[論文レビュー] EMMA: A New Platform to Evaluate Hardware-based Mobile Malware Analyses

Mikhail Kazdagli, Ling Huang+2 more|arXiv (Cornell University)|Mar 9, 2016

Advanced Malware Detection Techniques参考文献 15被引用数 4

ひとこと要約

EMMAは、実際のハードウェア上で実行されるリアルなユーザー入力を用いて、モバイルデバイス向けハードウェアベースのマルウェア検出器（HMDs）を体系的に評価するための新規プラットフォームを導入する。マルウェアを原子的・直交的な行動に分解し、実際のアプリケーションでリアルなユーザー入力を駆動することで、静的解析を回避するために用いられるオブスカリゼーション技術が、逆にハードウェアレベルでの検出可能性を高めることを明らかにした。これにより、HMDは、より侵入性が低く、長時間にわたる特徴ベクトルを用いることで、AUC性能を24.7%向上させた。

ABSTRACT

Hardware-based malware detectors (HMDs) are a key emerging technology to build trustworthy computing platforms, especially mobile platforms. Quantifying the efficacy of HMDs against malicious adversaries is thus an important problem. The challenge lies in that real-world malware typically adapts to defenses, evades being run in experimental settings, and hides behind benign applications. Thus, realizing the potential of HMDs as a line of defense - that has a small and battery-efficient code base - requires a rigorous foundation for evaluating HMDs. To this end, we introduce EMMA - a platform to evaluate the efficacy of HMDs for mobile platforms. EMMA deconstructs malware into atomic, orthogonal actions and introduces a systematic way of pitting different HMDs against a diverse subset of malware hidden inside benign applications. EMMA drives both malware and benign programs with real user-inputs to yield an HMD's effective operating range - i.e., the malware actions a particular HMD is capable of detecting. We show that small atomic actions, such as stealing a Contact or SMS, have surprisingly large hardware footprints, and use this insight to design HMD algorithms that are less intrusive than prior work and yet perform 24.7% better. Finally, EMMA brings up a surprising new result - obfuscation techniques used by malware to evade static analyses makes them more detectable using HMDs.

研究の動機と目的

• モバイルプラットフォームにおけるハードウェアベースのマルウェア検出器（HMDs）のための体系的で整合性のある評価フレームワークの欠如に応えること。
• 集約されたROC曲線に依存するブラックボックスHMD評価の限界を克服すること。これは、適応的マルウェア行動や現実的な偽陽性率を捉えられていない。
• 原子的マルウェア行動とそれらのリアルなユーザー入力下での検出に基づく「運用範囲」という新たな指標を定義することで、HMDの正確な特徴化を可能にすること。
• 静的解析を回避するために用いられるマルウェアのオブスカリゼーション技術が、ハードウェアレベルでの検出可能性に与える影響を調査すること。
• 現実のモバイル環境において、効率的かつ効果的なHMDの設計と評価のための体系的メソッドを提供すること。

提案手法

• 126のマルウェアファミリーから229個のマルウェアバイナリを逆コンパイルし、直交的行動と原子的行動の分類に分解することで、多様なマルウェアペイロードの制御的合成を可能にした。
• Android用にカスタムのレコード・アンド・リプレイフレームワークを構築し、Angry Birds や Sana などのアプリケーションで5〜10分間のリアルなユーザー操作を再現することで、現実的な実行トレースを確保した。
• 「運用範囲」という新たな評価指標を定義した。これは、HMD A がアプリYのペイロードXを、偽陽性率Zで検出する、という形で表現され、マルウェアが隠されている健全なアプリをベースラインとして用いた。
• リアルなユーザー入力をマルウェアと健全なアプリの両方を駆動する目的で使用し、HMDが合成的または静止状態のトレースではなく、現実の条件下で評価されることを保証した。
• マルコフモデルと教師あり学習を、多様な行動サブセットで訓練されたHMDに適用し、1枚の写真や25件の連絡先など、小規模なデータ漏洩（例：1枚の写真、25件の連絡先）を、偽陽性率5%でほぼ100%の正確度で検出可能にした。
• 実際のオブスカリゼーション（例：Obadマルウェアで見られる）を模倣したリフレクションおよび文字列暗号化を、合成マルウェアに挿入し、それらがハードウェア信号の特徴に与える影響を調査した。

実験結果

リサーチクエスチョン

• RQ1 合成的または静止状態のトレースではなく、リアルなユーザー入力と現実的な健全なアプリケーションの文脈下で評価された場合、ハードウェアベースのマルウェア検出器（HMDs）はどの程度の性能を示すか？
• RQ2 静的解析ツールを回避するために用いられるオブスカリゼーション技術は、どの程度ハードウェアレベルでの検出可能性に影響を与えるか？
• RQ3 長時間にわたるハードウェア特徴に焦点を当てることで、より侵入性が低く、高い検出正確度を達成できるようなHMDは設計可能か？
• RQ4 限定的な行動サブセットではなく、直交的で多様なマルウェア行動のサブセットで訓練されたHMDは、検出性能において、どのような差異を示すか？
• RQ5 集約されたROC指標ではなく、特定の原子的マルウェア行動が実アプリで検出可能かどうかという観点から定義された、HMDの真の有効な運用範囲とは何か？

主な発見

• Samsung Exynos 5250上で、4MBの写真を盗む行動は2.86秒、1件のSMSを盗む行動は0.12秒かかることが判明し、小規模なソフトウェア行動が大きなハードウェア的影響を持つことが明らかになった。
• 100msの特徴ベクトルを用いたHMDは、同程度の約20%の偽陽性率で、先行研究に比べ24.7%高いAUC性能を示し、検出効率の向上を実証した。
• 直交的で多様なマルウェア行動のサブセットで訓練された教師あり学習HMDは、偽陽性率5%で、1枚の写真や25件の連絡先など、小規模なデータ漏洩をほぼ100%の正確度で検出可能だった。
• 静的解析を回避するために用いられるオブスカリゼーション技術（例：文字列暗号化、Javaリフレクション）は、ハードウェアレベルでの特徴の明確さを高め、一部のケースではマルウェアの検出可能性が最大2.5倍にまで向上した。
• マルコフモデルHMDは、Angry Birds や Sana などのアプリで、リフレクションや暗号化を含むマルウェアを、ベースラインに比べ1.5〜2倍の高い性能で検出できた。これは、計算オーバーヘッドの増加とトレースの乱れによるものだった。
• HMDは、静的および動的解析と併用して、信頼できるローカル検出器として独立して運用される場合に最も効果的であり、偽陽性率を低く抑えながら、オンデマンドでグローバル検出を可能にする。