| 1 |
1
바이너리 파일 복원을 위한 하이브리드 언패킹 방법에 있어서,데이터 추출부에서 PE 파일을 입력받아 상기 PE 파일의 정보를 추출하는 단계;제 1 데이터 분석부에서 상기 추출된 PE 파일의 정보를 기초로 하여 상기 PE 파일의 패킹 여부를 분석하고, 상기 PE 파일이 패킹된 경우에는 패커의 종류를 탐지하는 단계; 및제 2 데이터 분석부에서 상기 탐지된 패커의 종류에 따라 정적 분석 또는 동적 분석을 수행하는 단계가 포함되며,상기 정적 분석 또는 동적 분석을 수행하는 단계에서는,상기 패커가 공지(Well-known)의 패커인 경우, 상기 제 2 데이터 분석부에서 언패킹 툴(Tool)을 사용하여 정적 분석을 수행하고, 상기 패커가 커스텀(Custom) 패커인 경우, 상기 제 2 데이터 분석부에서 오리지널 엔트리 포인트(Original Entry Point, OEP)를 탐지하는 동적 분석을 수행하는 것을 특징으로 하는 하이브리드 언패킹 방법
|
| 2 |
2
제 1 항에 있어서,상기 PE 파일의 패킹 여부를 분석하고, 상기 PE 파일이 패킹된 경우에는 상기 패커의 종류를 탐지하는 단계에는,상기 추출된 PE 파일의 정보에 진입점 섹션이 존재하지 않는 경우, 상기 제 1 데이터 분석부에서 상기 PE 파일이 패킹된 것으로 판단하는 단계가 포함되는 것을 특징으로 하는 하이브리드 언패킹 방법
|
| 3 |
3
제 1 항에 있어서,상기 PE 파일의 패킹 여부를 분석하고, 상기 PE 파일이 패킹된 경우에는 상기 패커의 종류를 탐지하는 단계에는,상기 추출된 PE 파일의 정보에 진입점 섹션이 존재하는 경우, 상기 제 1 데이터 분석부에서 데이터베이스에 저장된 시그니처와 동일한 시그니처가 상기 진입점 섹션 내에 존재하는지 여부를 분석하는 단계;상기 동일한 시그니처가 상기 진입점 섹션 내에 존재하지 않는 경우, 상기 제 1 데이터 분석부에서 상기 진입점 섹션의 엔트로피 값을 측정하여 상기 엔트로피 값이 소정의 범위값에 해당하는지 여부를 판단하는 단계; 및상기 진입점 섹션의 엔트로피 값이 소정의 범위값에 해당하지 않는 경우, 상기 제 1 데이터 분석부에서 상기 PE 파일의 쓰기(WRITE) 속성의 유무를 판단하는 단계가 포함되는 것을 특징으로 하는 하이브리드 언패킹 방법
|
| 4 |
4
삭제
|
| 5 |
5
삭제
|
| 6 |
6
제 1 항에 있어서,상기 동적 분석은 상기 제 2 데이터 분석부에서 상기 PE 파일의 각 섹션의 엔트로피 값에 기초하여 JMP계열의 명령어가 존재하는지 여부를 분석함으로써 수행되는 것을 특징으로 하는 하이브리드 언패킹 방법
|
| 7 |
7
바이너리 파일 복원을 위한 하이브리드 언패킹 시스템에 있어서,PE 파일을 입력받아 상기 PE 파일의 정보를 추출하는 데이터 추출부;상기 추출된 PE 파일의 정보를 기초로 하여 상기 PE 파일의 패킹 여부를 분석하고, 상기 PE 파일이 패킹된 경우에는 패커의 종류를 탐지하는 제 1 데이터 분석부; 및상기 탐지된 패커의 종류에 따라 정적 분석 또는 동적 분석을 수행하는 제 2 데이터 분석부가 포함되며,상기 제 2 데이터 분석부에서는,상기 패커가 공지(Well-known)의 패커인 경우, 언패킹 툴(Tool)을 사용하여 정적 분석을 수행하고, 상기 패커가 커스텀(Custom) 패커인 경우, 오리지널 엔트리 포인트(Original Entry Point, OEP)를 탐지하는 동적 분석을 수행하는 것을 특징으로 하는 하이브리드 언패킹 시스템
|
| 8 |
8
제 7 항에 있어서,상기 추출된 PE 파일의 정보에 진입점 섹션이 존재하지 않는 경우, 상기 제 1 데이터 분석부에서 상기 PE 파일이 패킹된 것으로 판단하는 것을 특징으로 하는 하이브리드 언패킹 시스템
|
| 9 |
9
제 7 항에 있어서,제 1 데이터 분석부에는,상기 추출된 PE 파일의 정보에 진입점 섹션이 존재하는 경우, 데이터베이스에 저장된 시그니처와 동일한 시그니처가 상기 진입점 섹션 내에 존재하는지 여부를 분석하는 시그니처 분석부;상기 동일한 시그니처가 상기 진입점 섹션 내에 존재하지 않는 경우, 상기 진입점 섹션의 엔트로피 값을 측정하여 상기 엔트로피 값이 소정의 범위값에 해당하는지 여부를 판단하는 엔트로피 분석부; 및상기 진입점 섹션의 엔트로피 값이 소정의 범위값에 해당하지 않는 경우, 상기 PE 파일의 쓰기(WRITE) 속성의 유무를 판단하는 쓰기 속성 분석부가 포함되는 것을 특징으로 하는 하이브리드 언패킹 시스템
|
| 10 |
10
삭제
|
| 11 |
11
삭제
|
| 12 |
12
제 7 항에 있어서,상기 동적 분석은 상기 제 2 데이터 분석부에서 상기 PE 파일의 각 섹션의 엔트로피 값에 기초하여 JMP계열의 명령어가 존재하는지 여부를 분석함으로써 수행되는 것을 특징으로 하는 하이브리드 언패킹 시스템
|
| 13 |
13
제 1 항, 제 2 항, 제 3 항 또는 제 6 항 중 어느 한 항의 방법을 구현하기 위한 프로그램이 기록된 컴퓨터로 판독 가능한 기록 매체
|
