WO2014123314A1 - 악성코드의 원격지 접속 서버 추적 시스템 및 방법 - Google Patents

악성코드의 원격지 접속 서버 추적 시스템 및 방법 Download PDF

Info

Publication number
WO2014123314A1
WO2014123314A1 PCT/KR2014/000626 KR2014000626W WO2014123314A1 WO 2014123314 A1 WO2014123314 A1 WO 2014123314A1 KR 2014000626 W KR2014000626 W KR 2014000626W WO 2014123314 A1 WO2014123314 A1 WO 2014123314A1
Authority
WO
WIPO (PCT)
Prior art keywords
remote access
monitoring
access server
malicious
module
Prior art date
Application number
PCT/KR2014/000626
Other languages
English (en)
French (fr)
Inventor
고보승
김대희
Original Assignee
(주)잉카인터넷
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by (주)잉카인터넷 filed Critical (주)잉카인터넷
Publication of WO2014123314A1 publication Critical patent/WO2014123314A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Definitions

  • the present invention relates to a remote access server tracking system and method of malicious code, and more particularly to a system and method for tracking a remote server to which the code injected malicious code accesses.
  • Malicious programs such as Trojan, Zeus, and Spyeye, inject malicious code into arbitrary execution processes and use that injected memory area as a starting address. It creates a thread that runs and performs malicious actions corresponding to malicious code.
  • Korean Patent Laid-Open Publication No. 2011-0119918 "A malware detection apparatus, system and method disguised as a normal process", thread information generated from a process running on a computer system.
  • a code detection module for identifying a code associated with the thread by estimating the malicious code, estimating whether the identified code is malicious, and extracting the code estimated as malicious, and analyzing the behavior by executing the extracted code in a virtual environment Based on the result, a malicious code detection system including a malicious code forced termination module for finally determining the code as malicious code and forcibly terminating execution of the code has been proposed.
  • Korean Patent No. 1206853 "Network Access Control System and Method” examines a memory of a process to find a thread based on a code injection area, and performs network filtering to search for a network packet accessing a network.
  • the related art merely proposes a technique for preventing malicious code injected into an arbitrary process from being executed or blocking the malicious code from malicious network communication.
  • the injected malicious code is blocked from being executed, and at the same time, it is necessary to collect information about a remote access server that communicates with the malicious code to extract personal information from the user's computer or controls the user's computer from a remote location.
  • An object of the present invention which is devised to meet the necessity of the above-described prior art, is to provide a system and method for tracking a remote server through which code injection-based malicious threads communicate.
  • a remote access server tracking system for malware includes an image load monitoring unit for monitoring whether a process loaded in a memory includes a communication module, and monitoring the operation of the communication module in the process.
  • a monitoring module inserting unit for inserting a monitoring module, a network connection management unit for receiving and managing network communication information between the communication module and a remote access server from the monitoring module inserted in the process, and a malicious to diagnose the harmfulness of the process
  • a connection server tracking unit for obtaining a remote access server information in communication with the malicious diagnosis process by querying the network connection management unit for a code diagnosis unit and a process diagnosed as malicious in the malicious code diagnosis unit.
  • the remote access server tracking method of the malicious code an image load monitoring step for monitoring whether the remote access server tracking system includes a communication module is loaded in the memory, and the remote access server tracking system the process And a monitoring module insertion step of inserting a monitoring module for monitoring the operation of the communication module, and collecting, by the remote access server tracking system, network communication information between the communication module and the remote access server from the monitoring module inserted into the process. And a connection server tracking step of querying the network connection management unit for a process diagnosed by the remote access server tracking system as malicious by the network connection management step and obtaining remote access server information in communication with the malicious diagnosis process. do.
  • a code injection-based malicious thread tracks a remote attack origin server to communicate with and collects information (IP address or URL) information about the remote attacker server.
  • FIG. 1 is a block diagram illustrating a system for tracking a remote access server of malicious code according to the present invention.
  • FIG. 2 is a flowchart illustrating a method of tracking a remote access server for malicious code according to the present invention.
  • connection server tracking unit 120 process
  • Code injection-based malware injects the same malicious code into a new generation process of a computer system to propagate itself. That is, in a computer system infected with a malicious program, a code injection area exists in a memory area of a plurality of processes among execution processes, and the same code is injected into the corresponding code injection area. Therefore, since the code injection-based malicious program is not executed as a separate file but is injected and executed in any normal process, it is difficult to detect and block in units of processes.
  • a code injection-based malicious program injects malicious code into a document file, and when a user browses the document file, malicious code injected into the document file is automatically executed on the user's computer to operate as a downloader.
