[論文レビュー] R-PackDroid: Practical On-Device Detection of Android Ransomware.

Michele Scalas, Davide Maiorca+4 more|arXiv (Cornell University)|May 24, 2018

Advanced Malware Detection Techniques参考文献 16被引用数 3

ひとこと要約

本稿では、システムAPIコール（特にパッケージ、クラス、メソッド）を活用して、正確かつ効率的な検出を実現する実用的なオンデバイス型Androidランサムウェア検出システム、R-PackDroidを提案する。低レベルのシステムインタラクションに焦点を当てることで、ランサムウェアおよび一般マルウェアの高精度な同定が可能となり、オブスカレーションに対して強く、未知の脅威に対しても効果的である。また、説明可能性とリアルタイム性能において、複雑なMLベースの手法を上回る。

ABSTRACT

Ransomware constitutes a significant threat to the Android operating system. It can either lock or encrypt the target devices, and victims are forced to pay ransoms to restore their data. Hence, the prompt detection of such attacks has a priority in comparison to other malicious threats. Previous works on Android malware detection mainly focused on Machine Learning-oriented approaches that were tailored to identifying malware families, without a clear focus on ransomware. More specifically, such approaches resorted to complex information types such as permissions, user-implemented API calls, and native calls. However, this led to significant drawbacks concerning complexity, resilience against obfuscation, and explainability. To overcome these issues, in this paper, we propose and discuss learning-based detection strategies that rely on System API information. These techniques leverage the fact that ransomware attacks heavily resort to System API to perform their actions, and allow distinguishing between generic malware, ransomware and goodware. We tested three different ways of employing System API information, i.e., through packages, classes, and methods, and we compared their performances to other, more complex state-of-the-art approaches. The attained results showed that systems based on System API could detect ransomware and generic malware with very good accuracy, comparable to systems that employed more complex information. Moreover, the proposed systems could accurately detect novel samples in the wild and showed resilience against static obfuscation attempts. Finally, to guarantee early on-device detection, we developed and released on the Android platform a complete ransomware and malware detector (R-PackDroid) that employed one of the methodologies proposed in this paper.

研究の動機と目的

• Androidランサムウェアの早期かつオンデバイス型検出の重要なニーズに対処すること。これは、データの暗号化と身代金要求という深刻な脅威を伴う。
• 権限やAPIコールといった複雑な特徴に依存する既存のMLベースのAndroidマルウェア検出手法の限界を克服すること。これらの手法は説明可能性に欠けやすく、オブスカレーション攻撃に対して脆弱である。
• システムAPIレベルの情報（特にパッケージ、クラス、メソッド）が、ランサムウェアとグッドウェア、一般マルウェアを区別するシンプルで、より耐性があり、効果的なシグナルとして機能するかどうかを検討すること。
• 実世界での展開を想定し、最も効果的なシステムAPIベースの検出戦略に基づいて、完全に機能するオンデバイス型検出システム（R-PackDroid）を実装・公開すること。

提案手法

• 本手法は、Androidアプリケーションが発行するシステムAPIコールを分析し、3つの細分化されたレベル（パッケージ、クラス、個々のメソッド）に焦点を当て、悪意ある行動の行動シグネチャを抽出する。
• 各アプリケーションは、選択された細分化レベルでのシステムAPIコールのシーケンスとして表現され、分類のための特徴ベクトルを形成する。
• 3つの異なる分類モデルを訓練・評価する：パッケージレベルのコールのみを使用するモデル、クラスレベルのコールのみを使用するモデル、メソッドレベルのコールのみを使用するモデル。
• 検出精度と耐性を評価するために、実世界のAndroidアプリケーションデータセット（既知のランサムウェア、一般マルウェア、および健全なアプリ）を用いて、モデルを訓練およびテストする。
• システムはオンデバイス実行を設計しており、外部サーバーへのデータ送信を回避することで、低遅延とユーザーのプライバシーを確保する。
• 最終的な検出エンジン、R-PackDroidは、最も効果的なAPIレベルのアプローチに基づき、リアルタイムスキャン機能を備えたスタンドアロンのAndroidアプリケーションとして実装された。

実験結果

リサーチクエスチョン

• RQ1 システムAPIレベルの情報（パッケージ、クラス、メソッド）を用いて、高精度かつ低複雑性でAndroidランサムウェアを検出することは可能か？
• RQ2 権限と複雑なAPIコールシーケンスに依存する最先端のMLベースの手法と比較して、システムAPIベースの検出の性能はどの程度か？
• RQ3 マルウェア作者が一般的に使用する静的オブスカレーション技術に対して、システムAPIベースの検出はどの程度耐性を示すか？
• RQ4 提案されたシステムは、トレーニング中に確認されていなかった（ゼロデイの）ランサムウェアサンプルを、信頼性の高い精度で検出できるか？
• RQ5 低遅延とユーザーのプライバシーを確保する上で、システムAPI分析に基づく軽量でオンデバイス型検出システムの実装は可能か？

主な発見

• システムAPIベースの検出アプローチは、権限や低レベルのシステムコールに依存するより複雑な最先端の手法と同等のランサムウェアおよび一般マルウェアの検出精度を達成した。
• この手法は静的オブスカレーション攻撃に対して強く、マルウェアコードが検出を回避するためにオブスカレーションされても、高い検出率を維持した。
• トレーニング中に確認されていなかった新しいランサムウェアサンプルを正常に検出できたため、ゼロデイ脅威への一般化能力が優れていた。
• メソッドレベルのシステムAPIコールに基づく手法が、テストされた3つの細分化レベルの中で最高の検出精度を示した。
• 最終的なR-PackDroid実装により、ネットワーク送信を必要とせず、リアルタイムかつオンデバイスでの検出が可能になった。プライバシーと低遅延が保証された。
• システムAPI情報の使用により、ブラックボックス型MLモデルと比較して説明可能性が著しく向上した。検出ロジックは、特定のシステムレベルの行動に追跡可能である。