While the adversaries on the Internet host malicious web pages to compromise as many users as possible by leveraging the open nature of such public network, the defenders try to detect and block as many such malicious web pages as possible. The adversaries often attempt to evade the prevalent detection systems by deploying sneaky tactics. In order to reveal such tactical movement or trend in web-based malware distribution, this thesis introduces Malicious Domain Monitoring System that periodically monitors potentially malicious domains. In this work, two meaningful tactics were successfully revealed by analyzing the data collected by the monitoring system. Furthermore, this thesis presents the instances of domains successfully evading Google Safe Browsing detection system to show the significance of the revealed tactics and to emphasize the importance of trend analysis.
인터넷에서 악성코드를 배포하는 공격자들은 모든 사용자들에게 컨텐츠가 공개되는 웹 환경의 특징을 악용하여 악성코드를 포함한 웹 페이지를 게시함으로써 수많은 사용자들에게 악성코드를 감염시키고 있다. 이에 이러한 악성 웹 페이지들을 미리 탐지하고 차단하여 피해를 최소화하기 위한 방법에 대한 연구가 활발히 이루어져 왔다. 그 결과, 악성 웹 페이지를 호스팅하는 악성 도메인들을 미리 탐지하고 차단하는 악성 도메인 탐지 시스템이 개발되어, 현재 수많은 웹 사용자들을 위협으로부터 효과적으로 보호하고 있다. 그러나 이러한 노력에도 불구하고 웹을 통한 악성코드 감염은 지속적으로 이루어 지고 있어, 웹 공격자들은 이러한 악성 도메인 탐지 시스템을 우회하는 어떠한 전략을 사용하고 있는 것으로 보인다. 본 논문에서는 이러한 공격자의 전략을 파악하기 위하여 악성 도메인들을 주기적으로 방문하고 악성 웹 페이지들의 변화를 감시하는 악성 도메인 감시 시스템을 제안하고, 해당 시스템을 통해 수집한 데이터를 분석하여 밝혀낸 두 가지의 의미 있는 공격 전략을 소개한다. 또한, 밝혀진 공격 전략의 의미와 이러한 공격 전략 분석의 중요성을 강조하기 위해 공격자들의 실제 공격 전략이 구글의 악성 도메인 탐지 시스템인 세이프 브라우징을 어떻게 우회하는지 보여준다.