  • This downloader communicates with the remote server to download the file and installs it on the system.
  • the downloaded file can perform malicious actions or send a specific application to the remote server by executing a specific application on the user's computer. Control your computer and perform malicious actions.
  • This invention proposes a technique for tracking a remote access server with which any thread running on a user computer communicates.
  • the present invention collects and stores network communication information performed by an arbitrary process for each process, diagnoses the harmfulness of a later process, analyzes the network communication performed by a process diagnosed with malicious code, and communicates with the malicious diagnosis process. Obtain information about the server.
  • FIG. 1 is a block diagram illustrating a system for tracking a remote access server of malicious code according to the present invention.
  • the remote access server tracking system 110 of malicious code includes an image load monitoring unit 111 for monitoring whether a process 120 loaded in a memory includes a communication module 121, and the process 120.
  • Monitoring module insertion unit 112 for inserting a monitoring module 122 for monitoring the operation of the communication module 121, and network communication between the communication module 121 and the remote access server from the monitoring module 122
  • the network connection management unit 113 for receiving and managing information, the malicious code diagnosis unit 114 for diagnosing the harmfulness of the process loaded into the memory, and the process determined as malicious in the malicious code diagnosis unit 114 are described above.
  • a connection server tracking unit 115 for querying the network connection management unit 113 to obtain the remote connection server information in communication with the process.
  • the image load monitoring unit 111 monitors an operation in which an image (module) is loaded for each process 120 in the kernel stage.
  • the monitoring module inserting unit 112 provides a monitoring module for monitoring network communication of the communication module to the corresponding process. Insert it.
  • the monitoring module monitors network communication of the communication module by hooking an API (application programming interface) function used by the communication module.
  • API application programming interface
  • the monitoring module 122 detects this and transmits network communication information (process identifier (PID), network connection information) to the network connection manager 113.
  • PID process identifier
  • the process information of communicating with the remote access server in the user computer can be known, and the information such as the IP address or URL of the remote access server can be known from the network connection information.
  • the network connection manager 113 stores network communication information input from the monitoring module 122 for each process.
  • the malware diagnosis unit 114 is a general anti-virus engine and diagnoses the harmfulness of the process 120 loaded into the memory based on the signature pattern or behavior.
  • the process 120 is diagnosed as a malicious code, the process identifier (PID) or file path of the process is transmitted to the access server tracker 115.
  • PID process identifier
  • the access server tracker 115 queries the network connection manager 113 for a process identifier (PID) or a file path received from the malware diagnosis unit 114 to obtain network communication information performed by the process 120.
  • PID process identifier
  • the IP address or URL information of the remote access server 130 to which the process 120 accesses is obtained from the network communication information.
  • the monitoring module 122 may perform both network monitoring at the application end and network monitoring at the kernel end, and may transmit the same to the network connection manager 113. If the network monitoring at the application end is bypassed by hooking bypass technique, the network monitoring results at the application end and the network monitoring results at the kernel end are inconsistent.
  • the network connection management unit 113 performs network monitoring at the application end and the kernel end. Malicious network communication can be detected depending on whether the network monitoring in the
  • FIG. 2 is a flowchart illustrating a method of tracking a remote access server for malicious code according to the present invention.
  • the remote access server tracking system monitors whether an image is loaded into a memory for each process and monitors whether a corresponding process loaded into the memory includes a communication module related to network operation (S21).
  • the remote access server tracking system when the remote access server tracking system is loaded with a process including the communication module, and inserts a monitoring module for monitoring the operation of the communication module in the process (S22).
  • the monitoring module detects network communication information including process information (PID) and remote access server information that attempts network communication when the communication module attempts network communication.
  • PID process information
  • remote access server information that attempts network communication when the communication module attempts network communication.
  • the remote access server tracking system collects and manages network communication information between the communication module and the remote access server from the monitoring module (S23).
  • the malicious code diagnosis unit diagnoses the harmfulness of the process loaded in the memory (S24). If the process is diagnosed as malicious code (S25), the remote access server tracking system queries the network connection management unit for a malicious diagnosis process. Thereby detecting network communication information of the malicious diagnosis process and obtaining remote access server information in communication with the malicious diagnosis process.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

