earticle

영어

Recently attack methods based on Windows are used Root-kit. It is very difficult to detect or remove Root-kit operated Windows Kernel because a system information of malicious code which is operated in kernel mode is hidden and not exited the formulaic pattern. Generally the attack methods have in common with using API hooking method, so it is needed to study on the Windows API hooking detection method. Therefore this paper researches about the methods of Windows API hooking and detection and also designs and implements a Windows API detection tool. The proposed tool can detect hooked API and can decide primary distinction whether the API hooking behaviour is malicious or not.

한국어

최근 윈도우 운영체제를 대상으로 하는 공격기법은 윈도우 기반의 루트 킷을 이용해 행해지고 있다. 윈도우 커널 단에서 동작하는 루트 킷을 탐지하거나 제거하는 것은 매우 어려우며, 불가능한 경우도 존재한다. 이는 커널 기반에서 동작하는 악성코드의 시스템 정보가 은폐되고 공격 기법에 대한 정형화된 패턴이 존재하지 않기 때문이다. 일반적으로 윈도우 커널 기반 공격 기법의 공통점 중 하나는 윈도우 커널 단에서 API를 후킹 함으로써 이루지기 때문에, 이를 이용한 탐지 기법에 대한 연구가 필요하다. 따라서 본 논문에서는 윈도우 운영체제를 기반으로 하는 윈도우 API 후킹 방법과 탐지기법 등에 대해 연구하고 이를 활용한 탐지 도구를 설계 및 개발한다. 제안하는 도구는 후킹된 API를 탐지하고 탐지 결과를 활용하여 해당 행위가 악의적인 목적인지에 대해 일차적인 판별을 할 수
있다.