[논문 리뷰] Context-aware System Service Call-oriented Symbolic Execution of Android Framework with Application to Exploit Generation

Lannan Luo, Qiang Zeng외 8명|arXiv (Cornell University)|2016. 11. 02.

Advanced Malware Detection Techniques참고 문헌 26인용 수 4

한 줄 요약

이 논문은 Android Framework의 기호적 실행을 위한 첫 번째 시스템인 Centaur를 제안한다. 이는 자동 악성코드 생성과 취약성 탐지 기능을 제공한다. 상태 공간 폭발 문제를 해결하기 위해 초기화 단계의 실제 실행과 기반 컨텍스트 마이그레이션 및 슬림 타이닝 기법을 사용한 기호적 실행을 분리함으로써, Android Framework의 시스템 서비스 호출 취약성에 대한 확장 가능한 분석을 가능하게 한다. 이는 악성코드 생성과 버그 탐지 모두에서 효과적임을 입증한다.

ABSTRACT

Android Framework is a layer of software that exists in every Android system managing resources of all Android apps. A vulnerability in Android Framework can lead to severe hacks, such as destroying user data and leaking private information. With tens of millions of Android devices unpatched due to Android fragmentation, vulnerabilities in Android Framework certainly attract attackers to exploit them. So far, enormous manual effort is needed to craft such exploits. To our knowledge, no research has been done on automatic generation of exploits that take advantage of Android Framework vulnerabilities. We make a first step towards this goal by applying symbolic execution of Android Framework to finding bugs and generating exploits. Several challenges have been raised by the task. (1) The information of an app flows to Android Framework in multiple intricate steps, making it difficult to identify symbolic inputs. (2) Android Framework has a complex initialization phase, which exacerbates the state space explosion problem. (3) A straightforward design that builds the symbolic executor as a layer inside the Android system will not work well: not only does the implementation have to ensure the compatibility with the Android system, but it needs to be maintained whenever Android gets updated. We present novel ideas and techniques to resolve the challenges, and have built the first system for symbolic execution of Android Framework. It fundamentally changes the state of the art in exploit generation on the Android system, and has been applied to constructing new techniques for finding vulnerabilities.

연구 동기 및 목표

• 광범위하게 사용되며 패치되지 않은 기기들이 많아 중요한 취약성인 Android Framework 취약성에 대한 자동 악성코드 생성 기법의 부족을 해결한다.
• Android Framework의 복잡한 데이터 흐름 속에서 악성 앱에서 유래한 기호적 입력을 식별하는 데 도전 과제를 해결한다.
• 기호적 실행 중 프레임워크의 복잡한 초기화 단계로 인한 상태 공간 폭발 문제를 완화한다.
• Android 런타임에서 기호적 실행을 분리하여 Android 업데이트에 대비한 유지보수성과 호환성을 확보한다.
• 통합된 기호적 실행 프레임워크 내에서 취약성 탐지와 자동 악성코드 생성을 동시에 구현한다.

제안 방법

• Android 런타임(ART) 가상 머신에서 실제 실행을 사용하여 초기화 단계를 시뮬레이션하고 실행 컨텍스트를 캡처한다.
• ART에서 독립형 자바 가상 머신으로 실행 컨텍스트를 마이그레이션하여 기호적 실행을 Android 시스템에서 분리한다.
• 특징적인 액세스 패턴을 분석하여 슬림 타이닝을 적용함으로써 악성 앱에서 유래한 변수를 기호적 입력으로 식별한다.
• 마이그레이션된 컨텍스트를 기반으로 기호적 실행 경로를 구성하며, 악성코드 생성의 진입점으로서 시스템 서비스 호출에 집중한다.
• 기본 실행과 기호적 실행을 통합하여 비현실적인 경로 탐색을 방지하고 상태 공간 폭발을 줄인다.
• 기본 실행이 컨텍스트를 설정하고 기호적 실행이 악성코드 관련 경로를 탐색하는 두 계층 아키텍처를 설계한다.

실험 결과

연구 질문

• RQ1 복잡한 초기화 및 큰 상태 공간을 가진 Android Framework에 대해 기호적 실행을 효과적으로 적용할 수 있는가?
• RQ2 Android Framework의 데이터 흐름 맥락에서 악성 앱에서 유래한 기호적 입력을 식별할 수 있는 기법은 무엇인가?
• RQ3 기호적 실행을 Android 런타임에서 분리하여 OS 업데이트에 대비한 장기적 유지보수성을 확보할 수 있는가?
• RQ4 Android Framework의 기호적 실행이 실세계의 시스템 서비스 취약성을 노린 실제 악성코드를 자동으로 생성할 수 있는가?
• RQ5 이 방법론은 Android Framework의 제로데이 취약성 탐지에 얼마나 기여할 수 있는가?

주요 결과

• Centaur는 기호적 실행을 Android Framework에 적용하는 데 성공하였으며, 우리 지식으로는 이는 첫 번째 시스템이다.
• 기본 실행을 통한 초기화와 컨텍스트 마이그레이션을 통해 상태 공간 폭발 문제를 완화하였으며, 전체 초기화 단계를 기호적으로 탐색할 필요가 없어졌다.
• 특징적인 액세스 패턴을 추적함으로써 슬림 타이닝이 악성 앱에서 유래한 기호적 입력을 효과적으로 식별하여 기호적 실행에서의 오류 경로 수를 줄였다.
• 메모리 사용량과 실행 시간 비교 결과, Centaur는 기계적 기호적 실행 접근 방식(예: UCSE)보다 경로 폭발을 피함으로써 성능에서 뛰어난 성능을 보였다.
• 실제 Android Framework 컴포넌트에 대한 평가를 통해 취약성 탐지와 자동 악성코드 생성 모두에서 효과적인 프레임워크임을 입증하였다.
• 다양한 시스템 서비스와 앱 간 상호작용을 포함한 복잡한 컨텍스트 인식 악성코드 생성의 가능성도 입증하였다.