Detecting and Explaining Malware Family Evolution Using Rule-Based Drift Analysis

기술 요약: 규칙 기반 드리프트 분석을 이용한 악성코드 패밀리 진화 탐지 및 설명

문제 정의
악성코드 탐지 및 분류는 악성 코드가 지속적으로 진화함에 따라 매우 중요하면서도 점점 더 어려워지는 과제입니다. 공격자들은 탐지를 회피하기 위해 악성 코드를 끊임없이 수정하며, 이는 **개념 드리프트(concept drift)**를 유발합니다. 개념 드리프트란 악성코드 특징의 통계적 특성이 시간이 지남에 따라 변하는 현상을 의미합니다. 이러한 드리프트는 정적 머신러닝 모델의 성능을 저하시켜 효과를 떨어뜨립니다. 또한, 블랙박스 모델은 높은 정확도를 달달할 수 있지만, 왜 특정 샘플이 악성으로 분류되었는지, 혹은 어떻게 진화했는지에 대한 통찰력을 거의 제공하지 못하는 **해석 가능성(interpretability)**의 부재 문제를 안고 있습니다. 이러한 불투명성은 분석가의 신뢰를 저해하고 침해 사고 대응을 위한 실행 가능한 인텔리전스를 도출하는 능력을 방해합니다. 기존의 드리프트 탐지 방법들은 복잡하고 불투명한 모델(예: 심층 신경망, 앙상블 방법)에 의존하거나, 특징 수준에서 드리프트를 설명하지 못하는 통계적 프레임워크에 의존하는 경우가 많습니다.

방법론
저자들은 규칙 기반 분류기를 사용하여 악성코드 패밀리의 개념 드리프트를 탐지하고 설명하는 해석 가능한 프레임워크를 제안합니다. 이 접근 방식은 세 가지 주요 단계로 구성됩니다:

1. 규칙 생성 (원본 vs. 진화된 형태):

   • 원본 패밀리: 대표적인 원본 악성코드 샘플 세트에 대해 규칙 기반 분류기(구체적으로 wittgenstein 라이eyi를 통해 구현된 RIPPER)를 학습시켜, 패밀리의 구조적 및 행동적 특성을 설명하는 일련의 인간이 읽을 수 있는 논리적 규칙($R_{orig}$)을 생성합니다.
   • 진화된 패밀리: 적대적 생성기인 MAB-malware(강화 학습 기반의 적대적 생성기)를 사용하여 악성코드의 적대적 변종을 생성합니다. 이 도구는 멀티 암드 밴딧(multi-armed bandit) 에이전트를 사용하여 타겟 분류기(EMBER)를 회피하기 위해 최소한의 바이너리 수정(예: 양수 데이터 추가, 필드 제로화, 코드 변환)을 적용합니다. 동일한 RIPPER 프로세스를 사용하여 이 진화된 샘플들로부터 두 번째 규칙 세트($R_{adv}$)를 생성합니다.

2. 드리프트 정량화:

   • 본 방법은 **정규화된 해밍 거리(normalized Hamming distance)**를 사용하여 규칙 세트 $R_{orig}$와 $R_{adv}$를 비교합니다.
   • 규칙은 샘플이 해당 규칙에 의해 탐지되면 '1', 그렇지 않으면 '0'을 나타내는 이진 벡터로 변환됩니다.
   • 거리 메트릭 $d(x,y)$는 이진 벡터에서 서로 다른 위치의 비율을 계산하여 규칙 세트 간의 불일치를 정량화합니다. 상당한 거리는 개념 드리프트를 나타냅니다.

