Ultra-Fusion: A Multimodal Dynamic Detection Framework for Malware Classification with Hybrid Sequence Engine

디지털 세상에서 소프트웨어 프로그램은 컴퓨터가 무엇을 할지 알려주는 긴 명령 목록으로 구축됩니다. 프로그램이 악의적일 때 이를 말웨어(malware)라고 부르며, 이는 종종 코드를 뒤섞거나 자신의 명령을 무해한 것들과 혼합함으로써 자신의 본성을 숨깁니다. 수십 년 동안 보안 전문가들은 금서 목록과 대조하여 책의 제목을 확인하는 사서처럼, 특정하고 알려진 패턴을 찾아내어 이러한 위협을 잡아내려 노력해 왔습니다. 그러나 현대의 말웨어는 너무나 영리해져서 끊임없이 외형을 바꾸며, 매번 책을 펼칠 때마다 다른 책처럼 보이게 만듭니다. 이를 해결하기 위해 연구자들은 프로그램이 실행되는 동안 어떻게 행동하는지를 관찰하며, 특히 운영체제에 요청하는 특정 요청 사항들에 주목하게 되었습니다. API 호출이라고 알려진 이 요청들은 일련의 순서를 형성하며 행동 지문 역할을 합니다. 현재의 과제는 말웨어가 목록에 가짜의 무해한 요청들을 삽입하여 독자를 혼란스럽게 하려 할 때조차, 이 지문을 빠르고 정확하게 읽어내는 것입니다.

한 연구팀은 세 가지 서로 다른 각도에서 동시에 말웨어의 행동을 살펴봄으로써 이 문제를 해결하기 위한 '울트라 퓨전(Ultra-Fusion)'이라는 새로운 시스템을 개발했습니다. 데이터를 분석하는 단 한 가지 방식에만 의존하는 대신, 그들의 방법은 시각적 스냅샷, 사건의 타임라인, 그리고 통계적 요약을 하나의 강력한 결정으로 결합합니다. 연구진은 가공되지 않은 형태의 시스템 요청 목록을 색상 이미지로 변환했는데, 여기서 서로 다른 색상은 요청의 정체, 발생 빈도, 그리고 수행된 작업의 종류를 나타냈습니다. 이를 통해 이미지 인식 도구를 사용하여 요청의 순서가 뒤섞이더라도 악성 프로그램 특유의 '질감'을 포착할 수 있었습니다. 동시에, 그들은 시간상 멀리 떨어진 곳에서 일어난 동작들 사이의 연결 고리를 기억할 수 있도록 돕는 특수 엔진을 사용하여 긴 사건의 사슬을 이해했습니다. 공격자들이 흔적을 숨기기 위해 쓰레기 데이터를 삽입하는 속임수에 대비하여, 그들은 전체 목록에서 각 유형의 요청이 얼마나 자주 나타나는지를 단순히 계산하는 세 번째 계층을 추가함으로써, 특정 순서가 아닌 전체적인 빈도에 의존하는 안전망을 구축했습니다.

연구팀이 이 새로운 프레임워크를 세 가지 서로 다른 말웨어 데이터 모음으로 테스트했을 때, 결과는 매우 일관적이었습니다. 이 시스템은 거의 모든 경우에서 악성 소프트웨어를 정확히 식별해 냈으며, 가장 큰 데이터셋에서 99.49%의 정확도를 달enc했습니다. 이러한 성능은 사건의 순서만을 보거나 시각적 패턴만을 보는 등 한 가지 유형의 분석에만 의존하는 기존의 선도적인 방법들보다 뛰어났습니다. 연구진은 이 세 가지 관점의 결합이 필수적임을 발견했습니다. 즉, 시스템의 어떤 한 부분을 제거하더라도 정확도가 떨어졌으며, 이는 각 각도가 고유하고 필요한 정보를 제공한다는 것을 증명했습니다. 또한 이 시스템은 위협을 매우 초기에 탐지하는 강력한 능력을 보여주었는데, 단 10개의 시스템 요청만을 보고도 말웨어를 정확히 식별해 냈으며, 이는 공격이 피해를 입히기 전에 차단하는 데 매우 중요합니다.

아마도 가장 중요한 발견은 의도적인 혼란에 직면했을 때 시스템이 유지하는 침착함이었을 것입니다. 연구진은 말웨어의 행동 목록에 무해한 명령들을 삽입하여, 나쁜 코드가 선한 코드의 바다 속에 숨으려고 시도하는 공격 상황을 시뮬레이션하며 프레임워크를 테스트했습니다. 목록 내 명령의 절반이 가짜임에도 불구하고 시스템은 높은 수준의 정확도를 유지한 반면, 기존의 방법들은 크게 고전했습니다. 이러한 회복 탄력성은 시각적 및 통계적 부분이 안정적인 닻 역할을 하여, 소프트웨어가 소음을 뚫고 핵심적인 악성 행동을 인식할 수 있게 해준다는 점을 시사합니다. 나아가, 이 시스템은 매우 높은 적응력을 입증했습니다. 한 데이터셋으로 훈련되었을 때, 완전히 다른 데이터셋에서도 거의 완벽한 정확도로 말웨어를 인식할 수 있었는데, 이는 시스템이 단순히 특정 사례를 암기하는 것이 아니라 악성 행동의 근본적인 본질을 학습했음을 나타냅니다.

연구진은 또한 데이터의 가장 중요한 부분을 강조하는 기법을 사용하여 시스템 내부를 들여다보고 어떻게 결정을 내리는지 조사했습니다. 그들은 시스템이 숨겨진 코드를 로드하거나 다른 프로그램의 메모리에 기록을 시도하는 것과 같은 특정 고위험 상호작용에 집중하고 있다는 것을 발견했는데, 이는 전형적인 공격의 징후입니다. 이러한 투명성은 시스템이 추측하는 것이 아니라 실제의 위험한 패턴을 식별하고 있음을 확인시켜 줍니다. 세 가지 뚜렷한 방식으로 문제를 바라봄으로써, 울트라 퓨전 프레임워크는 강력한 새로운 사이버 보안 도구를 제공합니다. 이는 위협을 여러 렌즈를 통해 동시에 봄으로써, 보안 시스템이 보이지 않는 것과 위장된 것을 포착하는 데 훨씬 더 효과적일 수 있으며, 끊임없이 진화하는 환경에서 더 강력한 방어력을 제공할 수 있음을 보여줍니다.