈(140)에 해당 메시지의 출력을 요청한다. 이와 같은 메시지의 출력은 악성 코드 검사 결과를 인터페이스 모듈(120)로 리턴하기 전에 수행될 수 있다. 그리고 악성 코드 검사 모듈(130)는 미감염, 감염, 오류 등의 검사 결과를 인터페이스 모듈(120)로 리턴한다. 나아가 악성 코드 검사 모듈(130)은 해당 파일이 악성 코드에 감염된 것으로 확인되면, 해당 파일의 경로를 악성 코드 치료 모듈(140)에 제공하여 감염 사실을 알려준다.
악성 코드 치료 모듈(140)은 악성 코드 검사 모듈(130)로부터 전달받은 해당 파일의 경로를 기초로 사용자의 선택에 의해 악성 코드를 치료한다. 이러한 악성 코드 치료 동작은 사용자 검사(즉, 수동 검사)와 동일하게 DRM 모듈(110)에서 제공하는 SDK를 사용하여 구현될 수 있다. 따라서 악성 코드 검사 모듈(130)이 해당 파일로부터 악성 코드를 검출한 이후에는 기존의 수동 검사와 동일한 방식에 의해 악성 코드의 치료가 수행된다. 이와 같이 악성 코드 치료 모듈(140)이 별도의 동작에 의해 치료 동작을 수행하는 이유는 DRM 모듈(110), 인터페이스 모듈(120) 및 악성 코드 검사 모듈(130)은 동일한 프로세스에서 동작하므로 파일 핸들을 공유하여 파일 내용을 복호화된 상태로 접근할 수 있지만, 악성 코드 치료 모듈(140)은 이들과는 상이한 프로세스에서 동작하므로 파일 핸들을 공유할 수 없어 파일 내용을 복호화된 상태로 접근할 수 없기 때문이다.
도 2는 본 발명에 따른 DRM 환경에서의 악성 코드 실시간 검사 방법에 대한 바람직한 실시예의 수행과정을 도시한 흐름도이다.
도 2를 참조하면, 사용자가 DRM이 적용된 파일에 대한 '파일 열기' 명령을 입력하면, DRM 모듈(110)은 해당 파일에 대응하여 생성된 핸들을 기초로 해당 파일에 대한 사용자의 권한을 확인한다(S200). 만약 사용자에게 해당 파일에 대한 '읽기 권한'이 있는 것으로 확인되면(S205), DRM 모듈(110)은 해당 파일에 대응하여 생성된 핸들을 통한 파일 읽기/쓰기 동작시 복호화/암호화를 수행한다(S210). 다음으로 DRM 모듈(110)은 해당 파일에 대응하여 생성된 핸들과 파일의 경로를 제공하여 인터페이스 모듈(120)을 호출한다(S215). 다음으로 인터페이스 모듈(120)은 암호화된 파일이 열리기 전에 악성 코드 검사 모듈(130)에 DRM 모듈(110)로부터 넘겨받은 해당 파일에 대응하는 핸들과 파일의 경로를 제공하여 악성 코드 검사를 요청한다(S220). 악성 코드 검사 모듈(130)은 인터페이스 모듈(120)로부터 제공받은 파일에 대한 핸들과 파일 경로를 기초로 DRM 모듈(110)에 의해 복호화되어 읽혀지는 원본 파일에 대한 악성 코드 감염 여부를 검사한다(S225).
다음으로 악성 코드 검사 모듈(130)은 인터페이스 모듈(120)로 검사 결과를 리턴한다(S230). 인터페이스 모듈(120)은 악성 코드 검사 모듈(130)로부터 리턴된 검사 결과를 DRM 모듈(110)로 전달한다(S235). DRM 모듈(110)은 전달받은 검사 결과를 확인한다(S240). 만약 악성 코드가 발견된 것으로 확인되면, DRM 모듈(110)은 해당 파일에 대응하여 생성된 핸들을 반환하고 파일 열기 동작을 종료한다(S245). 이러한 파일 열기 동작의 종료는 S205 단계에서 사용자에게 해당 파일에 대한 '읽기 권한'이 없는 것으로 확인된 경우에도 동일하게 수행된다. 이와 달리 악성 코드가 발견되지 않은 것으로 확인되면, DRM 모듈(110)은 해당 파일에 대한 열기 동작을 계속 수행한다(S250).
한편 악성 코드 검사 모듈(130)은 악성 코드가 발견된 파일의 경로를 악성 코드 치료 모듈(140)로 제공하여 악성 코드에 대한 치료를 요청한다. 이러한 악성 코드에 대한 치료 요청 동작은 설정 상태에 따라 선택적으로 수행될 수 있다. 이때 악성 코드 치료 모듈(140)은 DRM 모듈(110)로 검사 결과가 리턴된 이후에 악성 코드 검사 모듈(130)로부터 전달받은 해당 파일의 경로를 기초로 해당 파일의 악성 코드 감염에 대한 메시지를 사용자에게 출력하고, 사용자로부터 치료 여부를 선택받는다. 만약 사용자가 치료를 선택하면, 악성 코드 치료 모듈(140)은 해당 파일에 대한 치료 동작을 수행한다. 이러한 악성 코드 치료 모듈(140)에 의한 치료 동작은 종래의 DRM이 적용된 파일에 대한 수동 치료 과정과 동일하다.
본 발명은 또한 컴퓨터로 읽을 수 있는 기록매체에 컴퓨터가 읽을 수 있는 코드로서 구현하는 것이 가능하다. 컴퓨터가 읽을 수 있는 기록매체는 컴퓨터 시스템에 의하여 읽혀질 수 있는 데이터가 저장되는 모든 종류의 기록장치를 포함한다. 컴퓨터가 읽을 수 있는 기록매체의 예로는 ROM, RAM, CD-ROM, 자기 테이프, 플로피디스크, 광데이터 저장장치 등이 있으며, 또한 캐리어 웨이브(예를 들어 인터넷을 통한 전송)의 형태로 구현되는 것도 포함한다. 또한 컴퓨터가 읽을 수 있는 기록매체는 네트워크로 연결된 컴퓨터 시스템에 분산되어 분산방식으로 컴퓨터가 읽을 수 있는 코드가 저장되고 실행될 수 있다.
이상에서 본 발명의 바람직한 실시예에 대해 도시하고 설명하였으나, 본 발명은 상술한 특정의 바람직한 실시예에 한정되지 아니하며, 청구범위에서 청구하는 본 발명의 요지를 벗어남이 없이 당해 발명이 속하는 기술분야에서 통상의 지식을 가진 자라면 누구든지 다양한 변형 실시가 가능한 것은 물론이고, 그와 같은 변경은 청구범위 기재의 범위 내에 있게 된다.

