[論文レビュー] Android Malware Category and Family Detection and Identification using Machine Learning

Ahmed Hashem El Fiky, Ayman El Shenawy+1 more|arXiv (Cornell University)|Jul 5, 2021

Advanced Malware Detection Techniques被引用数 9

ひとこと要約

本論文は、Androidマルウェアの動的解析のための2つの機械学習手法を提案し、CCCS-CIC-AndMal2020データセットを用いて、マルウェアの種別分類で96％を超える正確性、マルウェアのファミリー特定で99％を超える正確性を達成した。この手法は、実行時の動的実行から抽出された行動特徴を活用することで、大規模なスケールで高精度かつ時間効率の良いAndroidマルウェア分類を実現する。

ABSTRACT

Android malware is one of the most dangerous threats on the internet, and it's been on the rise for several years. Despite significant efforts in detecting and classifying android malware from innocuous android applications, there is still a long way to go. As a result, there is a need to provide a basic understanding of the behavior displayed by the most common Android malware categories and families. Each Android malware family and category has a distinct objective. As a result, it has impacted every corporate area, including healthcare, banking, transportation, government, and e-commerce. In this paper, we presented two machine-learning approaches for Dynamic Analysis of Android Malware: one for detecting and identifying Android Malware Categories and the other for detecting and identifying Android Malware Families, which was accomplished by analyzing a massive malware dataset with 14 prominent malware categories and 180 prominent malware families of CCCS-CIC-AndMal2020 dataset on Dynamic Layers. Our approach achieves in Android Malware Category detection more than 96 % accurate and achieves in Android Malware Family detection more than 99% accurate. Our approach provides a method for high-accuracy Dynamic Analysis of Android Malware while also shortening the time required to analyze smartphone malware.

研究の動機と目的

• 医療、銀行、ECなど、重要な分野における増加するAndroidマルウェアの脅威に対処すること。
• 代表的なAndroidマルウェアの種別およびファミリーに固有の行動パターンをより深く理解すること。
• 動的解析を用いて、大規模なスケールでAndroidマルウェアを高精度に分類するためのスケーラブルな手法を開発すること。
• 実運用環境において、分析時間の短縮と高い検出精度の両立を実現すること。

提案手法

• 本手法は、実行時におけるAndroidアプリケーションの実行中に行動特徴を抽出する動的解析を用いる。
• 訓練および評価に使用する、CCCS-CIC-AndMal2020データセットからの14のマルウェア種別および180のマルウェアファミリーを含む包括的なデータセットが採用された。
• マルウェア種別検出とマルウェアファミリー同定のそれぞれに対して、分離した教師あり機械学習モデルが訓練された。
• 特徴工学は、実行中に観察されたシステムレベルのAPI呼び出し、権限、ネットワーク活動、プロセス行動に焦点を当てる。
• モデルは高精度と再現率を最適化しており、標準的な分類指標を用いて性能が評価された。
• パイプラインにより、最小限の手動介入で自動的かつスケーラブルな分類が可能になった。

実験結果

リサーチクエスチョン

• RQ1 機械学習モデルは、事前に定義された種別に分類する際に高い正確性を達成できるか？
• RQ2 同じアプローチを、同等の精度で特定のマルウェアファミリーを同定するのにも拡張可能か？
• RQ3 実行時動作の動的解析は、静的解析のみに比べて、検出正確性をどのように向上させるか？
• RQ4 大規模かつ多様なマルウェアデータセットに適用した場合、提案手法のスケーラビリティと効率性はどの程度か？

主な発見

• マルウェア種別検出モデルは、CCCS-CIC-AndMal2020データセットで96％を超える正確性を達成した。
• マルウェアファミリー検出モデルは99％を超える正確性を達成し、個々のファミリーを特定する際の高い特異性を示した。
• 動的解析に基づくアプローチにより、手作業での分析時間は顕著に短縮されたが、高い検出忠実度が維持された。
• 本手法は、14の種別および180のファミリーにわたる多様なマルウェア行動を効果的に区別でき、強力な一般化能力を示した。
• 実行時における抽出された行動特徴が、マルウェア分類において非常に判別能が高いことが、結果から確認された。