[論文レビュー] Modeling the Propagation of Trojan Malware in Online Social Networks

Mohammad Reza Faghani, Uyen Trang Nguyen|arXiv (Cornell University)|Aug 3, 2017

Advanced Malware Detection Techniques参考文献 39被引用数 9

ひとこと要約

本稿では、現実のネットワークトポロジー、ウイルス対策（AV）のダイナミクス、ユーザ行動、およびソーシャルエンジニアリング戦術を組み込んだ、オンラインソーシャルネットワーク（OSN）におけるトロイの木馬マルウェアの広がりをシミュレートする新しい分析モデルを提案する。このモデルは、O(E)の計算複雑度で高い正確性を達成し、急速なAV更新と協働による消毒が感染拡大を顕著に抑制することを示している。

ABSTRACT

The popularity and widespread usage of online social networks (OSN) have attracted cyber criminals who have used OSNs as a platform to spread malware. Among different types of malware in OSNs, Trojan is the most popular type with hundreds of attacks on OSN users in the past few years. Trojans infecting a user's computer have the ability to steal confidential information, install ransomware and infect other computers in the network. Therefore, it is important to understand propagation dynamics of Trojans in OSNs in order to detect, contain and remove them as early as possible. In this article, we present an analytical model to study propagation characteristics of Trojans and factors that impact their propagation in an online social network. The proposed model assumes all the topological characteristics of real online social networks. Moreover, the model takes into account attacking trends of modern Trojans, the role of anti-virus (AV) products, and security practices of OSN users and AV software providers. By taking into account these factors, the proposed model can accurately and realistically estimate the infection rate caused by a Trojan malware in an OSN as well as the recovery rate of the user population.

研究の動機と目的

• 実際のオンラインソーシャルネットワーク（OSN）におけるトロイの木馬マルウェアの広がりを高精度にモデル化すること。均一混合の単純な仮定を越えること。
• OSNトポロジーの特徴としてのパワー則の次数分布、高いクラスタリング係数、短い平均パス長を反映したモデルの構築。
• AVベンダーサイトへのアクセスを遮断するなど、現代のトロイの木馬が示す行動（例：ユーザをだますソーシャルエンジニアリング）をモデル化すること。
• AV更新タイミング、ユーザの意識、協働による消毒の影響が感染率および回復率に与える影響の評価。
• 実際のFacebook部分グラフを用いたモデルの検証を通じて、計算効率と正確性の両立を実証すること。

提案手法

• OSNを無向グラフとして表現し、ノードをユーザ、エッジを相互関係として定義する。
• ユーザの接続性とソーシャルエンジニアリングの成功確率（p_i）に基づく確率的感染プロセスを導入し、ユーザがマルウェア実行を誘導される仕組みをモデル化する。
• 時間変動するパッチリリース関数β̂(t)を用いて、現実のAV更新遅延を反映したウイルス対策保護のモデル化。
• 感染したユーザが協働的に消毒されるメカニズムを導入し、ピアツーピアでのクリーニング作業を模擬する。
• 高度なトロイの木馬がAVサイトへのアクセスを遮断する行動をモデル化し、保護効果の低下を反映する。
• 実際のFacebook部分グラフ上でシミュレーションを実施し、数値解との比較によって正確性とO(E)の計算複雑度を検証する。

実験結果

リサーチクエスチョン

• RQ1 パワー則の次数分布、高いクラスタリング係数、短い平均パス長を特徴とする現実のOSNトポロジーは、トロイの木馬マルウェアの広がりにどのように影響を与えるか？
• RQ2 AV更新タイミングとユーザの意識は、OSNにおけるトロイの木馬マルウェアの感染率および回復率にどの程度影響を与えるか？
• RQ3 ソーシャルエンジニアリングで検知を回避する高度なマルウェアに対して、協働による消毒はどの程度効果的か？
• RQ4 AVベンダーサイトへのアクセスを遮断するような高度なトロイの木馬の行動は、全体の感染ダイナミクスにどのような影響を与えるか？
• RQ5 提示された分析モデルは、現実のOSNトポロジーにおいて、低計算複雑度（O(E)）で感染率および回復率を高精度に予測できるか？

主な発見

• 提示されたモデルは、実際のFacebook部分グラフ上でのシミュレーション結果と数値解がよく一致し、感染率および回復率の推定において高い正確性を達成している。
• 迅速なAVパッチ更新は、ゼロデイや新種のマルウェアに対して特に顕著に感染ユーザ数を減少させる。
• 協働による消毒は、検知を回避するために高度なソーシャルエンジニアリングを用いる高度なマルウェアに対して特に効果的な回復メカニズムである。
• ユーザの意識と安全なブラウジング習慣は、マルウェアの広がりを遅らせることが示され、OSNプロバイダーによる啓発キャンペーンの重要性が浮き彫りになる。
• 本モデルはO(E)という低い計算複雑度を示しており、大規模なOSN環境へのスケーラビリティを有している。
• トロイの木馬がAVサイトへのアクセスを遮断することは、保護効果を低下させるため、OSNプロバイダーがSMSやメールで感染を事前に通知する仕組みの構築が不可欠である。