Claims (7)

  1. 사용자가 DRM이 적용된 파일에 대한 실행 명령을 입력하면, 상기 파일에 대응하여 생성한 핸들을 기초로 상기 파일에 대한 사용자의 권한을 확인한 후 상기 파일에 대응하여 생성된 핸들을 통한 파일 읽기/쓰기 동작시 복호화/암호화를 수행하고, 상기 파일에 대응하여 생성된 핸들과 상기 파일의 경로가 포함된 검사 요청 메시지를 출력하며, 상기 파일에 대한 악성 코드 검사 결과에 따라 상기 파일의 열기 동작의 수행 여부를 결정하는 DRM 모듈;
    상기 DRM 모듈로부터 입력된 상기 검사 요청 메시지를 전달하는 인터페이스 모듈; 및
    상기 인터페이스 모듈로부터 전달받은 상기 검사 요청 메시지에 포함되어 있는 상기 파일에 대응하여 생성된 핸들과 상기 파일의 경로를 기초로 상기 DRM 모듈에 의해 복호화되어 읽혀지는 원본 파일에 대한 악성 코드 감염 여부를 검사하고, 상기 원본 파일에 대한 악성 코드 검사 결과를 상기 인터페이스 모듈을 통해 상기 DRM 모듈로 전달하는 악성 코드 검사 모듈;을 포함하는 것을 특징으로 하는 DRM 환경에서의 악성 코드 실시간 검사 장치.
  2. 제 1항에 있어서,
    상기 악성 코드 검사 모듈로부터 전달받은 상기 파일의 경로를 기초로 사용자의 선택에 의해 악성 코드를 치료하는 악성 코드 치료 모듈을 더 포함하는 것을 특징으로 하는 DRM 환경에서의 악성 코드 실시간 검사 장치.
  3. 제 2항에 있어서,
    상기 악성 코드 치료 모듈은 상기 DRM 모듈로 악성 코드 검사 결과가 리턴된 이후에 상기 악성 코드 검사 모듈로부터 전달받은 해당 파일의 경로를 기초로 상기 파일의 악성 코드 감염에 대한 메시지를 사용자에게 출력한 후 사용자로부터 치료 여부를 선택받는 것을 특징으로 하는 DRM 환경에서의 악성 코드 실시간 검사 장치.
  4. 제 1항 또는 제 2항에 있어서,
    상기 DRM 모듈은 상기 파일에서 악성 코드가 검출된 것으로 확인되면, 악성 코드 감염 사실과 치료 여부를 문의하는 메시지를 사용자에게 출력하고, 상기 파일에 대한 핸들을 반환하여 파일 열기 동작을 종료하는 것을 특징으로 하는 DRM 환경에서의 악성 코드 실시간 검사 장치.
  5. 제 1항 또는 제 2항에 있어서,
    상기 악성 코드 검사 모듈은 악성 코드의 검사 중에 상기 악성 코드 치료 모듈에 사용자에게 악성 코드 검사 중임을 알리는 메시지의 출력을 요청하는 것을 특징으로 하는 DRM 환경에서의 악성 코드 실시간 검사 장치.
  6. (a) 사용자가 DRM이 적용된 파일에 대한 실행 명령을 입력하면, 상기 파일에 대응하여 생성한 핸들을 기초로 상기 파일에 대한 사용자의 권한을 확인한 후 상기 파일에 대응하여 생성된 핸들을 통한 파일 읽기/쓰기 동작시 복호화/암호화를 수행하고, 상기 파일에 대응하여 생성된 핸들과 상기 파일의 경로가 포함된 검사 요청 메시지를 출력하는 단계;
    (b) 상기 DRM 모듈로부터 입력된 상기 검사 요청 메시지에 포함되어 있는 상기 파일에 대응하여 생성된 핸들과 상기 파일의 경로를 기초로 상기 복호화되어 읽혀지는 원본 파일에 대한 악성 코드 감염 여부를 검사하고, 상기 원본 파일에 대한 악성 코드 검사 결과를 리턴하는 단계; 및
    (c) 상기 파일에 대한 악성 코드 검사 결과에 따라 상기 파일의 열기 동작의 수행 여부를 결정하는 단계;를 포함하는 것을 특징으로 하는 DRM 환경에서의 악성 코드 실시간 검사 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 컴퓨터로 읽을 수 있는 기록매체.
  7. 제 6항에 있어서,
    상기 (c)단계에서, 상기 파일에서 악성 코드가 검출된 것으로 확인되면 악성 코드 감염 사실과 치료 여부를 문의하는 메시지를 사용자에게 출력하고, 상기 파일에 대한 핸들을 반환하여 파일 열기 동작을 종료하는 것을 특징으로 하는 기록매체.
