KR100870140B1 - 악성 코드가 숨겨진 파일 탐지 장치 및 방법 - Google Patents
악성 코드가 숨겨진 파일 탐지 장치 및 방법 Download PDFInfo
- Publication number
- KR100870140B1 KR100870140B1 KR1020070038466A KR20070038466A KR100870140B1 KR 100870140 B1 KR100870140 B1 KR 100870140B1 KR 1020070038466 A KR1020070038466 A KR 1020070038466A KR 20070038466 A KR20070038466 A KR 20070038466A KR 100870140 B1 KR100870140 B1 KR 100870140B1
- Authority
- KR
- South Korea
- Prior art keywords
- file
- support program
- abnormal
- hidden
- inspection target
- Prior art date
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Quality & Reliability (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Debugging And Monitoring (AREA)
Abstract
Description
Claims (11)
- 삭제
- 삭제
- 삭제
- 검사대상파일에 실행 파일 포맷이 포함되어 있는지 정적분석(static analysis)을 통해 탐색하는 실행코드 탐지모듈;상기 검사대상파일의 확장자에 따라 지원프로그램을 검색하여 해당하는 프로세스와 실행 경로를 알려주는 지원프로그램 검색모듈;상기 지원프로그램을 모니터링하면서 생성되는 다른 프로세스에 대해 부모(parent) 프로세스와 자식(child) 프로세스의 관계가 정의된 트리(tree)구조를 이용하여 상기 다른 프로세스가 정상 프로세스 DB에 존재하는지의 여부에 따라 상기 다른 프로세스의 정상여부를 판단하는 비정상프로세스 탐지모듈; 및상기 비정상프로세스 탐지모듈에서 상기 다른 프로세스가 비정상프로세스로 판단되면, 상기 검사대상파일을 악성 코드가 숨겨진 파일로 판단하여 상기 다른 프로세스를 강제 종료하는 비정상프로세스 강제종료모듈을 포함하여 구성되는 것을 특징으로 하는 악성 코드가 숨겨진 파일 탐지 장치.
- 검사대상파일에 실행 파일 포맷이 존재하는지를 판단하기 위해 정적분석(static analysis)을 수행하는 1단계;상기 정적분석 결과, 상기 검사대상파일에 실행 파일 포맷 MZ header 및 PE header가 존재하지 않는 경우에는 상기 검사대상파일의 지원프로그램을 실행하고, 상기 지원프로그램이 다른 프로세스를 생성시키는지의 여부를 모니터링하는 2단계; 및상기 모니터링 결과에 따라 상기 검사대상파일에 대한 상기 다른 프로세스의 정상 유무를 판단하는 3단계를 포함하며,상기 3단계는, 상기 2단계의 모니터링 결과, 부모(parent) 프로세스와 자식(child) 프로세스의 관계가 정의된 트리(tree)구조를 이용하여 상기 다른 프로세스의 부모 프로세스가 지원프로그램의 프로세스인지 확인하는 3-1단계; 부모 프로세스가 지원프로그램이면 정상 프로세스 DB에 상기 다른 프로세스가 있는지 검색하는 3-2단계; 및 상기 검색결과, 상기 정상 프로세스 DB에 상기 다른 프로세스가 없으면 비정상프로세스로 판단하는 3-3단계로 이루어지는 것을 특징으로 하는 악성 코드가 숨겨진 파일 탐지 방법.
- 제5항에 있어서,상기 정적분석은 상기 검사대상파일에 실행 파일 포맷 MZ header 및 PE header가 존재하는지 검사하는 것에 의해 수행되는 것을 특징으로 하는 악성 코드가 숨겨진 파일 탐지 방법.
- 제6항에 있어서,상기 정적분석 결과, 상기 검사대상파일에 실행 파일 포맷 MZ header 및 PE header가 존재하는 경우에는 상기 검사대상파일을 악성 코드를 포함한 파일로 판단하여 결과를 출력한 후 종료하는 것을 특징으로 하는 악성 코드가 숨겨진 파일 탐지 방법.
