[論文レビュー] Contaminant Removal for Android Malware Detection Systems

Lichao Sun, Xiaokai Wei+4 more|arXiv (Cornell University)|Nov 7, 2017

Advanced Malware Detection Techniques参考文献 15被引用数 5

ひとこと要約

本論文では、機械学習ベースのマルウェア検出に使用される良性Androidアプリデータセットに含まれる悪意のある汚染物質を検出し、除去するための、Positive and Unlabeled (PU) 学習に基づくフレームワーク、PUDroidを提案する。特徴選択とPU学習を適用することで、汚染されたデータセットを用いたシステムと比較して、検出精度を45%向上させ、検出率を62.82%向上させた。

ABSTRACT

A recent report indicates that there is a new malicious app introduced every 4 seconds. This rapid malware distribution rate causes existing malware detection systems to fall far behind, allowing malicious apps to escape vetting efforts and be distributed by even legitimate app stores. When trusted downloading sites distribute malware, several negative consequences ensue. First, the popularity of these sites would allow such malicious apps to quickly and widely infect devices. Second, analysts and researchers who rely on machine learning based detection techniques may also download these apps and mistakenly label them as benign since they have not been disclosed as malware. These apps are then used as part of their benign dataset during model training and testing. The presence of contaminants in benign dataset can compromise the effectiveness and accuracy of their detection and classification techniques. To address this issue, we introduce PUDROID (Positive and Unlabeled learning-based malware detection for Android) to automatically and effectively remove contaminants from training datasets, allowing machine learning based malware classifiers and detectors to be more effective and accurate. To further improve the performance of such detectors, we apply a feature selection strategy to select pertinent features from a variety of features. We then compare the detection rates and accuracy of detection systems using two datasets; one using PUDROID to remove contaminants and the other without removing contaminants. The results indicate that once we remove contaminants from the datasets, we can significantly improve both malware detection rate and detection accuracy

研究の動機と目的

• 信頼できるアプリストアを通じて未検出のマルウェアが広がる問題に対処し、良性学習データセットを汚染すること。
• 汚染された良性データセットが機械学習ベースのマルウェア検出システムに与える悪影響を軽減し、高い偽陰性率を回避すること。
• 信頼できるアプリリポジトリに隠れて良性アプリとして偽装された悪意あるアプリを自動で特定・除去する、強固で自動化された手法を開発すること。
• 汚染物質の除去により訓練データの純度を確保することで、マルウェア検出モデルの信頼性と精度を向上させること。
• 汚染物質の除去が複数の分類器およびさまざまな汚染状況において、検出性能を顕著に向上させることを実証すること。

提案手法

• 正例（既知のマルウェア）と未ラベル例（悪意ある未検出汚染物質を含む良性アプリ）からなるPositive and Unlabeled (PU) 学習を活用する。
• 静的および動的アプリ解析から「説明可能」な特徴を特定・抽出する特徴選択戦略を適用し、モデルの解釈性と性能を向上させる。
• 非パラメトリックな学習フレームワークを用いて、未ラベルアプリ内のマルウェアの潜在的確率を推定し、効果的な汚染物質検出を実現する。
• PU学習モデルを事前処理のバリデーターとして統合し、検出モデルの学習前に、良性アプリコレクションから改ざんマルウェアをフィルタリングする。
• 複数の特徴タイプ（例：権限、APIコール、システムコール）を統合し、埋め込み技術を適用してモデルの頑健性を向上させる。
• 実世界のデータセットを用いて、汚染度が異なる状況、未知のマルウェア、および良性アプリが誤ってマルウェアセットに含まれる状況を含む、さまざまな汚染レベルでのフレームワークの評価を行う。

実験結果

リサーチクエスチョン

• RQ1 PU学習は、良性Androidアプリデータセットに含まれる悪意ある汚染物質をどれほど効果的に検出できるか？
• RQ2 汚染物質の除去は、機械学習ベースのマルウェア検出器の検出精度と検出率にどのように影響するか？
• RQ3 特徴選択戦略は、改ざんマルウェア検出におけるPU学習の性能と頑健性を向上させることができるか？
• RQ4 PUDroidは、高汚染度や未知のマルウェアバージョンを含む現実的な汚染状況でも効果的に機能するか？
• RQ5 PUDroidを学習パイプラインに統合することで、SVM、ランダムフォレスト、決定木などの異なる分類器において一貫して検出結果が改善されるか？

主な発見

• PUDroidは、良性アプリデータセットからの悪意ある汚染物質をほぼ100%の割合で効果的に除去し、訓練データの品質を顕著に向上させた。
• 汚染されたデータセットを用いた場合、標準的な分類器（例：ランダムフォレスト）のマルウェア検出率は55.5%に低下するが、PUDroidを適用することで96.36%まで向上した。
• PUDroidを用いてデータセットをクリーニングした場合、PU学習を用いない汚染済みデータセットと比較して、検出精度が45%向上した。
• PUDroidを適用することで検出率が62.82%向上し、ベースライン分類器と比較して顕著な性能向上を示した。
• ランダムフォレストはPUDroidと組み合わせて使用した場合、マルウェアデータセットに多くの良性アプリが混入している状況でも96.36%の精度を達成した。
• SVMは汚染されたデータセットでは性能が著しく低下し、モデル学習の前に汚染物質の除去が極めて重要であることを示している。