이 발명은 코드인젝션된 악성코드가 접속하는 원격지의 서버를 추적하는 시스템 및 방법에 관한 것이다. 이 발명에 따른 악성코드의 원격지 접속 서버 추적 시스템은, 메모리에 로드되는 프로세스가 통신모듈을 포함하는지를 감시하는 이미지로드감시부와, 상기 프로세스에 상기 통신모듈의 동작을 감시하는 모니터링모듈을 삽입하는 모니터링모듈삽입부와, 상기 프로세스에 삽입된 모니터링모듈로부터 상기 통신모듈과 원격지 접속 서버와의 네트워크 통신 정보를 수신하여 관리하는 네트워크연결관리부와, 상기 프로세스의 유해성을 진단하는 악성코드진단부와, 상기 악성코드진단부에서 악성으로 진단된 프로세스에 대해 상기 네트워크연결관리부에 쿼리하여 상기 악성 진단 프로세스와 통신한 원격지 접속 서버 정보를 획득하는 접속서버추적부를 포함한다.

Description

악성코드의 원격지 접속 서버 추적 시스템 및 방법
이 발명은 악성코드의 원격지 접속 서버 추적 시스템 및 방법에 관한 것으로서, 보다 상세하게는 코드인젝션된 악성코드가 접속하는 원격지의 서버를 추적하는 시스템 및 방법에 관한 것이다.
트로이 목마(trojan), 제우스(Zeus), 스파이아이(Spyeye)와 같은 악성 프로그램은 임의의 실행 프로세스에 악성 코드를 인젝션(code injection)하고, 그 악성 코드 인젝션된 메모리 영역을 시작주소로 사용하는 스레드를 생성하며, 그 스레드가 구동하여 악성 코드에 대응하는 악의적인 행위를 수행한다.
최근 제우스 또는 스파이아이 프로그램에 의해 사용자 컴퓨터에 삽입된 악성 코드가 컴퓨터에 저장된 은행 거래 계좌와 비밀번호 등의 금융 정보를 해커에게 유출시켜, 해커가 그 금융 정보를 이용하여 중소기업이나 지방자치단체 은행 계정에 접근, 현금을 인출하는 금융 사고가 발생한 바 있다. 이에 이러한 코드 인젝션 기반 악성 코드에 대응하기 위한 방안이 요구되고 있다.
이러한 악성 코드에 대응하기 위한 종래기술로서, 선행특허 대한민국 공개특허 제2011-0119918호 "정상 프로세스에 위장 삽입된 악성코드 탐지 장치, 시스템 및 방법"에서는, 컴퓨터 시스템 상에서 실행중인 프로세스로부터 생성된 쓰레드 정보를 추출하여 상기 쓰레드와 연관된 코드를 식별하고, 상기 식별된 코드의 악성 여부를 추정하여 상기 악성으로 추정된 코드를 추출하는 악성코드 탐지모듈과, 상기 추출된 코드를 가상 환경에서 실행하여 행위를 분석한 결과에 기반하여 상기 코드를 악성코드로 최종 판단하고 상기 코드의 실행을 강제 종료하는 악성코드 강제 종료모듈을 포함한 악성코드 탐지 시스템이 제안되었다.
다른 선행특허로서, 대한민국 등록특허 제1206853호 "네트워크 접근 제어시스템 및 방법"에서는, 프로세스의 메모리를 검사하여 코드 인젝션 영역을 기반으로 하는 스레드를 찾고, 네트워크 필터링을 수행하여 네트워크에 접근하는 네트워크 패킷을 탐지하며, 탐지된 네트워크 패킷의 통신 주체가 코드 인젝션 기반 스레드이면 탐지된 네트워크 패킷의 트래픽이 차단되도록 하는 기술을 제안하였다.