PCT/KR2011/000513 2010-07-16 2011-01-25 Ｄｒｍ 환경에서의 악성 코드 실시간 검사 장치 및 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체 WO2012008669A1 (ko)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP11806954.1A EP2595081A4 (en) 2010-07-16 2011-01-25 REAL-TIME TEST DEVICE FOR A NOMINANT CODE IN A DRM ENVIRONMENT AND RECORDING MEDIUM FOR RECORDING A PROGRAM FOR CARRYING OUT AN APPROPRIATE PROCEDURE
US13/810,618 US20130219501A1 (en) 2010-07-16 2011-01-25 Malicious code real-time inspecting device in a drm environment and recording medium for recording a program to execute a method thereof
JP2013519561A JP5603491B2 (ja) 2010-07-16 2011-01-25 Ｄｒｍ環境における悪質コードのリアルタイム検査装置及びその方法をコンピュータで行わせるためのプログラムを記録した記録媒体

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2010-0069040 2010-07-16
KR1020100069040A KR101091777B1 (ko) 2010-07-16 2010-07-16 Ｄｒｍ 환경에서의 악성 코드 실시간 검사 장치 및 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체

Publications (1)

Publication Number Publication Date
WO2012008669A1 true WO2012008669A1 (ko) 2012-01-19

Family

ID=45469642

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2011/000513 WO2012008669A1 (ko) 2010-07-16 2011-01-25 Ｄｒｍ 환경에서의 악성 코드 실시간 검사 장치 및 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체

Country Status (5)

Country Link
US (1) US20130219501A1 (ko)
EP (1) EP2595081A4 (ko)
JP (1) JP5603491B2 (ko)
KR (1) KR101091777B1 (ko)
WO (1) WO2012008669A1 (ko)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5596867B2 (ja) * 2011-08-26 2014-09-24 イービーエム株式会社 血管血流シュミレーションシステム、その方法及びコンピュータソフトウエアプログラム
JP5867190B2 (ja) * 2012-03-13 2016-02-24 日本電気株式会社 情報処理装置、ファイル暗号化判定方法、権限決定方法およびプログラム
US9489513B1 (en) * 2013-06-25 2016-11-08 Symantec Corporation Systems and methods for securing computing devices against imposter processes
KR101503827B1 (ko) * 2013-08-08 2015-03-19 에스지에이 주식회사 절대 경로 관리를 통한 악성 프로그램 검사 시스템

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20070049514A (ko) * 2005-11-08 2007-05-11 한국정보보호진흥원 악성 코드 감시 시스템 및 이를 이용한 감시 방법
KR20070114686A (ko) * 2007-11-12 2007-12-04 김유정 모바일 웹하드 운용 시스템
KR20070120413A (ko) * 2006-06-19 2007-12-24 엘지전자 주식회사 디알엠 상호 호환 시스템의 컨텐츠 처리 방법 및 컨텐츠신뢰 상태 관리 시스템
KR20080113356A (ko) * 2006-02-28 2008-12-30 마이크로소프트 코포레이션 콘텐츠 검증 방법, 컴퓨터 프로그램, 콘텐츠 배포 시스템의노드, 콘텐츠 배포 시스템의 제어 노드, 콘텐츠 배포 시스템의 피어, 및 콘텐츠 배포 시스템

