[논문 리뷰] DroidNative: Semantic-Based Detection of Android Native Code Malware

Shahid Alam, Zhengyang Qu외 3명|arXiv (Cornell University)|2016. 02. 15.

Advanced Malware Detection Techniques참고 문헌 37인용 수 9

한 줄 요약

DroidNative는 제어 흐름 패턴을 사용하여 바이트코드 및 네이티브 코드 악성코드 변종을 모두 탐지하는, 안드로이드에서 네이티브 코드 수준에서 작동하는 정적 분석 기반 악성코드 탐지 시스템으로서 최초이다. 이 시스템은 99.16%의 탐지율, 1.3%의 위양성 비율, 평균 26.87초/샘플의 탐지 시간을 기록하며, 가공된 악성코드를 탐지하는 데 기존 도구들을 능가한다.

ABSTRACT

According to the Symantec and F-Secure threat reports, mobile malware development in 2013 and 2014 has continued to focus almost exclusively ~99% on the Android platform. Malware writers are applying stealthy mutations (obfuscations) to create malware variants, thwarting detection by signature based detectors. In addition, the plethora of more sophisticated detectors making use of static analysis techniques to detect such variants operate only at the bytecode level, meaning that malware embedded in native code goes undetected. A recent study shows that 86% of the most popular Android applications contain native code, making this a plausible threat. This paper proposes DroidNative, an Android malware detector that uses specific control flow patterns to reduce the effect of obfuscations, provides automation and platform independence, and as far as we know is the first system that operates at the Android native code level, allowing it to detect malware embedded in both native code and bytecode. When tested with traditional malware variants it achieves a detection rate (DR) of 99.48%, compared to academic and commercial tools' DRs that range from 8.33% -- 93.22%. When tested with a dataset of 2240 samples DroidNative achieves a DR of 99.16%, a false positive rate of 0.4% and an average detection time of 26.87 sec/sample.

연구 동기 및 목표

• 기존 바이트코드 수준의 분석 도구로는 탐지되지 않는 네이티브 코드에 잠재된 악성코드의 증가하는 위협에 대응하기 위해.
• 가공 기반 또는 API 호출 기반 탐지 방법의 한계를 극복하여, 악성코드 가공 기술을 회피하는 데에 효과적인 방법을 제공하기 위해.
• 네이티브 코드와 바이트코드를 모두 분석할 수 있는 플랫폼 독립적이고 자동화된 악성코드 탐지 시스템을 개발하기 위해.
• 일반적인 악성코드 가공 기술에 강건한 제어 흐름 패턴에 초점을 맞춰 악성코드 탐지에 미치는 가공의 영향을 최소화하기 위해.
• 제어 흐름의 의미적 분석을 통해 서명 크기와 처리 시간을 최적화하여 실시간 탐지 기능을 가능하게 하기 위해.

제안 방법

• DroidNative는 의미적으로 유의미하고 가공에 강건한 제어 흐름 패턴을 추출하고 분석하여 네이티브 코드에 대한 정적 분석을 수행한다.
• 자동화와 플랫폼 독립성을 보장하기 위해, 탐지 규칙을 표현하기 위해 도메인 특화 언어인 MAIL(Malware Analysis and Inspection Language)을 사용한다.
• 악성코드 변종에서의 가공 영향을 줄이기 위해 ACG(API Call Graph)와 SWOD(Semantic Weighted Outlier Detection)라는 두 가지 기법을 활용한다.
• Android 런타임(ART)을 사용하여 바이트코드를 네이티브 코드로 컴파일하여 바이트코드 및 네이티브 코드 컴포넌트 간의 통합 분석을 가능하게 한다.
• 제어 흐름 패턴을 활용해 고정밀도를 유지하면서 분석 시간을 단축하는 컴act하고 효율적인 서명을 생성한다.
• 성능 평가를 위해 2240개의 안드로이드 샘플로 구성된 데이터셋을 사용하여 n-겹 교차 검증을 수행하고 탐지 정확도 및 효율성을 검증한다.

실험 결과

연구 질문

• RQ1 기존 도구가 실패하는 네이티브 코드에 잠재된 안드로이드 악성코드를 정적 분석 기반 시스템이 효과적으로 탐지할 수 있는가?
• RQ2 가공된 악성코드 변종을 탐지하는 데 있어 제어 흐름 패턴 분석은 서명 기반 또는 API 호출 기반 방법보다 얼마나 효과적인가?
• RQ3 통합 탐지 프레임워크는 높은 정확도와 낮은 위양성 비율로 안드로이드 애플리케이션의 네이티브 코드와 바이트코드를 모두 분석할 수 있는가?
• RQ4 도메인 특화 언어(MAIL)의 사용이 악성코드 탐지에서 자동화와 플랫폼 독립성을 얼마나 향상시킬 수 있는가?
• RQ5 제안된 시스템은 다양한 악성코드 변종에서 높은 탐지 정확도를 유지하면서도 실시간 성능을 달성할 수 있는가?

주요 결과

• DroidNative는 2240개의 안드로이드 샘플로 구성된 데이터셋에서 99.16%의 탐지율을 기록하며, 8.33%에서 93.22%의 탐지율을 보이는 상용 및 학술 도구들을 크게 능가한다.
• 1.3%의 위양성 비율을 기록하여 악성 및 양호 응용 프로그램을 정확하게 구분하는 데 강력한 정밀도를 보인다.
• 기존 악성코드 변종의 경우 DroidNative는 99.48%의 탐지율을 기록하여 가공에 대한 높은 내성성을 입증한다.
• 평균 탐지 시간은 샘플당 26.87초로, 비교 대상 시스템 [50]보다 약 6.5배 빠르다.
• DroidNative는 네이티브 코드 수준에서 악성코드 탐지를 수행하는 것으로 알려진 최초의 시스템으로, 네이티브 및 바이트코드 컴포넌트의 악성코드 탐지를 가능하게 한다.
• 제어 흐름 패턴과 MAIL 언어의 사용은 성능 오버헤드를 최소화하면서도 효율적이고 자동화되며 플랫폼 독립적인 악성코드 서명 생성을 가능하게 한다.