Themida의 API 난독화 복구 자동화에 관한 연구

초록

프로텍터는 실행파일에 분석방해 기술을 적용해 실행파일 내부 알고리즘을 파악하기 어렵게만드는 프로그램이다. 프로텍터는 전문지식이 없어도 손쉽게 높은 수준의 분석방해 기술을적용할 수 있게 해주는 유용한 프로그램이지만, 범죄에 악용되어 범죄행위 입증을 방해하는경우도 발생한다. 프로텍터가 적용된 실행파일은 높은 수준의 기술을 가진 분석가가 오랜 시간분석을 진행해야 한다. 만약 프로텍터가 적용된 실행파일이 발견될 때 마다 분석가가 분석방해기술을 우회하는 것은 비효율적이므로, 프로텍터 해제를 자동화 해 분석시간을 단축할 필요가있다. 본 논문에서는 상용 프로텍터인 Themida 프로텍터가 적용된 실행파일에서 분석방해기술인 API 난독화를 해제하는 자동화 알고리즘을 제안해 프로텍터 해제 작업의 자동화가능성을 살펴본다.

키워드