이와 같이 종래에는 임의의 프로세스에 인젝션된 악성 코드가 실행되지 못하도록 하거나, 해당 악성 코드가 악의적인 네트워크 통신을 하지 못하도록 차단하는 기술을 제안할 뿐이다. 그러나, 이와 같이 인젝션된 악성 코드가 실행되지 못하도록 차단하는 것과 동시에 해당 악성 코드와 통신하여 사용자 컴퓨터로부터 개인정보를 빼내가거나 원격지에서 사용자 컴퓨터를 조정하는 원격지 접속 서버에 대한 정보를 수집할 필요가 있다.
상술한 종래기술의 필요성을 충족시키기 위하여 안출된 이 발명의 목적은, 코드 인젝션 기반 악성 스레드가 통신하는 원격지 서버를 추적하는 시스템 및 방법을 제공하기 위한 것이다.
상술한 목적을 달성하기 위한 이 발명에 따른 악성코드의 원격지 접속 서버 추적 시스템은, 메모리에 로드되는 프로세스가 통신모듈을 포함하는지를 감시하는 이미지로드감시부와, 상기 프로세스에 상기 통신모듈의 동작을 감시하는 모니터링모듈을 삽입하는 모니터링모듈삽입부와, 상기 프로세스에 삽입된 모니터링모듈로부터 상기 통신모듈과 원격지 접속 서버와의 네트워크 통신 정보를 수신하여 관리하는 네트워크연결관리부와, 상기 프로세스의 유해성을 진단하는 악성코드진단부와, 상기 악성코드진단부에서 악성으로 진단된 프로세스에 대해 상기 네트워크연결관리부에 쿼리하여 상기 악성 진단 프로세스와 통신한 원격지 접속 서버 정보를 획득하는 접속서버추적부를 포함한 것을 특징으로 한다.
또한, 이 발명에 따른 악성코드의 원격지 접속 서버 추적 방법은, 원격지 접속 서버 추적 시스템이 메모리에 로드되는 프로세스가 통신모듈을 포함하는지를 감시하는 이미지로드감시단계와, 상기 원격지 접속 서버 추적 시스템이 상기 프로세스에 상기 통신모듈의 동작을 감시하는 모니터링모듈을 삽입하는 모니터링모듈삽입단계와, 상기 원격지 접속 서버 추적 시스템이 상기 프로세스에 삽입된 모니터링모듈로부터 상기 통신모듈과 원격지 접속 서버와의 네트워크 통신 정보를 수집하는 네트워크연결관리단계와, 상기 원격지 접속 서버 추적 시스템이 악성으로 진단된 프로세스에 대해 상기 네트워크연결관리부에 쿼리하여 상기 악성 진단 프로세스와 통신한 원격지 접속 서버 정보를 획득하는 접속서버추적단계를 포함한 것을 특징으로 한다.
이상과 같이 이 발명에 따르면 코드 인젝션 기반 악성 스레드가 통신하는 원격지의 공격 근원 서버를 추적하여 상기 원격지 공격자 서버에 관한 정보(IP주소 또는 URL) 정보를 수집할 수 있는 잇점이 있다.
도 1은 이 발명에 따른 악성코드의 원격지 접속 서버 추적 시스템을 도시한 구성 블록도이다.
도 2는 이 발명에 따른 악성코드의 원격지 접속 서버 추적 방법을 도시한 동작 흐름도이다.
[부호의 설명]
111 : 이미지로드감시부 112 : 모니터링모듈삽입부
113 : 네트워크연결감시부 114 : 악성코드진단부
115 : 접속서버추적부 120 : 프로세스
121 : 통신모듈 122 : 모니터링모듈
130 : 원격지 접속 서버
이하, 첨부된 도면을 참조하며 이 발명에 따른 악성코드의 원격지 접속 서버 추적 시스템 및 방법에 대해 보다 상세하게 설명한다.
