[논문 리뷰] A Preliminary Study On the Sustainability of Android Malware Detection

Haipeng Cai|arXiv (Cornell University)|2018. 01. 01.

Advanced Malware Detection Techniques참고 문헌 37인용 수 6

한 줄 요약

이 논문은 안드로이드용 동적 악성코드 탐지 시스템인 DroidSpan을 제안한다. 이 시스템은 민감한 소스, 싱크, 제어 흐름의 메서드 수준 호출을 캡처하는 새로운 행동 프로파일인 민감한 액세스 분포(Sensitive Access Distribution, SAD)를 사용한다. 7년에 걸쳐 6,000개의 앱을 분석한 결과, 저자들은 재학습 없이 4년간 F1 스코어 93%를 유지하고 5년간 81%를 유지함으로써 최신 기술 대비 지속 가능성과 회피 기법에 대한 저항성에서 뛰어난 성능을 입증한다.

ABSTRACT

Machine learning-based malware detection dominates current security defense approaches for Android apps. However, due to the evolution of Android platforms and malware, existing such techniques are widely limited by their need for constant retraining that are costly, and reliance on new malware samples that may not be timely available. As a result, new and emerging malware slips through, as seen from the continued surging of malware in the wild. Thus, a more practical detector needs not only to be accurate but, more critically, to be able to sustain its capabilities over time without frequent retraining. In this paper, we study how Android apps evolve as a population over time, in terms of their behaviors related to accesses to sensitive information and operations. We first perform a longitudinal characterization of 6K benign and malicious apps developed across seven years, with focus on these sensitive accesses in app executions. Our study reveals, during the long evolution, a consistent, clear differentiation between malware and benign apps regarding such accesses, measured by relative statistics of relevant method calls. Following these findings, we developed DroidSpan, a novel classification system based on a new behavioral profile for Android apps. Through an extensive evaluation, we showed that DroidSpan can not only effectively detect malware but sustain high detection accuracy (93% F1 measure) for four years (with 81% F1 for five years). Through a dedicated study, we also showed its resiliency to sophisticated evasion schemes. By comparing to a state-of-the-art malware detector, we demonstrated the largely superior sustainability of our approach at reasonable costs.

연구 동기 및 목표

• 안드로이드 앱의 민감한 액세스 패턴 측면에서 장기적인 행동적 진화를 조사하는 것.
• 지속적인 재학습이 필요 없는 기계학습 기반 악성코드 탐지에서의 지속 가능성 문제를 해결하는 것.
• 지속적인 재학습이나 새로운 악성코드 샘플에 의존하지 않고도 장기간 높은 정확도를 유지하는 탐지 시스템을 개발하는 것.
• 제안된 방법이 복잡한 오브스큐레이션 및 회피 기법에 대해 얼마나 저항력이 있는지 평가하는 것.

제안 방법

• 논문은 앱 실행 중 민감한 소스, 싱크, 제어 흐름의 메서드 수준 호출의 범위와 분포를 캡처하는 새로운 행동 프로파일인 민감한 액세스 분포(Sensitive Access Distribution, SAD)를 도입한다.
• SAD는 정적 분석에 비해 비용이 낮은 런타임 트레이스 기반 경량 바이트코드 인스트루멘테이션을 통해 계산된다.
• 시스템은 트레이싱된 메서드 호출에서 민감한 동작과 그 흐름 패턴에 집중하여 총 52개의 동적 특징을 구성한다.
• 7년에 걸쳐 6,000개의 정상 및 악성 앱에 대한 종단적 분석을 통해 악성 앱과 정상 앱 간의 SAD 프로파일 간 일관된 차이를 확인했다.
• DroidSpan은 SAD 프로파일에 기반한 분류기로 악성코드를 탐지하며, 시간이 지나도 재학습이 필요하지 않다.
• 방식은 교차 검증 및 실제 앱, 악성 샘플, 에뮬레이터 기반의 회피 테스트를 포함한 독립적 테스트를 통해 평가된다.

실험 결과

연구 질문

• RQ1 안드로이드 앱의 민감한 액세스 패턴은 시간이 지남에 따라 어떻게 변화하는가, 특히 정상 앱과 악성 앱 간의 차이가 있는가?
• RQ2 민감한 액세스 분포 기반의 동적 행동 프로파일이 재학습 없이 수년에 걸쳐 높은 탐지 정확도를 유지할 수 있는가?
• RQ3 제안된 탐지 시스템은 제어 흐름 평탄화 및 API 호출 오브스큐레이션과 같은 오브스큐레이션 및 회피 기법에 얼마나 저항력이 있는가?
• RQ4 MamaDroid와 같은 최신 기술 대비 DroidSpan의 장기 정확도 및 지속 가능성 측면에서 성능은 어떻게 비교되는가?

주요 결과

• SAD 프로파일은 안드로이드 플랫폼의 진화에도 불구하고 7년에 걸쳐 정상 앱과 악성 앱 간 민감한 액세스 패턴에서 일관되고 명확한 차이를 드러낸다.
• DroidSpan은 재학습 없이 4년간 F1 스코어 93%를 유지하고 5년간 81%를 유지하며, 기존 방법들보다 뚜렷이 뛰어난 성능을 보인다.
• 시스템은 제어 흐름 오브스큐레이션 및 에뮬레이터 기반의 회피 기법에 대해 강력한 저항성을 보이며, 성능 저하가 최소한이다.
• MamaDroid와 비교해 DroidSpan은 더 오랜 기간 동안 높은 정확도를 유지하며, 합리적인 계산 비용으로 뛰어난 지속 가능성을 확보한다.
• 종단적 분석 결과, 정상 앱은 악성 앱보다 SAD 프로파일에서 더 높은 안정성을 보이며, 이는 본 방법의 장기적 타당성을 뒷받침한다.
• 평가 결과, SAD를 통한 동적 프로파일링이 실제 앱과 악성 샘플에 적용되더라도 효과적이고 강건함을 확인했다.