3. 드리프트 탐지 및 설명:

   • 결정 규칙: 동일한 원본 패밀리 내의 규칙 세트 간의 평균 거리(패밀리 내 분산)와 원본 및 적대적 패밀리 간의 거리의 산술 평균을 통해 임계값을 설정합니다. 새로운 규칙과 기존 규칙 사이의 거리가 이 임계값을 초과하면 개념 드리프트가 예측됩니다.
   • 해석 가능성: 분류기가 명시적인 논리 조건(예: f3=72 AND f1 in [10,48])을 출력하기 때문에, 이 방법은 원본과 진화된 샘플 사이에서 어떤 특정 특징과 값이 변화했는지를 본질적으로 식별하여 악성코드의 진화 전술에 대한 직접적인 설명을 제공합니다.

실험 설정
본 프레임워크는 6개의 악성코드 패밀리(Agensla, DCRat, Makoob, Mokes, Strab, Taskun)를 대상으로 검증되었습니다.

• 데이터: 샘플은 RawMal-TF 데이터셋에서 추출되었습니다.
• 특징(Features): LIEF 라이브러리를 사용하여 Windows Portable Executable (PE) 파일로부터 메타데이터, 헤더 정보, 섹션 통계, 임포트/익스포트 함수, 바이트 수준 분포를 포함한 정적 특징을 추출했습니다.
• 적대적 생성: MAB-malware를 사용하여 EMBER 분류기를 성공적으로 회피하는 적대적 샘플을 생성했습니다.
• 차원: 실험은 3, 5, 10, 15, 25, 50, 75, 100의 특징 벡터 차원에 대해 수행되었습니다.

주요 결과

• 탐지 정확도: 제안된 방법은 6개 패밀리 및 모든 특징 차원에 대해 전체적으로 **92.08%**의 개념 드리프트 탐지 정확도를 달s했습니다.
• 패밀리별 성능:
  • Agensla와 Mokes는 모든 차원에서 100% 정확도를 달성했습니다.
  • Taskun은 100차원 설정에서 단 한 번의 오류(80번의 실험 중 1회)가 발생했습니다.
  • DCRat은 전체적으로 가장 높은 오류율(22.5%)을 보였으나, 25차원 설정에서는 0%의 오류율을 달성했습니다.
• 드리프트 크기: 본 연구는 거리 메트릭이 드리프트의 크기를 효과적으로 정량화함을 입증했습니다. Mokes 패밀리의 경우, 원본과 적대적 규칙 세트 사이의 거리는 동일한 원본 패밀리의 서로 다른 서브셋에서 파생된 규칙 세트 사이의 거리보다 최대 15배 더 컸습니다.
• 해석 가능성: 규칙 기반 접근 방식은 진화를 책임지는 특정 특징 변화를 성공적으로 식별하여, 블랙박스 드리프트 탐지 방법과 차별화되었습니다.

의의 및 기여
본 논문은 해석 가능성을 우선시함으로써 드리프트 탐지와 실제 포렌식 분석 사이의 간극을 메우는 것을 주요 기여로 주장합니다. 블랙박스로 작동하는 기존의 통계적 또는 딥러닝 접근 방식과 달리, 본 프레임워크는 다음과 같은 특징을 가집니다:

1. 해석 가능성 강조: 규칙 기반 분류기를 활용함으로써 원본 및 진화된 악성코드에 대한 인간이 읽을 수 있는 설명을 제공합니다.
2. 특징 수준의 설명 가능: 드리프트의 원인이 되는 특정 조건과 특징을 식별하여, 분석가가 악성코드 제작자가 탐지를 우회하는 방식(예: 특정 API 사용 또는 헤더 필드의 변화)을 이해할 수 있도록 합니다.
3. 진화의 정량화: 근본적인 행동 변화를 설명하는 동시에 드리프트에 대한 엄격하고 정량적인 척도를 제공합니다.

저자들은 본 연구를 개념 드리프트 탐지를 위해 해석 가능한 규칙 기반 프레임워크를 적용한 최초의 연구 중 하나로 자리매김하며, 이를 통해 탐지 시스템과 위협 분석 노력을 모두 지원하고자 합니다. 향후 연구로는 의사결정 나무(decision trees)를 사용하여 프레임워크를 확장하고 다양한 거리 메트릭을 탐색하는 것이 언급되었습니다.