코드 인젝션 기반 악성 프로그램은 스스로를 전파하기 위해, 컴퓨터 시스템의 신규 생성 프로세스에 동일한 악성 코드를 인젝션한다. 즉, 악성 프로그램에 감염된 컴퓨터 시스템에는, 실행 프로세스들 중 다수의 프로세스들의 메모리 영역에 코드 인젝션 영역이 존재하며, 해당 코드 인젝션 영역에 동일한 코드가 인젝션된다. 따라서, 코드 인젝션 기반 악성 프로그램은 개별적인 파일로 존재하지 않고 임의의 정상 프로세스에 인젝션되어 실행되기 때문에, 프로세스 단위로 검출 및 차단시키기는 곤란하다.
또한, 코드 인젝션 기반 악성 프로그램은 문서 파일에 악성 코드를 인젝션하여, 사용자가 해당 문서 파일을 열람할 때 자동적으로 문서 파일에 인젝션된 악성코드가 사용자 컴퓨터에서 실행되어 다운로더로 동작하는 경우가 있다. 이와 같이 동작하는 다운로더는 원격지의 서버와 통신하여 파일을 다운받아 시스템에 설치하는데, 이렇게 설치된 파일이 악의적인 행위를 하거나, 사용자 컴퓨터에서 특정 응용 프로그램을 실행시켜서 개인 정보를 원격지 서버로 전송하는 등 사용자 컴퓨터를 조정하면서 악의적인 행위를 수행한다.
이 발명은 사용자 컴퓨터에서 실행되는 임의의 스레드가 통신하는 원격지 접속 서버를 추적하는 기술을 제안한다.
이 발명에서는 임의의 프로세스가 수행하는 네트워크 통신 정보를 프로세스별로 수집하여 저장하고, 추후 프로세스의 유해성을 진단하여 악성코드로 진단된 프로세스가 수행한 네트워크 통신을 분석하여 상기 악성 진단 프로세스와 통신한 원격지 접속 서버에 관한 정보를 획득한다.
도 1은 이 발명에 따른 악성코드의 원격지 접속 서버 추적 시스템을 도시한 구성 블록도이다.
이 발명에 따른 악성코드의 원격지 접속 서버 추적 시스템(110)은, 메모리에 로드되는 프로세스(120)가 통신모듈(121)을 포함하는지를 감시하는 이미지로드감시부(111)와, 상기 프로세스(120)에 상기 통신모듈(121)의 동작을 감시하는 모니터링모듈(122)을 삽입하는 모니터링모듈삽입부(112)와, 상기 모니터링모듈(122)로부터 상기 통신모듈(121)과 원격지 접속 서버와의 네트워크 통신 정보를 수신하여 관리하는 네트워크연결관리부(113)와, 메모리에 로드된 프로세스의 유해성을 진단하는 악성코드진단부(114)와, 상기 악성코드진단부(114)에서 악성으로 판단된 프로세스에 대해 상기 네트워크연결관리부(113)에 쿼리하여 상기 프로세스와 통신한 상기 원격지 접속 서버 정보를 획득하는 접속서버추적부(115)를 포함한다.
이미지로드감시부(111)는 커널단에서 프로세스(120)별로 이미지(모듈)가 로드되는 연산을 감시한다. 이미지로드감시부(111)의 감시 결과, 통신모듈(121)이 포함된 프로세스(120)가 로드되면, 모니터링모듈삽입부(112)는 해당 프로세스에 통신모듈의 네트워크 통신을 모니터링하기 위한 모니터링모듈을 삽입한다. 모니터링모듈은 통신모듈이 사용하는 API(application programming interface) 함수를 후킹하여 통신모듈의 네트워크 통신을 모니터링한다. 이 상태에서 통신모듈(121)이 원격지 접속 서버(130)와 통신하면 모니터링모듈(122)은 이를 감지하고, 네트워크 통신 정보(프로세스식별자(PID), 네트워크 연결 정보)를 네트워크연결관리부(113)에게 전달한다. 프로세스식별자 정보로부터 사용자 컴퓨터 내에서 원격지 접속 서버와 통신을 한 프로세스 정보를 알 수 있으며, 네트워크 연결 정보를 통해 원격지 접속 서버의 IP주소 또는 URL 등의 정보를 알 수 있다.
