[論文レビュー] A Large-Scale Empirical Study on Industrial Fake Apps

Chongbin Tang, Sen Chen+5 more|arXiv (Cornell University)|Feb 2, 2019

Advanced Malware Detection Techniques参考文献 22被引用数 5

ひとこと要約

本稿では、中国の上位50の人気アプリに関連する15万件を超えるサンプルを対象として、産業用偽りのAndroidアプリに関する初の大規模な実証的研究を提示している。複数の次元（証明書、アプリ名、パッケージ名、タイミングなど）におけるメタデータベースの分析を通じて、偽アプリの特徴、名前付けの傾向、回避戦略を明らかにした。主な発見として、既知の脆弱性があるにもかかわらず、広く使われている古いV1署名方式の使用が顕著に見られた。

ABSTRACT

While there have been various studies towards Android apps and their development, there is limited discussion of the broader class of apps that fall in the fake area. Fake apps and their development are distinct from official apps and belong to the mobile underground industry. Due to the lack of knowledge of the mobile underground industry, fake apps, their ecosystem and nature still remain in mystery. To fill the blank, we conduct the first systematic and comprehensive empirical study on a large-scale set of fake apps. Over 150,000 samples related to the top 50 popular apps are collected for extensive measurement. In this paper, we present discoveries from three different perspectives, namely fake sample characteristics, quantitative study on fake samples and fake authors' developing trend. Moreover, valuable domain knowledge, like fake apps' naming tendency and fake developers' evasive strategies, is then presented and confirmed with case studies, demonstrating a clear vision of fake apps and their ecosystem.

研究の動機と目的

• 偽りのAndroidアプリの特徴とエコシステムを体系的かつ包括的に調査すること。これらは広がりを見せているものの、依然として十分に理解されていない。
• 産業用モバイルの黒市場における偽アプリの規模と定量的特性を測定すること。
• 実世界の事例研究を通じて、偽アプリ開発者が用いる行動パターンと回避技術を解明すること。
• 学術界および産業界における検出および緩和戦略の改善に役立つ実用的知見を提供すること。

提案手法

• 中国の上位50の人気アプリに焦点を当て、実世界の市場から15万件を超えるアプリデータエントリを収集した。
• メタデータ比較と署名解析を用いて、52,638件の偽りのサンプルを同定した。
• 8つの主要なメタデータ項目を抽出・分析した：証明書方式、アプリサイズ、アプリ名、パッケージ名、バージョン、タイムスタンプ、アイコン類似度、署名方式。
• Pwnzen Infotech Inc.との産業連携を通じて、データの信頼性とスケーラビリティを確保した。
• 大規模なスケーリングを実現するため、重い静的／動的解析に代わってメタデータベースの分析を採用した。
• 実世界の事例研究と既知の偽アプリパターンとの照合を通じて、発見事項の妥当性を検証した。

実験結果

リサーチクエスチョン

• RQ1 名前、パッケージ名、署名などのメタデータの観点から、偽アプリの特徴的な違いは何か？
• RQ2 最も人気のある実際のアプリにおいて、偽アプリはどの程度広がっており、どのアプリに分布しているか？
• RQ3 偽アプリ開発者は、特に署名方式とアプリ名に関して、どのような回避戦略を採用しているか？
• RQ4 偽アプリ開発者は、構造とメタデータの観点から、公式アプリをどの程度模倣しているか？

主な発見

• 15万件を超えるデータエントリを収集し、そのうち52,638件が偽アプリとして確認された。これは市場における偽アプリの広範な存在を示している。
• 分析した17件の偽アプリすべてが、既知のセキュリティ上の欠陥があるにもかかわらず、古くから使われているV1署名方式を使用していた。これは、最新で安全な方式への採用が著しく低いことを示している。
• 偽アプリは公式アプリと強く類似した名前とパッケージ名を用いており、ユーザーをだますために高度な模倣を実施している。
• 偽アプリ開発者は、複数の偽物バージョンで同じアプリ名やパッケージ名を繰り返し使用しており、システム的かつスケーラブルな生産がなされていることが示唆された。
• 多数の偽アプリが、アイコンやバージョン番号を同一または非常に類似したメタデータで共有しており、共同作業または自動化された作成が行われている可能性を示している。
• 本研究は、偽アプリ作成が極めてスケーラブルかつ体系的であることを確認した。開発者は、検出を回避するための一貫した回避戦略を採用している。