[논문 리뷰] DeepCatra: Learning Flow- and Graph-based Behaviors for Android Malware Detection

Yafei Wu, Jian Shi외 3명|arXiv (Cornell University)|2022. 01. 30.

Advanced Malware Detection Techniques인용 수 6

한 줄 요약

DeepCatra는 공개된 취약성에서 파생된 중요 API의 호출 트레이스를 활용하여 양방향 LSTM(BiLSTM) 및 그래프 신경망(GNN) 모델을 결합한 다중 시각(multi-view) 딥러닝 프레임워크를 제안한다. 이는 BiLSTM를 위한 시간적 옵코드 시퀀스 추출과 GNN를 위한 이질적 추상 흐름 그래프 구축을 통해 실제 데이터셋에서 최신 기술 대비 F1 측정치 2.7%에서 14.6% 향상시키며 악성 소프트웨어 탐지 성능을 향상시킨다.

ABSTRACT

As Android malware is growing and evolving, deep learning has been introduced into malware detection, resulting in great effectiveness. Recent work is considering hybrid models and multi-view learning. However, they use only simple features, limiting the accuracy of these approaches in practice. In this paper, we propose DeepCatra, a multi-view learning approach for Android malware detection, whose model consists of a bidirectional LSTM (BiLSTM) and a graph neural network (GNN) as subnets. The two subnets rely on features extracted from statically computed call traces leading to critical APIs derived from public vulnerabilities. For each Android app, DeepCatra first constructs its call graph and computes call traces reaching critical APIs. Then, temporal opcode features used by the BiLSTM subnet are extracted from the call traces, while flow graph features used by the GNN subnet are constructed from all the call traces and inter-component communications. We evaluate the effectiveness of DeepCatra by comparing it with several state-of-the-art detection approaches. Experimental results on over 18,000 real-world apps and prevalent malware show that DeepCatra achieves considerable improvement, e.g., 2.7% to 14.6% on F1-measure, which demonstrates the feasibility of DeepCatra in practice.

연구 동기 및 목표

• 기존 탐지 기법으로부터 회피하는 고도로 정교한 안드로이드 악성 소프트웨어를 탐지하기 위해 미세한 행동 특징을 활용하는 데에 도전한다.
• 옵코드 시퀀스에서 유도된 시간적 특징과 컴포넌트 간 및 중요 API 흐름에서 유도된 구조적 그래프 특징을 통합하여 탐지 정확도를 향상시킨다.
• 공개된 취약성 지식(예: CVEs)에 기반한 특징을 통해 모델의 해석 가능성과 강건성을 향상시킨다.
• 멀티뷰 학습과 이질적 그래프 표현을 결합한 스케일링 가능한 하이브리드 딥러닝 모델을 개발하는 것

제안 방법

• 텍스트 마이닝을 사용하여 공개된 취약성 레포지터리(예: CVEs)에서 중요 API의 집합을 추출하여 고위험 시스템 호출을 식별한다.
• 각 안드로이드 앱의 정적 호출 그래프를 구축하고, 중요 API로 끝나는 호출 트레이스를 추출하여 악성 행동 경로를 포착한다.
• 이러한 호출 트레이스에서 샘플링한 옵코드 시퀀스를 BiLSTM 하위망의 입력으로 사용하여 시간적 행동 패턴을 모델링한다.
• 중요 API 간선과 컴포넌트 간 통신(ICC) 간선을 통합하여 이질적 추상 흐름 그래프를 구축하고, 흐름 유형을 간선 레이블로 인코딩하여 GNN 입력으로 사용한다.
• 개별 BiLSTM 및 GNN 브랜치를 갖는 하이브리드 딥러닝 모델을 훈련하고, 최종 분류를 위해 출력을 무게 없는 평균화로 통합한다.
• 모델 효율성과 표현 학습 최적화를 위해 차원 축소 및 특징 융합 기법을 적용한다.

실험 결과

연구 질문

• RQ1 취약성 유래 중요 API 호출 트레이스 통합이 복잡한 안드로이드 악성 소프트웨어 행동 탐지에 기여하는가?
• RQ2 BiLSTM를 통한 시간적 옵코드 시퀀스와 GNN를 통한 구조적 흐름 그래프를 융합한 다중 시각 학습 접근법이 악성 소프트웨어 탐지에 얼마나 효과적인가?
• RQ3 특히 컴포넌트 간 통신을 포함한 이질적 흐름 유형을 모델링함으로써, 정상 앱과 악성 앱을 구분하는 능력이 향상되는가?
• RQ4 허위 경로나 일반적인 특징 추출 방식에 비해 실제 세계의 취약성 지식(예: CVEs)을 사용할 경우 탐지 성능 향상 정도는 어느 정도인가?

주요 결과

• DeepCatra는 18,000개 이상의 실제 안드로이드 앱 및 악성 소프트웨어 샘플로 구성된 데이터셋에서 최신 기술 대비 F1 측정치 2.7%에서 14.6% 향상시켰다.
• BiLSTM를 통한 시간적 옵코드 시퀀스와 GNN를 통한 이질적 흐름 그래프 통합이 뛰어난 탐지 성능을 이끌어내었으며, CNN, LSTM 또는 GCN 기반 모델보다 뛰어난 성능을 보였다.
• 공개된 취약성 보고서에서 파생된 중요 API 호출 트레이스 사용은 특징의 관련성과 탐지 정확도를 크게 향상시켰다.
• 컴포넌트 간 통신 간선이 포함된 추상 흐름 그래프가 다양한 흐름 유형을 포괄하여 악성 공모 패턴과 정상 행동을 구분하는 데 기여했다.
• 공개된 소스 코드와 훈련된 모델을 제공함으로써 복잡한 실제 안드로이드 애플리케이션에서 모델의 강건성과 확장성을 입증하였다.