네트워크연결관리부(113)는 프로세스별로 모니터링모듈(122)로부터 입력된 네트워크 통신 정보를 저장한다.
악성코드진단부(114)는 일반적인 안티 바이러스 엔진으로서, 시그너쳐 패턴 또는 행위를 기반으로 메모리에 로딩된 프로세스(120)의 유해성을 진단한다. 상기 프로세스(120)가 악성코드로 진단되면 상기 프로세스의 프로세스식별자(PID) 또는 파일 경로를 접속서버추적부(115)에게 전달한다.
접속서버추적부(115)는 악성코드진단부(114)로부터 전달받은 프로세스식별자(PID) 또는 파일 경로를 네트워크연결관리부(113)에게 쿼리하여 상기 프로세스(120)가 수행한 네트워크 통신 정보를 획득하고, 해당 네트워크 통신 정보로부터 프로세스(120)가 접속한 원격지 접속 서버(130)의 아이피주소 또는 유알엘(URL) 정보를 획득한다.
모니터링모듈(122)은 응용단에서 네트워크 모니터링과 커널단에서 네트워크 모니터링을 모두 수행하여 네트워크연결관리부(113)에게 전달할 수 있다. 응용단에서의 네트워크 모니터링이 후킹 우회기법으로 우회될 경우 응용단에서의 네트워크 모니터링과 커널단에서의 네트워크 모니터링 결과가 일치하지 않게 되는데, 네트워크연결관리부(113)는 응용단에서의 네트워크 모니터링과 커널단에서의 네트워크 모니터링의 일치 여부에 따라 악의적인 네트워크 통신을 검출할 수 있다.
도 2는 이 발명에 따른 악성코드의 원격지 접속 서버 추적 방법을 도시한 동작 흐름도이다.
원격지 접속 서버 추적 시스템은 프로세스별로 메모리에 이미지가 로드되는지를 감시하고 메모리에 로드되는 해당 프로세스에 네트워크 연산과 관련된 통신모듈이 포함되는지를 감시한다(S21).
다음, 상기 원격지 접속 서버 추적 시스템은 통신모듈이 포함된 프로세스가 로드되면, 해당 프로세스에 상기 통신모듈의 동작을 감시하는 모니터링모듈을 삽입한다(S22). 모니터링모듈은 통신모듈이 사용하는 API 함수를 후킹함으로써, 통신모듈이 네트워크 통신을 시도할 때 해당 네트워크 통신을 시도하는 프로세스 정보(PID)와 원격지 접속 서버 정보를 포함한 네트워크 통신 정보를 검출하여 원격지 접속 서버 추적 시스템에게 전달한다.
다음, 상기 원격지 접속 서버 추적 시스템은 상기모니터링모듈로부터 상기 통신모듈과 원격지 접속 서버와의 네트워크 통신 정보를 수집하여 관리한다(S23).
다음, 악성코드진단부는 메모리에 로드된 프로세스의 유해성을 진단하는데(S24), 상기 프로세스가 악성 코드로 진단되면(S25), 상기 원격지 접속 서버 추적 시스템은 악성 진단 프로세스에 대해 상기 네트워크연결관리부에 쿼리하여 상기 악성 진단 프로세스의 네트워크 통신 정보를 검출하고 이로부터 상기 악성 진단 프로세스와 통신한 원격지 접속 서버 정보를 획득한다.
이상에서 본 발명에 대한 기술사상을 첨부도면과 함께 서술하였지만, 이는 본 발명의 가장 양호한 실시예를 예시적으로 설명한 것이지 본 발명을 한정하는 것은 아니다. 또한, 이 기술분야의 통상의 지식을 가진 자라면 누구나 본 발명의 기술사상의 범주를 이탈하지 않는 범위 내에서 다양한 변형 및 모방이 가능함은 명백한 사실이다.

