[論文レビュー] PuppetDroid: A User-Centric UI Exerciser for Automatic Dynamic Analysis of Similar Android Applications

Andrea Gianazza, Federico Maggi+3 more|arXiv (Cornell University)|Feb 19, 2014

Advanced Malware Detection Techniques参考文献 21被引用数 22

ひとこと要約

PuppetDroid は、人間が行う UI による操作の記録（刺激トレース）と、視覚的な UI 同一性に基づく類似アプリへの再利用を通じて、Android アプリの動的解析においてユーザー中心で協働的なアプローチを導入する。視覚的 UI 同一性を評価するハッシュ化技術と自動イベント再再生を活用することで、最新の自動化ツールよりも 12–24% 高いコードカバレッジを達成し、自動的に発火しにくい悪意ある動作の効果的同定を可能にする。

ABSTRACT

Popularity and complexity of malicious mobile applications are rising, making their analysis difficult and labor intensive. Mobile application analysis is indeed inherently different from desktop application analysis: In the latter, the interaction of the user (i.e., victim) is crucial for the malware to correctly expose all its malicious behaviors. We propose a novel approach to analyze (malicious) mobile applications. The goal is to exercise the user interface (UI) of an Android application to effectively trigger malicious behaviors, automatically. Our key intuition is to record and reproduce the UI interactions of a potential victim of the malware, so as to stimulate the relevant behaviors during dynamic analysis. To make our approach scale, we automatically re-execute the recorded UI interactions on apps that are similar to the original ones. These characteristics make our system orthogonal and complementary to current dynamic analysis and UI-exercising approaches. We developed our approach and experimentally shown that our stimulation allows to reach a higher code coverage than automatic UI exercisers, so to unveil interesting malicious behaviors that are not exposed when using other approaches. Our approach is also suitable for crowdsourcing scenarios, which would push further the collection of new stimulation traces. This can potentially change the way we conduct dynamic analysis of (mobile) applications, from fully automatic only, to user-centric and collaborative too.

研究の動機と目的

• モバイル UI の高いインタラクティブ性のため、Android マルウェアの動的解析におけるコードカバレッジが限られている問題に対処すること。
• 複雑またはまれな悪意ある動作を自動的に発火させることに失敗する完全自動の UI トレーサーの非効率性を克服すること。
• 類似アプリ間で人間が観察した UI 刺激トレースを再利用することで、スケーラブルで協働的な動的解析を可能にすること。
• 視覚的類似性（評価的ハッシュ化を介して）を活用して、類似アプリを特定・標的化し、トレースを再利用するシステムを開発すること。
• 人間が関与する UI 操作が、自動ツールに比べて悪意ある動作を露わにするのにはるかに効果的であることを示すこと。

提案手法

• 物理デバイスまたはエミュレータを用いて、ターゲット Android アプリで人間が行う UI 操作トレース（刺激トレース）を記録する。
• スクリーンショットの評価的ハッシュ化を用いて、UI レイアウトの類似性に基づき、視覚的に類似したアプリをインデックス化・特定する。
• 入力イベントをターゲットアプリ内の対応するビュー・オブジェクトにマッピングすることで、記録済みの UI イベントを類似アプリで自動的に再再生する。
• UI 同一性を活用して、トレースを再利用可能にし、改ざん済みマルウェアや隠しペイロードを埋め込んだ良性アプリを含むアプリ間でトレースを転送する。
• システムコールの監視と悪意ある動作の検出を可能にするために、既存の動的解析フレームワークと統合する。
• イベントインジェクションとシステムコール監視をサポートするように改造した Android エミュレータを用い、正確な行動解析を実現する。

実験結果

リサーチクエスチョン

• RQ1 人間が行う UI 操作は、自動ツールに比べて Android アプリ内の悪意ある動作を発火させるのに、より効果的であるか？
• RQ2 Android アプリ間の UI 同一性をどれだけ活用して、人間が観察した刺激トレースを自動的に再実行できるか？
• RQ3 PuppetDroid のコードカバレッジは、最先端の自動 UI トレーサーと比較して、悪意ある動作検出においてどの程度優れているか？
• RQ4 大量のアプリを処理する際、リソースのオーバーヘッドを抑えながらスケーラブルに分析できるか？
• RQ5 評価的ハッシュ化は、トレース再利用のための視覚的に類似したアプリの特定において、どの程度正確でスケーラブルか？

主な発見

• 自動ツール（Monkey や Dynodroid など）に比べ、人間ユーザーが悪意ある動作を発火させる際のコードカバレッジが顕著に高かった。
• 7,000 件のアプリを分析した結果、PuppetDroid は最先端の自動 UI トレーサーに比べて 12–24% 高いコードカバレッジを達成した。
• システムは、自動アプローチでは発火しなかった「隠しSMS送信」や「データ漏洩」などのレアケースの悪意ある動作を効果的に同定した。
• 評価的ハッシュ化により、わずかな計算負荷で正確かつスケーラブルに視覚的に類似したアプリを特定できた。
• 改ざん済みマルウェアおよび悪意あるペイロードを埋め込んだ良性アプリの両方に対して、このアプローチは有効であった。
• このシステムはクラウドソーシングに適しており、大規模なユーザーベースで刺激トレースを共同収集・再利用可能である。