[論文レビュー] Automated Synthesis of Semantic Malware Signatures using Maximum Satisfiability

Yu Feng, Osbert Bastani+3 more|arXiv (Cornell University)|Aug 22, 2016

Advanced Malware Detection Techniques参考文献 20被引用数 11

ひとこと要約

本論文では、最大充足問題（MaxSAT）を用いて、少数のマルウェアサンプル間で最大の懸念を喚起する共通部分グラフ（MSCS）を同定することで、Androidマルウェアファミリーの意味的マルウェアシグネチャを自動合成するツールであるAstroidを提示する。このアプローチにより、手作業で作成されたシグネチャーや最先端のツールを上回り、低誤検出率で、既知のマルウェアおよびゼロデイマルウェアを高精度かつ解釈可能な形で検出できる。

ABSTRACT

This paper proposes a technique for automatically learning semantic malware signatures for Android from very few samples of a malware family. The key idea underlying our technique is to look for a maximally suspicious common subgraph (MSCS) that is shared between all known instances of a malware family. An MSCS describes the shared functionality between multiple Android applications in terms of inter-component call relations and their semantic metadata (e.g., data-flow properties). Our approach identifies such maximally suspicious common subgraphs by reducing the problem to maximum satisfiability. Once a semantic signature is learned, our approach uses a combination of static analysis and a new approximate signature matching algorithm to determine whether an Android application matches the semantic signature characterizing a given malware family. We have implemented our approach in a tool called ASTROID and show that it has a number of advantages over state-of-the-art malware detection techniques. First, we compare the semantic malware signatures automatically synthesized by ASTROID with manually-written signatures used in previous work and show that the signatures learned by ASTROID perform better in terms of accuracy as well as precision. Second, we compare ASTROID against two state-of-the-art malware detection tools and demonstrate its advantages in terms of interpretability and accuracy. Finally, we demonstrate that ASTROID's approximate signature matching algorithm is resistant to behavioral obfuscation and that it can be used to detect zero-day malware. In particular, we were able to find 22 instances of zero-day malware in Google Play that are not reported as malware by existing tools.

研究の動機と目的

• Androidマルウェアファミリーの意味的マルウェアシグネチャを手作業で作成する際の人的コストの高さとスケーラビリティの問題を解決すること。
• すべてのマルウェアファミリーインスタンスに共通する最大の懸念を喚起する共通部分グラフ（MSCS）を同定することで、マルウェア検出における誤検出および見逃しを低減すること。
• 近似シグネチャーマッチングを用いて、ゼロデイマルウェアおよび行動的オブスカリオンを伴うマルウェアの検出を可能にすること。
• 既存の学習ベースおよびシグネチャーベースのマルウェア検出技術よりも、解釈可能性と正確性を向上させること。
• 自動シグネチャーシンセシスが手作業で作成されたシグネチャーよりも性能を同等または上回ることを実証すること。

提案手法

• 最大の懸念を喚起する共通部分グラフ（MSCS）を同定する問題を、懸念を示す特徴を重み付けすることで高いリスクパターンを優先する最大充足問題（MaxSAT）としてモデル化する。
• Androidアプリの静的解析を実施し、コンponent間のコールグラフおよび意味的メタデータ（データフロー特性、APIコール、インテントフィルターなど）を抽出する。
• 構造的および意味的類似性を符号化したMaxSATインスタンスを解くことでMSCSを計算し、特徴の懸念度に応じた重みを反映させる。
• 未知のアプリを学習済みMSCSと比較するための新規な近似シグネチャーマッチングアルゴリズムを実装し、オブスカリオンによる構文的および制御フローモディフィケーションに耐性を持つ。
• Apposcopyと統合することで、既存のシグネチャーベースの検出パイプラインとの互換性を確保する。
• ツールであるAstroidは公開されており、1〜5個のマルウェアサンプルからも迅速にシグネチャ生成が可能である。

実験結果

リサーチクエスチョン

• RQ1 MaxSATを用いた意味的マルウェアシグネチャの自動合成は、精度と正確性の面で手作業で作成されたシグネチャーよりも優れているか？
• RQ2 学習済みのシグネチャは、既存のツールが検出できない22件の未知のゼロデイマルウェアを検出できるか？
• RQ3 近似シグネチャーマッチングアルゴリズムは、行動的オブスカリオン技術に対してどれほど効果的か？
• RQ4 本手法は、最小限のトレーニングサンプルで、まれなまたは新規に出現したマルウェアファミリーにスケーラブルに適用できるか？
• RQ5 MaxSATベースのMSCS同定は、既存の学習ベースや構文的アプローチと比較して、より解釈可能で信頼性の高いシグネチャを生成できるか？

主な発見

• Astroidが自動合成したシグネチャは、精度と正確性の両面で手作業で作成されたシグネチャーよりも優れており、誤検出が著しく少ないことが確認された。
• 本ツールは、既存のツールが検出できなかったGoogle Play内での22件の未知のゼロデイマルウェアを検出した。
• 近似シグネチャーマッチングアルゴリズムは、制御フローおよびデータフロー変換に対して耐性を示し、行動的オブスカリオンを伴うマルウェアを効果的に検出できた。
• 本手法は1ファミリーあたり5個未満のマルウェアサンプルで十分に機能し、まれなまたは新規に出現したマルウェアファミリーに対しても有効であった。
• MaxSATベースのMSCS同定により、マルウェアインスタンス間で高い構造的および意味的整合性が達成され、共通する悪意ある機能の信頼性の高い検出が可能になった。
• Apposcopyとの統合により、既存のシグネチャーベースの検出パイプラインへのシームレスな統合が実現され、ツール間の相互運用性が向上した。