[논문 리뷰] Eight Years of Rider Measurement in the Android Malware Ecosystem: Evolution and Lessons Learned

Guillermo Suárez‐Tangil, Gianluca Stringhini|arXiv (Cornell University)|2018. 01. 24.

Advanced Malware Detection Techniques참고 문헌 49인용 수 39

한 줄 요약

이 논문은 2010년에서 2017년까지의 안드로이드 악성코드 행동에 대한 대규모 종단 분석을 제시하며, 특히 재패키징된 악성코드(rider 가족)에 초점을 맞춘다. 미분 분석과 다중 악성코드 방지 소프트웨어 레이블링을 활용하여 악성 코드 유틸리티를 양호한 캐리어에서 분리함으로써, 악성코드 행동과 가려움 기법의 상당한 진화를 드러내며, 기존 탐지 시스템의 심각한 결함을 폭 드러낸다. 이는 오래된 또는 비대표적인 데이터셋으로 훈련된 시스템의 문제를 반영한다.

ABSTRACT

Despite the growing threat posed by Android malware, the research community is still lacking a comprehensive view of common behaviors and trends exposed by malware families active on the platform. Without such view, the researchers incur the risk of developing systems that only detect outdated threats, missing the most recent ones. In this paper, we conduct the largest measurement of Android malware behavior to date, analyzing over 1.2 million malware samples that belong to 1.2K families over a period of eight years (from 2010 to 2017). We aim at understanding how the behavior of Android malware has evolved over time, focusing on repackaging malware. In this type of threats different innocuous apps are piggybacked with a malicious payload (rider), allowing inexpensive malware manufacturing. One of the main challenges posed when studying repackaged malware is slicing the app to split benign components apart from the malicious ones. To address this problem, we use differential analysis to isolate software components that are irrelevant to the campaign and study the behavior of malicious riders alone. Our analysis framework relies on collective repositories and recent advances on the systematization of intelligence extracted from multiple anti-virus vendors. We find that since its infancy in 2010, the Android malware ecosystem has changed significantly, both in the type of malicious activity performed by the malicious samples and in the level of obfuscation used by malware to avoid detection. We then show that our framework can aid analysts who attempt to study unknown malware families. Finally, we discuss what our findings mean for Android malware detection research, highlighting areas that need further attention by the research community.

연구 동기 및 목표

• 기존 연구에서 흔히 볼 수 있는 오래된 또는 비대표적인 데이터셋의 한계를 극복하기 위해, 특히 재패키징된 악성코드를 중심으로 안드로이드 악성코드 행동에 대한 종합적이고 장기적인 시각을 제공하는 것.
• 대규모로 재패키징된 악성코드에서 악성 코드 유틸리티(rider)를 양호한 앱 컴포넌트(carrier)에서 분리하는 과제를 해결하는 것.
• 여덟 해에 걸친 악성코드 가족의 진화를 분석하여 악성 행동과 가려움 기법의 변화를 집중적으로 다루는 것.
• 기존 악성코드 탐지 연구의 심각한 격차를 특정화하는 것, 특히 오래된 또는 비대표적인 훈련 데이터를 사용함으로써 발생하는 실험적 편향의 위험을 고려하는 것.
• 향후 연구를 이끄는 데 기여하기 위해, 특히 시간에 따라 변화하는 라이더 가족의 역동적 진화를 다루지 못한 영역을 부각하는 것.

제안 방법

• 2010년에서 2017년 사이에 수집된 120만 개 이상의 악성코드 샘플에 대해 다수의 악성코드 방지 소프트웨어 업체의 공동 지능을 활용하여 가족 레이블을 할당한다.
• 동일 가족에 属하는 샘플 간의 코드 구조를 비교하여, 공통 구성 요소를 식별하고 악성 라이더 유틸리티를 분리·추출하기 위해 미분 분석을 적용한다.
• 메서드의 제어 흐름 그래프(CFG) 분 析을 통해 유사성을 탐지함으로써, 가려움 기법이 적용된 경우에도 악성 컴포넌트를 견고하게 식별할 수 있도록 한다.
• 동적 실행의 계산 비용을 피하면서도 정확도를 유지하기 위해 정적 분석을 활용한다.
• 패키지 이름과 같은 표면적 속성은 쉽게 조작될 수 있으므로, 내부 코드 구조(예: 메서드 수준의 CFG)에 초점을 맞춘다.
• 라이더 간의 API 호출 사용 및 행동 패턴을 체계적으로 측정하여, 시간에 따른 악성 기능의 변화를 추적한다.

실험 결과

연구 질문

• RQ1 2010년에서 2017년 사이에 안드로이드 악성코드 라이더의 행동은 악성 기능과 가려움 기법 측면에서 어떻게 진화했는가?
• RQ2 악성코드 가족이 시간이 지남에 따라 행동에 변화를 보일 경우, 이는 자동화된 악성코드 탐지 시스템의 신뢰성에 어떤 영향을 미치는가?
• RQ3 지난 여덟 해 동안 안드로이드 생태계에서 재패키징된 악성코드와 독립형 악성코드의 보급률은 어느 정도인가?
• RQ4 오래된 또는 비대표적인 데이터셋에 의존하는 현재의 탐지 시스템은 현대의 악성코드 변종을 얼마나 효과적으로 식별할 수 있는가?
• RQ5 비종단적 또는 비대표적인 훈련 데이터를 사용함으로써 발생하는 기존 악성코드 탐지 연구의 주요 한계는 무엇인가?

주요 결과

• 2010년에서 2017년 사이에 안드로이드 악성코드 생태계는 상당한 진화를 겪었으며, 간단한 프리미엄 SMS 사기에서 더 복잡하고 가려진 행동으로의 전환을 보였다.
• 동일한 악성코드 가족 내 라이더 유틸리티는 시간이 지남에 따라 진화하며, 이는 가족 기반 악성코드 탐지 시스템에서 실험적 편향의 주요 원인이 된다.
• 분석된 악성코드 샘플의 90퍼센트 이상이 재패키징되었으며, 총 샘플 수 대비 독립형 악성코드 비율은 추정 방법에 따라 1.36%에서 13% 사이였다.
• 이 연구는 Drebin 및 Android MalGenome와 같은 문헌에서 널리 사용되는 많은 데이터셋이 오래되었고 현재의 악성코드 추세를 대표하지 못한다는 점을 드러냈다.
• 초기 연도(예: 2010–2012년)에 널리 퍼진 악성코드 가족들은 행동과 가려움 기법 측면에서 진화했으며, 이는 초기 데이터로 훈련된 탐지 모델이 현대 악성코드에 대해 무력화됨을 의미한다.
• 메서드의 CFG 기반 미분 분석은 코드 가려움 기법이 적용된 경우에도 악성 컴포넌트를 견고하게 분리할 수 있으며, 패키지 이름이나 GUI 유사성에 의존하는 방법보다 뛰어난 성능을 보였다.