제어 흐름 기반 그래프 트랜스포머를 이용한 악성코드 공격의 기능적 특징 학습

Abstract

악성분류 분류에서 미탐 사례를 최소화하기 위해 연산 블락과 메모리 레지스터 주소 간의 제어 흐름 같은 프로그램의 국소적 특징을 포착하는 것이 중요하다. 그러나 악성코드의 기능적 특징을 고려하지 않고 분류기의 손실 함수를 최적화하는 기존의 방법은, 유사하지만 새로운 공격 경로를 활용하는 공격과 길고 복잡한 제어 흐름 그래프로 인해 재현율에 한계가 있다. 본 논문에서는 API호출, 루트킷 DLL 설치, 특정 가상메모리의 접근을 포함하는 기능적 특징을 학습하는 것으로 재현율을 개선하기 위해 제어 흐름 그래프를 명시적으로 샘플링하고 임베딩하는 방법을 제안한다. 제어 흐름 그래프로부터 악성코드의 기능적 패턴을 모델링하기 위해 악성코드의 제어 흐름으로부터 공격 경로를 샘플링한 뒤 트랜스포머 기반의 그래프 임베딩 함수를 이용하여 악성코드 종류를 분류한다. 제안하는 방법을 입증하기 위해 실제 윈도우 악성코드로 구성된 마이크로소프트 챌린지 데이터셋을 사용하였다. 악성코드의 제어 흐름을 명시적으로 학습함으로써 최고 의 재현율 97.89%를 확보하였고, 최신 및 가장 진보된 방법의 분류 정확도(97.89%)에 대비하여 크게 개선된 정확도(99.45%)를 달성하였다.