[논문 리뷰] A Large-Scale Empirical Study on Industrial Fake Apps

Chongbin Tang, Sen Chen외 5명|arXiv (Cornell University)|2019. 02. 02.

Advanced Malware Detection Techniques참고 문헌 22인용 수 5

한 줄 요약

이 논문은 중국에서 인기 있는 상위 50개 앱과 관련된 150,000개 이상의 샘플을 분석하여 산업적 가짜 안드로이드 앱에 대한 최초의 대규모 실증 연구를 제시한다. 여러 차원—예를 들어 인증서, 앱 이름, 패키지 이름, 시기 등—에서 메타데이터 기반 분석을 통해 가짜 앱의 특성, 이름 지정 추세, 회피 전략을 규명하였으며, 주요 발견으로는 알려진 취약성이 있는 바이러스가 있는 V1 서명 체계가 여전히 널리 사용되고 있음을 확인하였다.

ABSTRACT

While there have been various studies towards Android apps and their development, there is limited discussion of the broader class of apps that fall in the fake area. Fake apps and their development are distinct from official apps and belong to the mobile underground industry. Due to the lack of knowledge of the mobile underground industry, fake apps, their ecosystem and nature still remain in mystery. To fill the blank, we conduct the first systematic and comprehensive empirical study on a large-scale set of fake apps. Over 150,000 samples related to the top 50 popular apps are collected for extensive measurement. In this paper, we present discoveries from three different perspectives, namely fake sample characteristics, quantitative study on fake samples and fake authors' developing trend. Moreover, valuable domain knowledge, like fake apps' naming tendency and fake developers' evasive strategies, is then presented and confirmed with case studies, demonstrating a clear vision of fake apps and their ecosystem.

연구 동기 및 목표

• 가짜 안드로이드 앱의 특성과 생태계를 체계적으로 조사함으로써, 그 존재가 널리 퍼져 있음에도 불구하고 여전히 이해가 부족한 분야를 해소하고자 한다.
• 산업용 모바일 암시장 내 가짜 앱의 규모와 정량적 특성을 측정하고자 한다.
• 실제 사례 연구를 통해 가짜 앱 개발자들이 사용하는 행동 패턴과 회피 기법을 밝혀내고자 한다.
• 학계 및 산업계에서의 탐지 및 완화 전략 개선을 위한 실질적인 통찰을 제공하고자 한다.

제안 방법

• 중국의 상위 50개 인기 앱을 중심으로 실제 시장에서 150,000개 이상의 앱 데이터 항목을 수집하였다.
• 메타데이터 비교 및 서명 분석을 통해 52,638개의 가짜 샘플을 식별하였다.
• 8개의 핵심 메타데이터 항목을 추출하고 분석함: 서명 체계, 앱 크기, 앱 이름, 패키지 이름, 버전, 타임스탬프, 아이콘 유사도, 서명 체계.
• 데이터의 진위성과 확장성을 확보하기 위해 Pwnzen Infotech Inc.와의 산업 협력을 활용하였다.
• 대규모 처리 가능성을 확보하기 위해 무거운 정적/동적 분석 대신 메타데이터 기반 분석을 적용하였다.
• 실제 사례 연구를 통해 발견 내용을 검증하고, 기존의 알려진 가짜 앱 패tern과 교차 확인하였다.

실험 결과

연구 질문

• RQ1 이름, 패키지 이름, 서명과 같은 메타데이터 측면에서 가짜 앱의 구분 특성은 무엇인가?
• RQ2 실제 인기 앱 중에서 가짜 앱은 얼마나 퍼져 있으며, 다양한 앱들 사이에 어떻게 분포되어 있는가?
• RQ3 가짜 앱 개발자들은 서명 체계와 앱 이름 측면에서 어떤 회피 전략을 사용하는가?
• RQ4 가짜 앱 개발자들은 어떤 방식으로 공식 앱의 구조와 메타데이터를 모방하는가?

주요 결과

• 150,000개 이상의 데이터 항목을 수집하였으며, 그 중 52,638개가 확인된 가짜 샘플로, 시장 내 가짜 앱의 막대한 존재를 시사한다.
• 분석한 17개의 가짜 샘플 전부가 알려진 보안 결함이 있는 오래된 V1 서명 체계를 사용하고 있었으며, 현대적이고 안전한 서명 체계의 도입이 부족함을 보여준다.
• 가짜 앱은 공식 앱과 유사한 이름과 패키지 이름을 사용하여 사용자를 속이는 강한 유사성 특성을 보이며, 뚜렷한 모방 행위를 한다.
• 가짜 개발자들은 여러 가짜 변종에서 동일한 앱 이름과 패키지 이름을 반복적으로 재사용하여 체계적이고 확장 가능한 제작 방식을 취하고 있음을 확인하였다.
• 많은 수의 가짜 앱이 동일하거나 거의 동일한 메타데이터(아이콘, 버전 번호 포함)를 공유하고 있어, 조율된 또는 자동화된 생성 방식임을 시사한다.
• 이 연구는 가짜 앱 제작이 매우 확장 가능하고 체계적이며, 개발자들이 탐지 회피를 위해 일관된 전략을 사용하고 있음을 확인하였다.