- 제5항에 있어서,상기 2단계는 검사대상파일의 확장자를 이용하여 상기 검사대상파일을 지원하는 지원프로그램을 검색하는 2-1단계;상기 지원프로그램으로 상기 검사대상파일을 실행하는 2-2단계; 및상기 지원프로그램의 실행에서 상기 다른 프로세스가 생성되는지 모니터링하는 2-3단계를 포함하여 이루어지는 것을 특징으로 하는 악성 코드가 숨겨진 파일 탐지 방법.
- 삭제
- 제5항에 있어서,상기 3단계는 상기 2단계의 모니터링 결과, 상기 다른 프로세스의 부모 프로세스가 정상 프로세스 DB에 있으면 정상 프로세스로 판단하여 상기 검사대상파일을 정상 파일임을 출력한 후 종료하는 것을 특징으로 하는 악성 코드가 숨겨진 파일 탐지 방법.
- 제5항에 있어서,상기 악성 코드가 숨겨진 파일 탐지 방법은 상기 3단계에서 상기 다른 프로세스가 비정상 프로세스로 판단되면 상기 검사대상파일이 악성 파일로 판단하여 상기 다른 프로세스를 강제종료하는 4단계를 더 포함하여 이루어지는 것을 특징으로 하는 악성 코드가 숨겨진 파일 탐지 방법.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US11/780,303 US20080115219A1 (en) | 2006-11-13 | 2007-07-19 | Apparatus and method of detecting file having embedded malicious code |
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
KR1020060111853 | 2006-11-13 | ||
KR20060111853 | 2006-11-13 |
Publications (2)
Publication Number | Publication Date |
---|---|
KR20080043201A KR20080043201A (ko) | 2008-05-16 |
KR100870140B1 true KR100870140B1 (ko) | 2008-11-24 |
Family
ID=39661704
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
KR1020070038466A KR100870140B1 (ko) | 2006-11-13 | 2007-04-19 | 악성 코드가 숨겨진 파일 탐지 장치 및 방법 |
Country Status (1)
Country | Link |
---|---|
KR (1) | KR100870140B1 (ko) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR101132197B1 (ko) * | 2010-01-28 | 2012-04-06 | 주식회사 안철수연구소 | 악성 코드 자동 판별 장치 및 방법 |
Families Citing this family (9)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR100897849B1 (ko) | 2007-09-07 | 2009-05-15 | 한국전자통신연구원 | 비정상 프로세스 탐지 방법 및 장치 |
KR101039551B1 (ko) * | 2008-10-15 | 2011-06-09 | (주)씨디네트웍스 | 은닉 프로세스 모니터링 방법 및 시스템 |
KR101044274B1 (ko) * | 2009-11-03 | 2011-06-28 | 주식회사 안철수연구소 | 악성 사이트 검출 장치, 방법 및 컴퓨터 프로그램이 기록된 기록매체 |
KR101138746B1 (ko) * | 2010-03-05 | 2012-04-24 | 주식회사 안철수연구소 | 실행 파일을 이용한 악성 코드 차단 장치 및 방법 |
KR101212553B1 (ko) * | 2012-05-11 | 2012-12-14 | 주식회사 안랩 | 악성 파일 검사 장치 및 방법 |
KR101265173B1 (ko) * | 2012-05-11 | 2013-05-15 | 주식회사 안랩 | 비실행 파일 검사 장치 및 방법 |
KR102192479B1 (ko) * | 2014-04-23 | 2020-12-17 | 삼성전자주식회사 | 전자 장치의 프로그램 코드 분석 방법 및 전자 장치 |
KR102378502B1 (ko) | 2020-04-08 | 2022-03-28 | (주)넷코아테크 | 악성 코드를 판단하는 장치, 방법 및 컴퓨터 프로그램 |
CN111737289B (zh) * | 2020-06-05 | 2023-07-25 | 北京奇艺世纪科技有限公司 | Sql注入攻击的检测方法、装置 |
Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US7043757B2 (en) | 2001-05-22 | 2006-05-09 | Mci, Llc | System and method for malicious code detection |
KR20070019190A (ko) * | 2005-08-11 | 2007-02-15 | 주식회사 웨어플러스 | 파일 시스템 및 레지스트리를 보호하는 방법 및 그 장치 |
KR20070107840A (ko) * | 2006-05-04 | 2007-11-08 | 박재현 | 실시간 유해 프로그램 차단 방법과 익스플로러 초기화방법, 및 그러한 방법을 순차적으로 실행하기 위한프로그램을 기록한 기록매체 |
-
2007
- 2007-04-19 KR KR1020070038466A patent/KR100870140B1/ko active IP Right Grant
Patent Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US7043757B2 (en) | 2001-05-22 | 2006-05-09 | Mci, Llc | System and method for malicious code detection |