Claims (8)

  1. 메모리에 로드되는 프로세스가 통신모듈을 포함하는지를 감시하는 이미지로드감시부와,
    상기 프로세스에 상기 통신모듈의 동작을 감시하는 모니터링모듈을 삽입하는 모니터링모듈삽입부와,
    상기 프로세스에 삽입된 모니터링모듈로부터 상기 통신모듈과 원격지 접속 서버와의 네트워크 통신 정보를 수신하여 관리하는 네트워크연결관리부와,
    상기 프로세스의 유해성을 진단하는 악성코드진단부와,
    상기 악성코드진단부에서 악성으로 진단된 프로세스에 대해 상기 네트워크연결관리부에 쿼리하여 상기 악성 진단 프로세스와 통신한 원격지 접속 서버 정보를 획득하는 접속서버추적부를 포함한 것을 특징으로 하는 악성코드의 원격지 접속 서버 추적 시스템.
  2. 제 1 항에 있어서, 상기 모니터링모듈은 상기 통신모듈의 동작을 응용단과 커널단에서 감시하여 상기 네트워크연결관리부에게 제공하는 것을 특징으로 하는 악성코드의 원격지 접속 서버 추적 시스템.
  3. 제 2 항에 있어서, 상기 네트워크연결관리부는 상기 응용단에서의 네트워크 통신 정보와 상기 커널단에서의 네트워크 통신 정보가 일치하는지를 판단하는 것을 특징으로 하는 악성코드의 원격지 접속 서버 추적 시스템.
  4. 제 1 항에 있어서, 상기 모니터링모듈은 상기 통신모듈이 사용하는 API(application programming interface) 함수를 후킹하는 것을 특징으로 하는 악성코드의 원격지 접속 서버 추적 시스템.
  5. 원격지 접속 서버 추적 시스템이 메모리에 로드되는 프로세스가 통신모듈을 포함하는지를 감시하는 이미지로드감시단계와,
    상기 원격지 접속 서버 추적 시스템이 상기 프로세스에 상기 통신모듈의 동작을 감시하는 모니터링모듈을 삽입하는 모니터링모듈삽입단계와,
    상기 원격지 접속 서버 추적 시스템이 상기 프로세스에 삽입된 모니터링모듈로부터 상기 통신모듈과 원격지 접속 서버와의 네트워크 통신 정보를 수집하는 네트워크연결관리단계와,
    상기 원격지 접속 서버 추적 시스템이 악성으로 진단된 프로세스에 대해 상기 네트워크연결관리부에 쿼리하여 상기 악성 진단 프로세스와 통신한 원격지 접속 서버 정보를 획득하는 접속서버추적단계를 포함한 것을 특징으로 하는 악성코드의 원격지 접속 서버 추적 방법.
  6. 제 5 항에 있어서, 상기 모니터링모듈은 상기 통신모듈의 동작을 응용단과 커널단에서 감시하여 상기 원격지 접속 서버 추적 시스템에게 제공하는 것을 특징으로 하는 악성코드의 원격지 접속 서버 추적 방법.
  7. 제 6 항에 있어서, 상기 네트워크연결관리단계는 상기 원격지 접속 서버 추적 시스템이 상기 응용단에서의 네트워크 통신 정보와 상기 커널단에서의 네트워크 통신 정보가 일치하는지를 판단하는 것을 특징으로 하는 악성코드의 원격지 접속 서버 추적 방법.
  8. 제 5 항에 있어서, 상기 모니터링모듈은 상기 통신모듈이 사용하는 API(application programming interface) 함수를 후킹하는 것을 특징으로 하는 악성코드의 원격지 접속 서버 추적 방법.
PCT/KR2014/000626 2013-02-05 2014-01-22 악성코드의 원격지 접속 서버 추적 시스템 및 방법 WO2014123314A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020130012789A KR101410289B1 (ko) 2013-02-05 2013-02-05 악성코드의 원격지 접속 서버 추적 시스템 및 방법
KR10-2013-0012789 2013-02-05

Publications (1)

Publication Number Publication Date
WO2014123314A1 true WO2014123314A1 (ko) 2014-08-14

Family

ID=51133603

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2014/000626 WO2014123314A1 (ko) 2013-02-05 2014-01-22 악성코드의 원격지 접속 서버 추적 시스템 및 방법

Country Status (2)

