Abstract
Ransomware is a malicious program code evolved into various forms of attack. Unlike traditional Ransomware that is being spread out using email attachments or infected websites, a new type of Ransomware, such as WannaCryptor, may corrupt files just for being connected to the Internet. Due to global Ransomware damage, there are many studies conducted to detect and defense Ransomware. However, existing research on Ransomware detection only uses Ransomware signature database or monitors specific behavior of process. Additionally, existing Ransomware detection methods hardly detect and defense a new Ransomware that behaves differently from the traditional ones. In this paper, we propose a method to detect Ransomware by arranging decoy files and analyzing the method how Ransomware accesses and operates files in the file system. Also, we conduct experiments using proposed method and provide the results of detection and defense of Ransomware in this paper.
악성 코드의 일종인 랜섬웨어는 공격 방법이 다양해지고 복잡해지고 있다. 기존 랜섬웨어가 이메일 또는 특정 사이트를 통해 유포 및 감염시키는 것과 달리 WannaCryptor 같은 신종 랜섬웨어는 PC가 인터넷에 연결만 되어 있어도 데이터를 손상시킬 수 있다. 전 세계적으로 랜섬웨어 피해는 시시각각 발생하고 있고 이에 랜섬웨어를 탐지하고 차단하려는 많은 연구가 진행되고 있다. 기존 랜섬웨어 탐지 관련 연구는 프로세스의 특정 행위를 감시하거나 시그니처 데이터베이스를 활용하여 탐지하기 때문에 기존 랜섬웨어와 다른 동작을 보이는 신종 랜섬웨어가 실행되는 경우에는 탐지하고 차단하는 것이 어려울 수 있다. 따라서 본 논문에서는 기존의 랜섬웨어가 파일시스템에서 파일에 접근하고 동작하는 방식을 분석하여 미끼 파일을 배치하여 랜섬웨어를 탐지하는 방법을 제안한다. 또한, 제안하는 방법으로 랜섬웨어를 탐지하고 차단하는 실험을 진행한다.