KR20070019190A (ko) * | 2005-08-11 | 2007-02-15 | 주식회사 웨어플러스 | 파일 시스템 및 레지스트리를 보호하는 방법 및 그 장치 |
KR20070107840A (ko) * | 2006-05-04 | 2007-11-08 | 박재현 | 실시간 유해 프로그램 차단 방법과 익스플로러 초기화방법, 및 그러한 방법을 순차적으로 실행하기 위한프로그램을 기록한 기록매체 |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR101132197B1 (ko) * | 2010-01-28 | 2012-04-06 | 주식회사 안철수연구소 | 악성 코드 자동 판별 장치 및 방법 |
Also Published As
Publication number | Publication date |
---|---|
KR20080043201A (ko) | 2008-05-16 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
KR100870140B1 (ko) | 악성 코드가 숨겨진 파일 탐지 장치 및 방법 | |
CN108763928B (zh) | 一种开源软件漏洞分析方法、装置和存储介质 | |
US9922193B2 (en) | Identifying an evasive malicious object based on a behavior delta | |
US20080115219A1 (en) | Apparatus and method of detecting file having embedded malicious code | |
JP5507699B2 (ja) | 悪性サイト検出装置及び方法 | |
US8370945B2 (en) | Identifying security breaches caused by web-enabled software applications | |
KR101122650B1 (ko) | 정상 프로세스에 위장 삽입된 악성코드 탐지 장치, 시스템 및 방법 | |
RU2526716C2 (ru) | Эвристический способ анализа кода | |
KR101212553B1 (ko) | 악성 파일 검사 장치 및 방법 | |
JP4732484B2 (ja) | 仮想環境を利用した非実行ファイル内のエクスプロイトコード分析方法及び装置 | |
US10049210B2 (en) | System and method for detection of omnientrant code segments to identify potential malicious code | |
CN102916937B (zh) | 一种拦截网页攻击的方法、装置和客户端设备 | |
WO2009014779A2 (en) | System for malware normalization and detection | |
JP6000465B2 (ja) | プロセス検査装置、プロセス検査プログラムおよびプロセス検査方法 | |
JP6023282B2 (ja) | マルウェアリスクスキャナー | |
JP2019514119A (ja) | ハイブリッドプログラムバイナリ特徴の抽出及び比較 | |
Monnappa | Automating linux malware analysis using limon sandbox | |
CN105791250B (zh) | 应用程序检测方法及装置 | |
US20080016573A1 (en) | Method for detecting computer viruses | |
Wichmann et al. | Using infection markers as a vaccine against malware attacks | |
JP6258189B2 (ja) | 特定装置、特定方法および特定プログラム | |
KR100896319B1 (ko) | 실행 프로그램의 실행 압축 유무 탐지 장치 및 방법 | |
CN112818348A (zh) | 一种勒索病毒文件识别与检测方法及*** | |
KR101113249B1 (ko) | 난독화된 데이터 해독방법 및 장치 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A201 | Request for examination | ||
E902 | Notification of reason for refusal | ||
AMND | Amendment | ||
E601 | Decision to refuse application | ||
AMND | Amendment | ||
J201 | Request for trial against refusal decision | ||
B701 | Decision to grant | ||
GRNT | Written decision to grant | ||
FPAY | Annual fee payment |
Payment date: 20121011 Year of fee payment: 5 |
|
FPAY | Annual fee payment |
Payment date: 20130930 Year of fee payment: 6 |
|
FPAY | Annual fee payment |
Payment date: 20140916 Year of fee payment: 7 |
|
FPAY | Annual fee payment |
Payment date: 20161004 Year of fee payment: 9 |
|
FPAY | Annual fee payment |
Payment date: 20170918 Year of fee payment: 10 |
|
FPAY | Annual fee payment |
Payment date: 20181002 Year of fee payment: 11 |
|
FPAY | Annual fee payment |
Payment date: 20190925 Year of fee payment: 12 |