기호 실행 기반 응용프로그램 추론 기법을 이용한 프로토콜 역공학 방법 (A Method of Protocol Reverse Engineering using Application Inference Method based on Symbolic Execution)

서지정보

· 발행기관 : 한국정보과학회
· 수록지 정보 : 정보과학회 컴퓨팅의 실제 논문지 / 25권 / 4호 / 231 ~ 237페이지
· 저자명 : 한중수, 임을규

초록

봇 악성코드는 공격자가 C&C서버(Command and Control)를 통해 악성 행위를 수행하도록 명령제어 트래픽을 발생시키는 악성코드이다. 감염된 봇 PC들은 전달받은 명령제어 트래픽에 의해 악성행위를 수행한다. 경우에 따라서 C&C서버가 발생시키는 트래픽은 암호화 되어있거나 자체적으로 제작한 프로토콜 규약을 사용하는 경우가 많다. 악성행위에 대한 정보를 알아내고 분석하기 위해서 봇넷이 사용하는 프로토콜을 규명하는 작업은 필수적이며, 이러한 프로토콜을 규명하는 기술을 프로토콜 역공학이라 부른다. 프로토콜 역공학 방법에는 크게 두 가지 방법을 사용한다. 봇과 C&C서버 간의 네트워크 패킷들의 송수신 관계를 파악하여 프로토콜을 추론하는 네트워크 추론 방식과 봇 실행파일을 분석하여 프로토콜을 추론하는 응용프로그램 추론 방식이 두 방식에 해당한다. 본 논문에서는 응용프로그램 추론 방식을 통해 검증용으로 제작한 봇넷을 프로토콜 역공학을 수행하며 봇넷에 대한 프로토콜 역공학에 기호 실행을 활용하여 분석을 진행하는 방법을 제시한다.

영어초록

Bot malware is a malicious code that enables an attacker to generate command-control traffic to perform malicious actions through the C & C server (Command and Control). Infected bot PCs execute malicious actions through command control traffic. The traffic generated by the C & C server is often encrypted or uses its own protocol conventions in some cases. In order to find and analyze information about malicious behavior, it is important to identify the protocols used by botnets.
Protocol reverse engineering is the technology that identifies these protocols. There are two main methods of protocol reverse engineering: Network inference method which deduces the protocol relation of sending and receiving of network packets between the bot and the C & C server and application inference method which infers the protocol by analyzing the bots’ executable file. In this paper, we proposed a protocol reverse engineering for a botnet meant for verification using the application inference method and also analyze the protocol reverse engineering of a botnet using symbol execution.

참고자료

· 없음