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7272724B2 (en) * 2001-02-20 2007-09-18 Mcafee, Inc. User alerts in an anti computer virus system
JP2002366487A (ja) * 2001-06-05 2002-12-20 Sogen Aoyama 不審な電子メールからの保護システム
US7383586B2 (en) * 2003-01-17 2008-06-03 Microsoft Corporation File system operation and digital rights management (DRM)
US20040158741A1 (en) * 2003-02-07 2004-08-12 Peter Schneider System and method for remote virus scanning in wireless networks
KR101087824B1 (ko) * 2003-10-16 2011-11-30 파나소닉 주식회사 암호화 통신 시스템 및 통신장치
US7409719B2 (en) * 2004-12-21 2008-08-05 Microsoft Corporation Computer security management, such as in a virtual machine or hardened operating system
US20090133129A1 (en) * 2006-03-06 2009-05-21 Lg Electronics Inc. Data transferring method
WO2009048158A1 (ja) * 2007-10-09 2009-04-16 Nec Corporation ファイルチェック装置、ファイルチェックプログラムおよびファイルチェック方法
US8839431B2 (en) * 2008-05-12 2014-09-16 Enpulz, L.L.C. Network browser based virus detection
JP2010097550A (ja) * 2008-10-20 2010-04-30 Intelligent Software:Kk ウイルス防止プログラム、コンピュータに着脱可能な記憶装置、及びウイルス防止方法
US8769685B1 (en) * 2010-02-03 2014-07-01 Symantec Corporation Systems and methods for using file paths to identify potentially malicious computer files

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20070049514A (ko) * 2005-11-08 2007-05-11 한국정보보호진흥원 악성 코드 감시 시스템 및 이를 이용한 감시 방법
KR20080113356A (ko) * 2006-02-28 2008-12-30 마이크로소프트 코포레이션 콘텐츠 검증 방법, 컴퓨터 프로그램, 콘텐츠 배포 시스템의노드, 콘텐츠 배포 시스템의 제어 노드, 콘텐츠 배포 시스템의 피어, 및 콘텐츠 배포 시스템
KR20070120413A (ko) * 2006-06-19 2007-12-24 엘지전자 주식회사 디알엠 상호 호환 시스템의 컨텐츠 처리 방법 및 컨텐츠신뢰 상태 관리 시스템
KR20070114686A (ko) * 2007-11-12 2007-12-04 김유정 모바일 웹하드 운용 시스템

Also Published As

Publication number Publication date
KR101091777B1 (ko) 2011-12-08
EP2595081A1 (en) 2013-05-22
EP2595081A4 (en) 2014-04-16
US20130219501A1 (en) 2013-08-22
JP5603491B2 (ja) 2014-10-08
JP2013531316A (ja) 2013-08-01

Similar Documents

Publication Publication Date Title
EP2156357B1 (en) Trusted operating environment for malware detection
Feng et al. Apposcopy: Semantics-based detection of android malware through static analysis
US8099596B1 (en) System and method for malware protection using virtualization
US8904537B2 (en) Malware detection
US8042186B1 (en) System and method for detection of complex malware
EP2156356B1 (en) Trusted operating environment for malware detection
US7636856B2 (en) Proactive computer malware protection through dynamic translation
US8918878B2 (en) Restoration of file damage caused by malware
JP5326062B1 (ja) 非実行ファイル検査装置及び方法
US8782791B2 (en) Computer virus detection systems and methods
US7657941B1 (en) Hardware-based anti-virus system
US20190141075A1 (en) Method and system for a protection mechanism to improve server security
US20130067577A1 (en) Malware scanning
KR100992434B1 (ko) 확장자를 위장한 파일을 탐지하는 방법 및 그 장치
JP6122562B2 (ja) 特定装置、特定方法および特定プログラム
US8086835B2 (en) Rootkit detection
US20100235916A1 (en) Apparatus and method for computer virus detection and remediation and self-repair of damaged files and/or objects
CA2919616A1 (en) Irrelevant code identification
WO2012008669A1 (ko) Ｄｒｍ 환경에서의 악성 코드 실시간 검사 장치 및 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체
US9251350B2 (en) Trusted operating environment for malware detection
US9202065B2 (en) Detecting sensitive data access by reporting presence of benign pseudo virus signatures
Andriatsimandefitra et al. Information flow policies vs malware

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11806954

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2013519561

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 13810618

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2011806954

Country of ref document: EP