[논문 리뷰] BPFroid: Robust Real Time Android Malware Detection Framework

Yaniv Agman, Danny Hendler|arXiv (Cornell University)|2021. 05. 29.

Advanced Malware Detection Techniques참고 문헌 20인용 수 10

한 줄 요약

BPFroid는 실제 기기에서 실시간으로 악성 행동을 감지할 수 있는 새로운 Android 악성코드 탐지 프레임워크로, eBPF를 활용해 시스템 호출, 네이티브 라이브러리 함수, Android 프레임워크 API 호출 및 커널 함수를 직접 모니터링한다. 시스템 수정이나 루트 권한이 필요 없이도 초기 설정 이후에 강력하고 저비용의 런타임 감지를 가능하게 하며, 성능에 거의 영향을 주지 않으면서도 실시간으로 의심스러운 활동을 경고한다.

ABSTRACT

We present BPFroid -- a novel dynamic analysis framework for Android that uses the eBPF technology of the Linux kernel to continuously monitor events of user applications running on a real device. The monitored events are collected from different components of the Android software stack: internal kernel functions, system calls, native library functions, and the Java API framework. As BPFroid hooks these events in the kernel, a malware is unable to trivially bypass monitoring. Moreover, using eBPF doesn't require any change to the Android system or the monitored applications. We also present an analytical comparison of BPFroid to other malware detection methods and demonstrate its usage by developing novel signatures to detect suspicious behavior that are based on it. These signatures are then evaluated using real apps. We also demonstrate how BPFroid can be used to capture forensic artifacts for further investigation. Our results show that BPFroid successfully alerts in real time when a suspicious behavioral signature is detected, without incurring a significant runtime performance overhead.

연구 동기 및 목표

• 고도화된 회피 기법에 대응하지 못하는 기존 정적 분석 및 샌드박스 기반 Android 악성코드 탐지 방법의 한계를 해결하기 위해.
• 시스템 수정이 필요 없이 실제 Android 기기에서 실시간으로 작동하는 동적 분석 프레임워크를 개발하기 위해.
• eBPF의 커널 수준 인스트루멘테이션 기능을 활용해 악성코드가 회피를 시도하는 것을 방지할 수 있는 강력한 보안 보장을 제공하기 위해.
• Android 프레임워크 API, 시스템 호출, 커널 함수의 세밀한 모니터링을 통해 고도화된 악성코드 행동을 탐지하기 위해.
• eBPF를 활용한 엔드포인트 수준의 Android 악성코드 탐지가 실제 기기에서 최소한의 성능 오버헤드로 구현 가능함을 입증하기 위해.

제안 방법

• Android 기기의 Linux 커널에 BPF 프로그램을 삽입하여 런타임 중 시스템 수준 이벤트를 모니터링하기 위해 eBPF를 활용한다.
• ART의 AOT 컴파일 및 정적 코드 분석을 활용해 사전 컴파일된 Android 프레임워크 API 함수의 주소를 확보하고, uprobes를 사용해 이 함수들에 훅을 걸어준다.
• Android 소프트웨어 스택의 여러 계층을 모니터링한다: 자바 API 프레임워크 호출, 네이티브 라이브러리 함수, 시스템 호출, 내부 커널 함수.
• 모든 모니터링 이벤트로부터 행동 텔레메트리 데이터를 수집하고, 이를 사용자 정의 행동 서명을 통해 의심스러운 패턴을 탐지하는 데 활용한다.
• 런타임 중 모니터링된 이벤트를 영구 저장하여 실시간 경고 및 포렌식 아티팩트 수집을 가능하게 한다.
• 기계 학습 또는 고급 분석을 위한 추가 처리를 위해 수집된 데이터를 내보내어 원격 분석 파이프라인과의 통합을 지원한다.

실험 결과

연구 질문

• RQ1 eBPF는 시스템 수정 없이도 실제 기기에서 작동하는 실시간, 생산용 Android 악성코드 탐지 시스템을 구축하는 데 효과적으로 활용될 수 있는가?
• RQ2 BPFroid의 모니터링 커버리지가 기존 프레임워크와 비교해 애플리케이션-OS 상호작용에 대한 가시성 측면에서 어떻게 다른가?
• RQ3 BPFroid의 eBPF 기반 접근 방식이 샌드박스 환경을 감지하는 악성코드의 회피 기법을 어느 정도 효과적으로 방지하는가?
• RQ4 실제 기기에서 실제 애플리케이션을 모니터링할 경우 BPFroid의 런타임 성능 오버헤드는 어느 정도인가?
• RQ5 BPFroid는 저수준 시스템 이벤트에서 유도된 새로운 행동 서명을 사용해 기존에 알려진 악성 행동을 탐지할 수 있는가?

주요 결과

• BPFroid는 eBPF로 추적한 이벤트에서 파생된 행동 서명을 사용해 실제 Android 기기에서 악성 행동을 실시간으로 탐지하는 데 성공했다.
• 이 프레임워크는 최소한의 런타임 성능 오버헤드를 유발하여 생산 환경에 배포하기에 적합하다.
• eBPF 기반 모니터링은 커널 수준에 훅이 배치되어 있어 악성코드가 간단히 이를 우회하는 것을 방지하는 강력한 보안 경계를 제공한다.
• BPFroid는 모니터링된 이벤트에서 포렌식 아티팩트를 캡처할 수 있어 의심스러운 행동의 사후 분석을 가능하게 한다.
• 모의 환경에 의존하지 않고 기기에서 직접 작동하기 때문에 샌드박스 회피 기법에 대해 뛰어난 강건성을 보였다.
• BPFroid의 아키텍처는 확장 가능하며, 향후 확장 시 정적 분석과의 통합 또는 정책 강제 수단을 추가로 구현할 수 있다.