[論文レビュー] Stimulation and Detection of Android Repackaged Malware with Active Learning

Aleieldin Salem|arXiv (Cornell University)|Aug 3, 2018

Advanced Malware Detection Techniques参考文献 28被引用数 4

ひとこと要約

本論文では、反復的な刺激と最適化によってAndroid再パッケージ化マルウェアの行動的表現を向上させることで検出精度を向上させる、アクティブラーニングフレームワークAionを提案する。分類器がより情報量の多いランタイム実行を要求できるようにすることで、AionはPiggybackingデータセットで72%のテストF1スコアを達成し、従来の手法を上回る、悪意あるペイロードを健全なアプリに隠蔽したマルウェアの検出性能を示した。

ABSTRACT

Repackaging is a technique that has been increasingly adopted by authors of Android malware. The main problem facing the research community working on devising techniques to detect this breed of malware is the lack of ground truth that pinpoints the malicious segments grafted within benign apps. Without this crucial knowledge, it is difficult to train reliable classifiers able to effectively classify novel, out-of-sample repackaged malware. To circumvent this problem, we argue that reliable classifiers can be trained to detect repackaged malware, if they are allowed to request new, more accurate representations of an app's behavior. This learning technique is referred to as active learning. In this paper, we propose the usage of active learning to train classifiers able to cope with the ambiguous nature of repackaged malware. We implemented an architecture, Aion, that connects the processes of stimulating and detecting repackaged malware using a feedback loop depicting active learning. Our evaluation of a sample implementation of Aion using two malware datasets (Malgenome and Piggybacking) shows that active learning can outperform conventional detection techniques and, hence, has great potential to detect Android repackaged malware.

研究の動機と目的

• 再パッケージ化マルウェア検出におけるグランドトゥースの欠如、すなわち訓練データ内で悪意あるコードセグメントが明確に特定されていないという課題に対処すること。
• 訓練中にアプリの行動を動的でフィードバック駆動の探索によって向上させることで、分類器の性能を向上させること。
• 悪意あるコードの場所に正確なラベルがないにもかかわらず、再パッケージ化マルウェアを効果的に刺激し検出できるシステムの開発。
• アクティブラーニングが、静的または従来の動的検出手法に比べて再パッケージ化マルウェアを同定する際に優れているかどうかを評価すること。
• 再パッケージ化されたAndroidマルウェアの意味的・行動的特徴に焦点を当てた、将来の検出技術の基盤を構築すること。

提案手法

• Aionアーキテクチャは、誤分類されたアプリが新たな刺激戦略を用いて再実行を引き起こすフィードバックループを実装している。
• 訓練中にアクティブラーニングを適用する：分類器がアプリを誤分類すると、より優れた特徴表現を得るために新たな実行パスを要求する。
• 複数回の実行からの特徴ベクトルを集約（例：多数決投票）することで、各アプリのより正確な行動的プロファイルを形成する。
• 動的分析を用いて、特に隠された悪意あるペイロードを引き起こす可能性の高い実行パスから、行動的シグネチャ（例：APIコールトレース）を抽出する。
• 最大分類精度に達するまで訓練ループを継続し、アプリの包括的な行動的カバレッジが得られたことを示す。
• 本手法は、標準的な機械学習分類器を用いて動的に最適化された特徴セット上で学習させた、MalgenomeおよびPiggybackingの2つのデータセットで評価された。

実験結果

リサーチクエスチョン

• RQ1 反復的な刺激によって行動的表現を最適化することで、アクティブラーニングは再パッケージ化されたAndroidマルウェアの検出を向上させることができるか？
• RQ2 アクティブラーニングの性能は、従来の静的または動的検出手法と比較して、再パッケージ化アプリ内の悪意あるペイロードを同定する際に優れているか？
• RQ3 実行イテレーション回数が、再パッケージ化マルウェアに隠された悪意ある行動を検出する能力にどの程度相関しているか？
• RQ4 実行パスのフィードバック駆動の探索は、未知のテストアプリに対してより良い一般化性能と高いF1スコアを達成できるか？
• RQ5 悪意あるコードの場所にグランドトゥースがないことは検出を著しく妨げるか？また、アクティブラーニングはこの制限を緩和できるか？

主な発見

• アクティブラーニングに基づく分類器は、Piggybackingデータセットで72%のテストF1スコアを達成し、従来の手法に比べて検出能力が向上していることを示した。
• フィードバック駆動の実行を通じて反復的に行動的表現を最適化することで、グランドトゥースの欠如という課題を効果的に緩和した。
• 高い精度に到達するまでの実行イテレーション回数は、隠された悪意あるペイロードを検出する複雑さと相関しており、刺激の深さと検出効果の間に相関があることを示唆している。
• アクティブラーニングは、再パッケージ化マルウェアの曖昧さや隠蔽性に柔軟に対応できる動的適応により、従来の検出技術を上回った。
• 評価結果から、反復的な刺激がより良い特徴表現をもたらし、巧妙に埋め込まれた悪意ある行動を有するアプリの分類をより正確に可能にしていることが確認された。
• 結果から、アクティブラーニングは、悪意あるコードセグメントの正確なラベルが得られない状況においても、実用的かつ効果的な再パッケージ化マルウェア検出手法であることが示された。