[논문 리뷰] A Comparative Analysis of Android Malware

Neeraj Chavan, Fabio Di Troia외 1명|arXiv (Cornell University)|2019. 01. 21.

Advanced Malware Detection Techniques참고 문헌 19인용 수 4

한 줄 요약

이 논문은 기계학습을 사용하여 안드로이드 악성코드를 정적이고 허가 기반으로 탐지하고 분류하는 방법을 제안한다. 높은 영향력을 지닌 권한의 축소된 집합을 특징으로 활용함으로써, 랜덤 포레스트와 인공 신경망을 사용하여 악성코드 탐지 정확도가 97% 이상, 분류 정확도가 95% 이상을 달성한다. 이는 악성코드 회피 시도가 있더라도 권한 분석이 여전히 강력하고 효율적인 방어 수단임을 보여준다.

ABSTRACT

In this paper, we present a comparative analysis of benign and malicious Android applications, based on static features. In particular, we focus our attention on the permissions requested by an application. We consider both binary classification of malware versus benign, as well as the multiclass problem, where we classify malware samples into their respective families. Our experiments are based on substantial malware datasets and we employ a wide variety of machine learning techniques, including decision trees and random forests, support vector machines, logistic model trees, AdaBoost, and artificial neural networks. We find that permissions are a strong feature and that by careful feature engineering, we can significantly reduce the number of features needed for highly accurate detection and classification.

연구 동기 및 목표

• 정적 권한이 안드로이드 악성코드 탐지 및 분류에 효과적인 특징으로 사용될 수 있는지 평가하기 위해.
• 권한 수를 줄임으로써 효율성을 높일 수 있고, 동시에 높은 탐지 정확도를 유지할 수 있는지 조사하기 위해.
• 이중 분류 및 다중 분류 설정에서 랜덤 포레스트, 서포트 벡터 머신(SVM), 인공 신경망(ANN), LMT, 부스팅 모델을 비교하기 위해.
• 권한 감소 또는 추가와 같은 일반적인 회피 기법에 대해 권한 기반 탐지의 내성 여부를 평가하기 위해.
• 저비용 계산 부하로 인해 모바일 장치에 이러한 모델을 구현할 수 있는지 실용성 여부를 판단하기 위해.

제안 방법

• 안드로이드 매니페스트 파일에서 정적 특징을 수집하였으며, 전적으로 요청된 권한에 집중하였다.
• 다양한 기계학습 모델을 적용하였으며, 랜덤 포레스트, J48 결정 트리, LMT, 선형 SVM, AdaBoost, 그리고 두 개의 은닉층을 가진 피드포워드 인공 신경망을 포함하였다.
• 통계적 및 모델 기반 선택을 통해 예측 능력을 유지하면서도 권한 수를 줄이는 특징 공학 기법을 적용하였다.
• 이중 분류 및 다중 분류 설정에서 별도로 평가하기 위해, 악성 및 양성 앱을 포함한 대규모 실세계 악성코드 데이터셋을 기반으로 모델을 훈련시켰다.
• 랜덤 포레스트 실험에서는 100개의 트리를 사용하였고, 신경망의 경우 ReLU 및 시그모이드 활성화 함수를 사용하여 100회의 에포크 동안 훈련하였다.
• 정밀도, AUC, 혼동 행렬을 사용하여 성능을 평가하였으며, 특히 악성코드 가족 간의 잘못 분류 패턴을 분석하였다.

실험 결과

연구 질문

• RQ1 작고 신중하게 선택된 안드로이드 권한의 소 subset이 악성코드 탐지 및 분류에 효과적이고 효율적인 특징 집합이 될 수 있는가?
• RQ2 다양한 기계학습 모델이 권한 특징 기반으로 안드로이드 악성코드를 분류할 때 성능에 어떤 차이가 있는가?
• RQ3 악성코드가 일반 권한을 감소시키거나 추가함으로써 탐지를 회피할 수 있는 정도는 어느 정도이며, 권한 기반 탐지 방식은 여전히 강건한가?
• RQ4 이중 분류(악성코드 대 양성)와 다중 분류(가족 수준 식별) 간에 모델 성능은 어떻게 달라지는가?
• RQ5 낮은 계산 요구량으로 인해 제안된 접근 방식이 모바일 장치에 효율적으로 구현될 수 있는가?

주요 결과

• 최소한의 권한 집합으로도 높은 정확도의 악성코드 탐지가 가능하며, 특징 수를 줄여도 성능 저하 없이 유지된다.
• 랜덤 포레스트는 이중 분류에서 약 97%의 최고 테스트 정확도를 기록했고, 균형 잡힌 데이터셋에서 다중 분류에서는 거의 95%의 정확도를 달성했다.
• 감소된 특징 집합을 사용하여 인공 신경망은 이중 분류에서 AUC 0.9920을 기록하여 뛰어난 분류 능력을 보였다.
• 매우 불균형한 데이터셋(실세계 조건 반영)에서도 ANN 모델은 테스트 정확도가 96%를 초과하는 것으로 유지되었다.
• 다중 분류에서의 잘못 분류 현상은 흩어져 있었으며, 주로 10개 미만의 샘플을 가진 작은 악성코드 가족에 영향을 미쳤다.
• 본 연구는 권한 기반 탐지 방식이 권한 감소 또는 양성 권한 삽입과 같은 일반적인 회피 기법에도 여전히 강건함을 입증하였다.