무해해 보이는 법 배우기: API Import 주입을 통한 악성코드 탐지기의 표적 회피

요약

본 논문은 머신러닝 기반 악성코드 탐지기가 정적 특징에 의존한다는 점을 이용해, 특정 Win32 API Import를 추가함으로써 악성코드를 무해한 소프트웨어 카테고리로 오분류하게 만드는 공격 기법을 제안합니다. CVAE 기반의 프레임워크를 통해 기존 악성코드의 기능을 보존하면서도 최소한의 API 추가만으로 탐지율을 급격히 낮출 수 있음을 입증했습니다.

핵심 포인트

• CVAE(Conditional Variational Autoencoder)를 활용하여 기존 기능을 유지하면서도 가산적인(additive) API 주입을 수행하는 프레임워크 제안
• 단 20개의 API Import 추가만으로 재현율(Recall) 87.5%의 탐지기를 30%까지 하락시킴
• 회피된 샘플의 99%가 공격자가 의도한 특정 무해 카테고리로 오분류됨을 확인
• VirusTotal의 상용 정적 탐지 엔진에 대해서도 공격 전이성을 입증하여 실질적인 위협임을 증명