Country Link
KR (1) KR101410289B1 (ko)
WO (1) WO2014123314A1 (ko)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20160028749A1 (en) * 2014-07-22 2016-01-28 At&T Intellectual Property I, L.P. Cloud-based communication account security
CN114465752A (zh) * 2021-12-10 2022-05-10 奇安信科技集团股份有限公司 一种远程调用检测方法、装置、电子设备及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20030069241A (ko) * 2002-02-19 2003-08-27 한국전자통신연구원 침입자의 근원지 추적 장치 및 방법
KR20100113802A (ko) * 2009-04-14 2010-10-22 윤성진 유해 트래픽 제어 및 해킹을 차단하는 장치 및 방법
KR20120076100A (ko) * 2010-12-29 2012-07-09 한남대학교 산학협력단 개방형 모바일 플랫폼 환경의 악성코드 탐지 시스템

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20030069241A (ko) * 2002-02-19 2003-08-27 한국전자통신연구원 침입자의 근원지 추적 장치 및 방법
KR20100113802A (ko) * 2009-04-14 2010-10-22 윤성진 유해 트래픽 제어 및 해킹을 차단하는 장치 및 방법
KR20120076100A (ko) * 2010-12-29 2012-07-09 한남대학교 산학협력단 개방형 모바일 플랫폼 환경의 악성코드 탐지 시스템

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20160028749A1 (en) * 2014-07-22 2016-01-28 At&T Intellectual Property I, L.P. Cloud-based communication account security
US9680843B2 (en) * 2014-07-22 2017-06-13 At&T Intellectual Property I, L.P. Cloud-based communication account security
US10142354B2 (en) 2014-07-22 2018-11-27 At&T Intellectual Property I, L.P. Cloud-based communication account security
CN114465752A (zh) * 2021-12-10 2022-05-10 奇安信科技集团股份有限公司 一种远程调用检测方法、装置、电子设备及存储介质

Also Published As

Publication number Publication date
KR101410289B1 (ko) 2014-06-20

Similar Documents

Publication Publication Date Title
CN109753806B (zh) 服务器防护方法及装置
RU2698776C2 (ru) Способ ведения базы данных и соответствующий сервер
WO2015178578A1 (ko) 패치파일 분석시스템과 분석방법
EP2486507B1 (en) Malware detection by application monitoring
CN106991324B (zh) 一种基于内存保护类型监控的恶意代码跟踪识别方法
CN105631312B (zh) 恶意程序的处理方法及系统
US20140053267A1 (en) Method for identifying malicious executables
WO2012176978A2 (ko) 네트워크 접근 제어시스템 및 방법
KR20110119929A (ko) 위장 가상 머신 정보를 이용한 인텔리전트 봇 대응 방법 및 장치
KR20110119918A (ko) 정상 프로세스에 위장 삽입된 악성코드 탐지 장치, 시스템 및 방법
GB2485622A (en) Server detecting malware in user device.
CN101964026A (zh) 网页挂马检测方法和系统
WO2014015753A1 (en) Method and apparatus for intercepting or cleaning-up plugins
US9910983B2 (en) Malware detection
JP2014235745A (ja) ウィンドウのない状態での画面キャプチャを防止するための方法及びシステム
US20180167403A1 (en) Malware analysis and recovery
CN114065196A (zh) Java内存马检测方法、装置、电子设备与存储介质
CN102375946B (zh) 一种检测网页木马的方法和装置
CN106682493B (zh) 一种防止进程被恶意结束的方法、装置及电子设备
WO2014042344A1 (ko) 디버그 이벤트를 이용한 악성 쉘 코드 탐지 장치 및 방법
CN114338203B (zh) 一种基于拟态蜜罐的内网检测系统及方法
CN109347876B (zh) 一种安全防御方法及相关装置
WO2014123314A1 (ko) 악성코드의 원격지 접속 서버 추적 시스템 및 방법
CN110099041A (zh) 一种物联网防护方法及设备、系统
WO2014168406A1 (ko) 메모리 보호기능 우회 공격 진단 장치 및 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14749381

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14749381

Country of ref document: EP

Kind code of ref document: A1