[論文レビュー] MaMaDroid: Detecting Android Malware by Building Markov Chains of Behavioral Models

Enrico Mariconti, Lucky Onwuzurike+4 more|arXiv (Cornell University)|Dec 13, 2016

Advanced Malware Detection Techniques被引用数 4

ひとこと要約

MaMaDroidは、パッケージまたはファミリーベースに抽象化されたAPIコールを用いたマルコフ連鎖を用いてアプリ実行シーケンスをモデル化する、行動特徴に基づくAndroidマルウェア検出システムであり、マルウェア検出で最高99％のF-measureを達成し、1年後には87％、2年後には73％のF-measureを維持するなど、APIの進化に対して強く、最新のシステムDroidAPIMinerと比較して優れた耐性を示す。

ABSTRACT

The rise in popularity of the Android platform has resulted in an explosion of malware threats targeting it. As both Android malware and the operating system itself constantly evolve, it is very challenging to design robust malware mitigation techniques that can operate for long periods of time without the need for modifications or costly re-training. In this paper, we present MaMaDroid, an Android malware detection system that relies on app behavior. MaMaDroid builds a behavioral model, in the form of a Markov chain, from the sequence of abstracted API calls performed by an app, and uses it to extract features and perform classification. By abstracting calls to their packages or families, MaMaDroid maintains resilience to API changes and keeps the feature set size manageable. We evaluate its accuracy on a dataset of 8.5K benign and 35.5K malicious apps collected over a period of six years, showing that it not only effectively detects malware (with up to 99% F-measure), but also that the model built by the system keeps its detection capabilities for long periods of time (on average, 86% and 75% F-measure, respectively, one and two years after training). Finally, we compare against DroidAPIMiner, a state-of-the-art system that relies on the frequency of API calls performed by apps, showing that MaMaDroid significantly outperforms it.

研究の動機と目的

• 従来のシグネチャベースおよびパーミッションベースの検出手法を回避する進化を続けるAndroidマルウェアを検出する課題に対処すること。
• Android APIの変更やマルウェア行動の長期的進化に対して耐性を持つマルウェア検出システムを開発すること。
• 静的APIコール頻度やパーミッションに依存するのではなく、行動シーケンスをモデル化することで、検出精度とモデルの持続性を向上させること。
• 6年間にわたる44Kのアプリをカバーする大規模データセットを用いて、実世界での適用可能性と耐性を保証するための評価を行うこと。

提案手法

• 個々のAPI変更に敏感にならないように、Android APIコールをパッケージ名またはファミリーベース（例：android, java）に抽象化する。
• 抽象化されたAPIコールのシーケンスからマルコフ連鎖モデルを構築し、アプリの行動パターンを捉える。
• マルコフ連鎖を用いて、APIコールファミリーやパッケージ間の遷移確率を表す統計的特徴を抽出する。
• 抽出された特徴を用いて2値分類（健全 vs. 悪意ある）を実行し、2つの抽象化粒度（ファミリー・レベルおよびパッケージ・レベル）を採用する。
• 実行時の実行を必要とせず、静的解析によりAndroidアプリからAPIコールシーケンスを抽出する。
• 2010年から2016年までに収集された8.5Kの健全なアプリと35.5Kの悪意あるアプリからなるデータセットを用いて分類器を学習し、長期的な性能を評価する。

実験結果

リサーチクエスチョン

• RQ1 マルコフ連鎖を用いて抽象化されたAPIコールのシーケンスをモデル化することで、健全なアプリと悪意あるアプリを効果的に区別できるか？
• RQ2 MaMaDroidの検出性能は、Android APIの進化やマルウェアバージョンの進化に伴い、時間経過とともにどのように低下するか？
• RQ3 頻度ベースのAPIコールパターンに依存する最新のシステムDroidAPIMinerと比較して、MaMaDroidの精度と耐性はどの程度優れているか？
• RQ4 APIコールをファミリーやパッケージに抽象化することで、Androidフレームワークの進化に対する耐性がどの程度向上するか？

主な発見

• MaMaDroidは、43,989個のアプリ（うち35,500個が悪意あるもの）を含むデータセット上で、マルウェア検出においてピークF-measureが99％に達した。
• 訓練後1年後にはF-measureが87％に維持され、2年後には73％に低下するが、長期的な検出安定性が強く示された。
• 特にAPI変更に対する抽象化に基づく耐性のおかげで、MaMaDroidは初期検出精度および長期的耐性においてDroidAPIMinerを顕著に上回った。
• 頻度ベースの手法よりも、行動モデリングアプローチがAndroid APIの進化に対してより耐性があり、頻繁な再トレーニングの必要性を低減した。
• 抽象化されたAPIコールシーケンスにマルコフ連鎖を適用することで、非標準的または非推奨のAPIを使用するマルウェアでさえも、健全なアプリと区別できる意味のある行動パターンを捉えることができた。
• 本研究の評価に使用されたデータセット（6年間にわたる43,989個のアプリ）は、Androidマルウェア検出分野で論文で使用された過去最大のデータセットである。