[논문 리뷰] EviHunter: Identifying Digital Evidence in the Permanent Storage of Android Devices via Static Analysis

Chris Chao-Chun Cheng, Shi Chen외 2명|arXiv (Cornell University)|2018. 08. 18.

Advanced Malware Detection Techniques참고 문헌 28인용 수 4

한 줄 요약

EviHunter는 애플리케이션 소스 코드에서 사전에 앱 증거 데이터베이스(AED)를 생성함으로써 안드로이드 디바이스의 파일 중 디지털 증거를 담고 있을 가능성이 높은 파일을 자동으로 식별하는 정적 분석 도구이다. 이 도구는 GPS 위치, URL, 텍스트 입력과 같은 증거 데이터 유형과 그에 해당하는 파일 경로를 높은 정밀도로 탐지하며, 실제 앱에서 관련 파일을 식별하는 데 있어 키워드 기반 및 수동 방법보다 뛰어난 성능을 보인다.

ABSTRACT

Crimes, both physical and cyber, increasingly involve smartphones due to their ubiquity. Therefore, digital evidence on smartphones plays an increasingly important role in crime investigations. Digital evidence could reside in the memory and permanent storage of a smartphone. While we have witnessed significant progresses on memory forensics recently, identifying evidence in the permanent storage is still an underdeveloped research area. Most existing studies on permanent-storage forensics rely on manual analysis or keyword-based scanning of the permanent storage. Manual analysis is costly, while keyword matching often misses the evidentiary data that do not have interesting keywords. In this work, we develop a tool called EviHunter to automatically identify evidentiary data in the permanent storage of an Android device. There could be thousands of files on the permanent storage of a smartphone. A basic question a forensic investigator often faces is which files could store evidentiary data. EviHunter aims to answer this question. Our intuition is that the evidentiary data were produced by apps; and an app's code has rich information about the types of data the app may write to a permanent storage and the files the data are written to. Therefore, EviHunter first pre-computes an App Evidence Database (AED) via static analysis of a large number of apps. The AED includes the types of evidentiary data and files that store them for each app. Then, EviHunter matches the files on a smartphone's permanent storage against the AED to identify the files that could store evidentiary data. We evaluate EviHunter on benchmark apps and 8,690 real-world apps. Our results show that EviHunter can precisely identify both the types of evidentiary data and the files that store them.

연구 동기 및 목표

• 안드로이드의 영구 저장소에서 관련 디지털 증거 파일을 식별하는 데 도전하는 문제를 해결하기 위해, 메모리 법의학 분석에 비해 자주 간과되는 영구 저장소의 문제를 다루기 위함이다.
• 수동 분석과 키워드 기반 스캔의 한계를 극복하기 위해, 시간이 오래 걸리고 특정 키워드가 없으면 증거를 놓칠 수 있는 문제를 해결하기 위함이다.
• 법의학 조사관이 안드로이드 디바이스에서 증거 데이터를 담고 있을 가능성이 높은 파일을 우선순위로 정리할 수 있도록 자동화되고 확장 가능한 솔루션을 개발하기 위함이다.
• 앱 코드의 정적 분석을 활용해 위치, URL, 사용자 입력과 같은 민감한 데이터 유형을 저장하는 파일을 사전에 예측하기 위함이다.
• 앱 동작을 특정 파일 경로와 데이터 유형으로 매핑하는 종합적인 앱 증거 데이터베이스(AED)를 구축하여 신속한 법의학적 매칭을 가능하게 하기 위함이다.

제안 방법

• EviHunter는 오프라인-온라인 아키텍처를 사용한다: 먼저, 대규모 안드로이드 앱 코퍼스에 대해 정적 데이터 플로우 분석을 수행하여 앱 증거 데이터베이스(AED)를 구축한다.
• AED는 데이터 소스에서 파일 시스템 싱크로 향하는 데이터 플로우를 분석함으로써 파일 경로와 관련 증거 데이터 유형(예: 위치, URL, 텍스트 입력)을 기록한다.
• 데이터 유형과 파일 경로를 동시에 추적할 수 있도록 정적 분석 도구에 맞춤 태그를 추가함으로써 증거를 포함하는 파일을 정확하게 식별할 수 있도록 한다.
• 파일 경로 생성, 특히 시스템 API 및 컴포넌트 통신를 통한 동적 경로 생성을 처리하기 위해 전파 규칙을 설계한다.
• 파일 경로를 위한 새로운 소스 메서드를 식별하고, 일반적으로 사용되는 안드로이드 프레임워크 API의 데이터 플로우 요약을 통합함으로써 정확도를 향상시킨다.
• 온라인 단계에서는, 피의자 디바이스의 스토리지에서 추출한 파일 경로를 AED와 비교하여 디지털 증거를 포함할 가능성이 높은 파일을 경고한다.

실험 결과

연구 질문

• RQ1 정적 분석을 통해 안드로이드 앱 코드를 분석함으로써 영구 저장소에 있는 파일 중 GPS 위치, URL, 사용자 입력과 같은 디지털 증거를 담고 있을 가능성이 있는 파일을 정확하게 예측할 수 있는가?
• RQ2 사전에 생성된 앱 증거 데이터베이스(AED)는 키워드 기반 또는 수동 방법 대비 법의학 조사관의 검색 범위를 얼마나 줄일 수 있는가?
• RQ3 강화된 태깅과 전파 규칙을 적용한 정적 분석은 키워드 지표가 없는 파일 내 증거 데이터를 얼마나 잘 탐지할 수 있는가?
• RQ4 기본 테스트 앱 외의 실제 안드로이드 애플리케이션에 적용했을 때 EviHunter의 확장성과 정밀도는 어느 정도인가?
• RQ5 파일 경로 추적과 데이터 유형 추적을 통합함으로써 모바일 법의학에서 디지털 증거 식별의 정밀도는 얼마나 향상될 수 있는가?

주요 결과

• EviHunter는 증거 데이터 유형과 해당 유형에 해당하는 파일 경로를 높은 정밀도로 식별하여 법의학 조사관이 관련 파일에 집중할 수 있도록 한다.
• 이전 연구에서 확인된 바와 같이, 특정 키워드가 없는 파일에서는 흔히 증거를 놓치는 키워드 기반 스캔보다 도구가 뛰어난 성능을 보였다.
• 실제 8,690개의 안드로이드 앱에 대한 평가를 통해 EviHunter가 앱 동작을 파일 시스템 출력으로 정확하게 매핑할 수 있음을 확인했다.
• 정적 분석을 통해 구축된 앱 증거 데이터베이스(AED)는 다양한 증거 데이터 유형과 파일 경로를 커버하여 실제 앱에 대한 확장성을 입증했다.
• EviHunter의 접근 방식은 수천 개의 파일을 고려할 필요 없이 높은 확률의 증거 파일로만 좁혀서 수동 파일 선별의 필요성을 줄였다.
• 파일 경로 추적과 데이터 유형 전파를 통합함으로써 기존 보안 중심의 정적 분석 도구보다 탐지 정밀도가 크게 향상됨을 확인했다.