[論文レビュー] Eight Years of Rider Measurement in the Android Malware Ecosystem: Evolution and Lessons Learned

Guillermo Suárez‐Tangil, Gianluca Stringhini|arXiv (Cornell University)|Jan 24, 2018

Advanced Malware Detection Techniques参考文献 49被引用数 39

ひとこと要約

本論文は、2010年から2017年までのAndroidマルウェア行動に関する大規模かつ縦断的な分析を提示しており、主に改ざんマルウェア（ライダー・ファミリー）に焦点を当てている。微分分析とマルチアンチウイルスラベル付けを用いて、悪意あるペイロードを無害なキャリアから分離し、マルウェア行動および難読化技術の顕著な進化を明らかにした。これは、古くなり非代表的なデータセットで訓練された既存の検出システムにおける深刻な欠陥を示している。

ABSTRACT

Despite the growing threat posed by Android malware, the research community is still lacking a comprehensive view of common behaviors and trends exposed by malware families active on the platform. Without such view, the researchers incur the risk of developing systems that only detect outdated threats, missing the most recent ones. In this paper, we conduct the largest measurement of Android malware behavior to date, analyzing over 1.2 million malware samples that belong to 1.2K families over a period of eight years (from 2010 to 2017). We aim at understanding how the behavior of Android malware has evolved over time, focusing on repackaging malware. In this type of threats different innocuous apps are piggybacked with a malicious payload (rider), allowing inexpensive malware manufacturing. One of the main challenges posed when studying repackaged malware is slicing the app to split benign components apart from the malicious ones. To address this problem, we use differential analysis to isolate software components that are irrelevant to the campaign and study the behavior of malicious riders alone. Our analysis framework relies on collective repositories and recent advances on the systematization of intelligence extracted from multiple anti-virus vendors. We find that since its infancy in 2010, the Android malware ecosystem has changed significantly, both in the type of malicious activity performed by the malicious samples and in the level of obfuscation used by malware to avoid detection. We then show that our framework can aid analysts who attempt to study unknown malware families. Finally, we discuss what our findings mean for Android malware detection research, highlighting areas that need further attention by the research community.

研究の動機と目的

• 既存の研究における古くなり非代表的なデータセットの制限を克服するため、特に改ざんマルウェアを含めたAndroidマルウェア行動の包括的で長期的な視点を提供すること。
• スケールに応じた改ざんマルウェアにおいて、悪意あるペイロード（ライダー）を無害なアプリコンポーネント（キャリア）から分離する課題に対処すること。
• 8年間にわたるマルウェアファミリーの進化を分析し、悪意ある行動および難読化技術の変化に焦点を当てる。
• 特に、古く非代表的なトレーニングデータを使用することによる実験的バイアスのリスクを含め、現在のマルウェア検出研究における重要なギャップを同定すること。
• 特に時間経過に伴うライダーファミリーの動的な進化に注目することで、今後の研究を導くために未だ十分に検討されていない分野を明らかにすること。

提案手法

• 2010年から2017年までに収集された120万件を超えるマルウェアサンプルに、複数のアンチウイルスベンダーの集団知能を活用してファミリー・ラベルを割り当てる。
• 同じファミリーに属するサンプル間のコード構造を比較することで微分分析を実施し、共通するコンponentsを特定・抽出することで、悪意あるライダーペイロードを分離する。
• メソッドの制御フローグラフ（CFG）分析を用いて類似性を検出することで、難読化の影響でさえも悪意あるコンponentsを堅牢に同定可能にする。
• 動的実行の計算コストを回避しつつも、ライダーと無害なキャリアを正確に区別するため、静的解析を採用する。
• パッケージ名のような表面的な属性ではなく、内部のコード構造（例：メソッドレベルのCFG）に焦点を当てる。これらは容易に改ざん可能である。
• ライダーにおけるAPIコール使用状況および行動パターンを体系的に測定し、時間経過に伴う悪意ある機能の変化を追跡する。

実験結果

リサーチクエスチョン

• RQ1 2010年から2017年の間に、Androidマルウェアのライダーの行動は、悪意ある機能および難読化技術の観点でどのように進化したか？
• RQ2 マルウェアファミリーは時間経過とともに行動を変化させ、その影響が自動マルウェア検出システムの信頼性に及ぼす程度はどの程度か？
• RQ3 過去8年間にわたり、Androidエコシステムにおける改ざんマルウェアとスタンドアロンマルウェアの割合はどの程度か？
• RQ4 古く非代表的なデータセットに依存する現在の検出システムは、現代のマルウェアバージョンを同定する上でどの程度有効か？
• RQ5 非縦断的または非代表的なトレーニングデータの使用に起因する、既存のマルウェア検出研究における主な制限は何か？

主な発見

• 2010年から2017年の間に、Androidマルウェアエコシステムは顕著な進化を遂げており、単純なプレミアムSMS詐欺から、より洗練され難読化された行動へと移行した。
• 同じマルウェアファミリーに属するライダーペイロードは時間経過とともに進化しており、ファミリー基盤のマルウェア検出システムにおける実験的バイアスの主要因となっている。
• 分析対象のマルウェアサンプルの90％以上が改ざんされていた。スタンドアロンマルウェアの割合は、推定方法によって1.36％から13％の間で変動した。
• 本研究は、Drebin や Android MalGenome といった、文献で広く使われているデータセットが古く、現在のマルウェアトレンドを代表していないことを明らかにした。
• 初期年数（例：2010年～2012年）に広く流通していたマルウェアファミリーは、その後行動および難読化技術を進化させ、初期データで訓練された検出モデルはもはや有効でなくなった。
• メソッドのCFGに基づく微分分析は、コード難読化の影響でさえも悪意あるコンponentsの堅牢な分離を可能にし、パッケージ名やGUIの類似性に依存する手法を上回る性能を示した。