[論文レビュー] Android HIV: A Study of Repackaging Malware for Evading Machine-Learning Detection

Xiao Chen, Chaoran Li+6 more|arXiv (Cornell University)|Aug 10, 2018

Advanced Malware Detection Techniques参考文献 44被引用数 318

ひとこと要約

本論文は、Androidマルウェア検出器に特徴を直接適用するのではなく、Dalvikバイナリコード（classes.dex）に最適な摂動を加えることで、現代の機械学習ベースのAndroidマルウェア検出器を回避する、新しい敵対的攻撃フレームワークであるAndroid HIVを提案する。この手法は、ターゲットのマルウェア検出器の挙動を近似する深層ニューラルネットワーク（DNN）の代替モデルを用いて、マルウェアの機能を保持しながら検出率を0%まで低下させる摂動を生成する。MaMaDroid や Drebin といった最先端の検出器において、意味的特徴に基づくモデルに対しても有効であることが実証された。

ABSTRACT

Machine learning based solutions have been successfully employed for automatic detection of malware on Android. However, machine learning models lack robustness to adversarial examples, which are crafted by adding carefully chosen perturbations to the normal inputs. So far, the adversarial examples can only deceive detectors that rely on syntactic features (e.g., requested permissions, API calls, etc), and the perturbations can only be implemented by simply modifying application's manifest. While recent Android malware detectors rely more on semantic features from Dalvik bytecode rather than manifest, existing attacking/defending methods are no longer effective. In this paper, we introduce a new attacking method that generates adversarial examples of Android malware and evades being detected by the current models. To this end, we propose a method of applying optimal perturbations onto Android APK that can successfully deceive the machine learning detectors. We develop an automated tool to generate the adversarial examples without human intervention. In contrast to existing works, the adversarial examples crafted by our method can also deceive recent machine learning based detectors that rely on semantic features such as control-flow-graph. The perturbations can also be implemented directly onto APK's Dalvik bytecode rather than Android manifest to evade from recent detectors. We demonstrate our attack on two state-of-the-art Android malware detection schemes, MaMaDroid and Drebin. Our results show that the malware detection rates decreased from 96% to 0% in MaMaDroid, and from 97% to 0% in Drebin, with just a small number of codes to be inserted into the APK.

研究の動機と目的

• Dalvikバイナリコードからの意味的特徴に依存する現代のAndroidマルウェア検出器の脆弱性に対処すること。
• 最先端の機械学習検出器を回避できる、実用的で自動化された敵対的マルウェア例の生成手法を開発すること。
• 以前の攻撃が許可やAPIコールなどの構文的特徴にのみ焦点を当てていたという限界を克服すること。
• 直接バイナリコードに摂動を加えることで、制御フローグラフのような複雑な意味的特徴を使用する検出器でさえも回避できることを示すこと。
• 現実的な敵対的シナリオをシミュレートすることで、現在の検出システムのプロアクティブなセキュリティ評価を提供すること。

提案手法

• ターゲットのマルウェア検出器の挙動を近似できる深層ニューラルネットワーク（DNN）の代替モデルを訓練し、敵対的例生成のための勾配ベース最適化を可能にする。
• 代替モデル上でホワイトボックス攻撃戦略を用いて最適な摂動を計算し、実際の検出器に対しても有効であることを保証する。
• 摂動をAPKのDalvikバイナリコード（classes.dex）に直接適用し、元のマルウェアの機能を保持する。
• 自動化されたツールを開発し、マルウェアのsmaliコードに摂動を挿入した後、人為的介入なしにAPKを再構成する。
• APKファイル構造と特徴の依存関係を尊重し、変更後のAPKが正当でかつ元と機能的に同等のままであることを保証する。
• 攻撃は、MaMaDroid（意味的特徴ベース）およびDrebin（構文的および意味的特徴ベース）を含む実世界の検出器に対してブラックボックス攻撃として評価された。

実験結果

リサーチクエスチョン

• RQ1 構文的特徴（マニフェストから）ではなく、Dalvikバイナリコードからの意味的特徴に依存する現代のAndroidマルウェア検出器に対して、敵対的例を効果的に生成できるか？
• RQ2 マルウェアの機能を維持しながら検出を回避できるように、どのようにDalvikバイナリコードに摂動を適用できるか？
• RQ3 DNN分類器上で訓練された代替モデルが、ブラックボックス検出システムの敵対的例生成を効果的にガイドできるか？
• RQ4 提案手法により、MaMaDroid や Drebin のような最先端の検出器の検出率を最小限のコード変更で0%に低下させられるか？
• RQ5 コード挿入からAPK再構成までの敵対的例生成パイプラインを自動化することは可能か？

主な発見

• 意味的特徴に基づく検出器であるMaMaDroidの検出率は、敵対的摂動適用後、96%から0%に低下した。
• 構文的および意味的特徴を併用するDrebinの検出率も、最小限のコード挿入で97%から0%に低下した。
• 制御フローグラフ特徴に依存する検出器でさえも効果的に回避できたことから、構文的特徴の操作を超えた有効性が示された。
• 提案手法により、元のマルウェアと機能的に同等の敵対的例が生成され、すべての悪意ある行動が保持された。
• 自動化ツールにより、人為的介入なしにエンドツーエンドの敵対的APK生成が可能となり、実用性とスケーラビリティが向上した。
• 結果から、バイナリコードレベルでの摂動が加えられた場合、現在の最先端の検出器が敵対的攻撃に対して脆弱であることが示され、重要なセキュリティギャップが浮き彫りになった。