연구 소개

• 전통적인 특징 기반(Signature-based) 악성 코드 분석 방법은 한계점을 가지고 있다
• 또한 수집한 데이터 셋에 존재 하지 않는 변종 데이터에 대한 탐지가 어렵다는 문제점을 가지고 있다
• 본 연구에서는 도메인 전문가의 개입 없이도 변종 악성코드의 패밀리를 분류할 수 있는 ResNet-152 기반 변종 악성코드 분류 방법을 제안한다
• 사전 학습된 ResNet-Variational AutoEncoder는 특징 추출기로 사용한다
• 훈련 데이터의 특징을 더 잘 학습하고 학습의 효율성을 높이기 위해 ImageNet Dataset으로 사전학습된 ResNet-152 모델의 학습 파라미터를 Encoder Network로 전이하는 전이 학습 수행했다
• 변종 악성코드 분류를 위한 방법으로 앙상블 모델인 Voting Classifier를 활용했다
• ResNet-VAE모델로 추출된 변종 악성코드 특징 데이터를 바탕으로 Voting Classifier를 학습 한 결과 98.18%의 Accuracy와 98.21의 F-1 Score를 얻을 수 있었다

연구 방법

데이터 수집 및 전처리

• 데이터 수집
• gray-scale Image 생성
  • Malware의 Binary Code로부터 gray-scale Image생성한다
  • gray-scale converter를 사용해 Binary Code를 8-bit 단위 나눠 gray-scale Image로 변경해준다
  • 이렇게 변환한 악성 코드 이미지데이터의 크기는 패밀리 별로 달라지는데 정보의 손실을 보존하며 주요 특징 정보를 보존하기 위해 Interpolation을 적용하였다
• 3-Channel gray-scale Image 생성
  • ResNet-152모델의 학습 파라미터를 Variational AutoEncoder의 Encoder Network로 전이하기 위해 gray-scale Image를 3-channel로 변환시켜준다
  • 따라서 학습에 사용되는 데이터의 형상은 (3, 224, 224)가 된다

Variational AutoEncoder

• Variational AutoEncoder란 훈련 데이터의 분포를 근사하는 새로운 데이터를 생성하는 생성 모델이다

  

  • 위의 그림에서와 같이 의미론적으로 가장 가까운 샘플을 생성할 수 있는 z벡터를 정의하고 z를 생성할 수 있는 이상적인 함수 q(z|x)를 정의한다. 그리고 학습을 위해 x를 given으로 하여 z벡터를 생성한다

• 본 연구에서는 이러한 Variational AutoEncoder의 학습을 통해 훈련 데이터의 분포를 근사하는 변형된 데이터를 생성할 수 있었다