[DRAFT]LLM 기반 어셈블리 코드 분석을 통한 악성코드 탐지

[seok-hee97]

1. 프로젝트 개요

• 배경 및 필요성:
  • 시그니처 기반 악성코드 탐지는 신종 및 변종 악성코드에 취약함
  • LLM의 텍스트 및 코드 이해 능력이 발전하면서 악성코드 분석에 적용 가능성 증가
  • 어셈블리 코드에 대한 정적 분석은 안전하고 포괄적인 분석 방법 제공
• 프로젝트 목표:
  • 어셈블리 코드 기반 (or 바이너리, YARA) 악성코드 탐지 데이터셋 구축
  • LLM을 활용한 정적 악성코드 분류 모델 개발 (목표 정확도 90% 이상)
  • HuggingFace에 모델 및 데이터셋 공개

2. 목표 및 성공 지표

• 정량적 지표:
  • 정확도(Accuracy): 90% 이상
  • 재현율(Recall) 및 정밀도(Precision): 85% 이상
  • F1 Score: 85% 이상
  • ROC-AUC: 0.95 이상
• 정성적 지표:
  • 새로운 변종 악성코드 탐지 능력
  • 모델 설명 가능성 및 분석 결과 해석 용이성

3. 데이터 수집 및 전처리

• 데이터 출처:
  • DikeDataset: 11,130개 정상 및 악성 PE/OLE 파일. 링크
  • Microsoft Malware Classification Challenge. 링크
  • MalwareBazar (Malware Sample 공유 사이트). 링크
• 데이터 전처리:
  • 파이썬 라이브러리 (ex] Capstone) 활용 디스어셈블링 자동화
  • 함수 단위 분할 및 토큰화

4. 모델 선정 및 파인튜닝 전략

• 베이스라인 모델:
  • CodeBERT: 코드 분석에 특화된 사전학습 모델 링크
    • RoBERTa: 일반 텍스트 이해 능력이 강한 모델 링크
• 파인튜닝 전략:
• 하이퍼파라미터:

5. 성능 평가 및 검증 계획

• 평가 방법:

  • 악성코드 패밀리별 성능 분석
  • 기존 ML 기반 모델(Random Forest, SVM)과 비교
  • 난독화된 악성코드 샘플에 대한 견고성 평가

• 성능 검증 절차:

6. 예상 문제점 및 대처 방안

• 데이터 관련 문제:

  • 대용량 어셈블리 코드 처리 → 함수 단위 분할 및 중요 함수 우선 분석
  • 데이터 불균형 → 클래스 가중치 조정 및 NLP 기반 데이터 증강 기법 적용
  • 난독화/패킹된 바이너리 → 언패킹 전처리 단계 추가

• 모델 관련 문제:

  • 추론 속도 → 양자화 기법 적용

7. 참고 문헌 및 부록

• 참고 자료:

• 개발 환경:

[harheem]

오호 CodeBERT라는게 있군요! 각 모델에 대한 Hugging Face 링크도 연결해두면 좋을 것 같아요!

[seok-hee97]

넵! 수정해두겠습니다:)