[논문 리뷰] IntelliAV: Building an Effective On-Device Android Malware Detector

Mansour Ahmadi, Angelo Sotgiu외 1명|arXiv (Cornell University)|2018. 02. 04.

Advanced Malware Detection Techniques참고 문헌 23인용 수 5

한 줄 요약

IntelliAV는 제한된 자원을 가진 디바이스에서 실시간으로 작동하는 경량의 온디바이스 기계학습 기반 안드로이드 악성코드 탐지기이다. 정교하게 선별된 효율적인 정적 특징과 텐서플로우를 사용하여, 일반적인 오브스큐레이션 및 드롭퍼 기법을 회피하는 데에도 효과적이다. 교차 검증에서는 92%의 탐지율을 기록했고, 제3자 독립 악성코드 세트에서는 96%의 탐지율을 달성하여 상용 솔루션을 능가한다.

ABSTRACT

The importance of employing machine learning for malware detection has become explicit to the security community. Several anti-malware vendors have claimed and advertised the application of machine learning in their products in which the inference phase is performed on servers and high-performance machines, but the feasibility of such approaches on mobile devices with limited computational resources has not yet been assessed by the research community, vendors still being skeptical. In this paper, we aim to show the practicality of devising a learning-based anti-malware on Android mobile devices, first. Furthermore, we aim to demonstrate the significance of such a tool to cease new and evasive malware that can not easily be caught by signature-based or offline learning-based security tools. To this end, we first propose the extraction of a set of lightweight yet powerful features from Android applications. Then, we embed these features in a vector space to build an effective as well as efficient model. Hence, the model can perform the inference on the device for detecting potentially harmful applications. We show that without resorting to any signatures and relying only on a training phase involving a reasonable set of samples, the proposed system, named IntelliAV, provides more satisfying performances than the popular major anti-malware products. Moreover, we evaluate the robustness of IntelliAV against common obfuscation techniques where most of the anti-malware solutions get affected.

연구 동기 및 목표

• 제한된 자원을 가진 안드로이드 디바이스에 머신러닝 기반 악성코드 탐지기를 효과적으로 구현할 수 있는지 입증하는 것.
• 기존 시그니처 기반 및 오프라인 학습 도구에서 빠져나가는 새로운 악성코드, 드롭퍼 및 오브스큐레이션된 앱을 탐지할 수 있는 온디바이스 시스템을 개발하는 것.
• API 숨기기 및 권한 삽입과 같은 일반적인 오브스큐레이션 기법에 대한 시스템의 성능과 강건성 평가.
• 서버 기반 추론에 의존하지 않고도 실시간으로 작동하며 실용적이고 효율적이며 정확한 솔루션을 제공하는 것.
• 최종 사용자 및 연구자들이 온디바이스 보호 및 모바일 보안 분야의 추가 연구를 위해 시스템을 공개적으로 이용할 수 있도록 하는 것.

제안 방법

• 시스템은 안드로이드 APK에서 권한, API 호출, 매니페스트 요소와 같은 경량이고 구분력 있는 정적 특징을 추출한다.
• 특징들은 온디바이스 기계학습에 적합한 고밀도 표현을 형성하기 위해 벡터 공간에 매핑된다.
• 텐서플로우 기반의 트레이닝된 모델은 효율성에 최적화되어 있으며, 실시간 추론을 위해 직접 안드로이드 디바이스에 배포된다.
• 자원이 제한된 디바이스에서 정확도와 계산 비용의 균형을 맞추기 위해 교차 검증을 통해 모델이 최적화된다.
• 드롭퍼 기반의 패킷 전달 및 API 오브스큐레이션과 같은 두 가지 오염 기법에 대한 강건성 평가가 수행된다.
• 시스템은 바이러스톱리티 및 제3자 테스트 기관의 샘플을 포함한 실제 앱과 악성코드 샘플에서 테스트된다.

실험 결과

연구 질문

• RQ1 제한된 컴퓨팅 자원을 가진 안드로이드 디바이스에 머신러닝 기반 악성코드 탐지기를 효과적이고 효율적으로 구현할 수 있는가?
• RQ2 온디바이스 모델의 성능은 새로운 악성코드나 오브스큐레이션된 앱에 대해 상용 및 오프라인 학습 기반 솔루션과 비교해 어떻게 되는가?
• RQ3 IntelliAV는 기존의 시그니처 기반 및 오프라인 학습 기반 탐지 기법을 우회하는 악성코드를 어느 정도 탐지할 수 있는가?
• RQ4 권한 과잉 및 API 숨기기와 같은 일반적인 오브스큐레이션 기법에 대해 시스템은 얼마나 강건한가?
• RQ5 설치 후 악성 패킷을 로드하는 드롭퍼 악성코드를 시스템은 설치 시점에 탐지할 수 있는가? 이는 종종 서버 기반 분석에서 빠지는 영역이다.

주요 결과

• IntelliAV는 소량의 정교하게 선택된 특징을 사용하여 교차 검증에서 92%의 탐지율을 달성했으며, 낮은 오버헤드로도 높은 효과성을 입증했다.
• 제3자 기관의 독립 테스트 세트에서 IntelliAV는 96%의 탐지율을 기록했으며, 상위 5개의 상용 안드로이드 악성코드 방지 제품보다 뛰어난 성능을 보였다.
• 시스템은 평균 0.02초 이내로 분류를 완료하여, 고성능 디바이스에서조차도 낮은 추론 시간을 유지했다.
• 중급 기기에서는 특징 추출 및 분류 시간이 5초 이내, 오래된 기기에서는 10초 이내로 유지되어 실시간 사용에 적합함을 입증했다.
• IntelliAV는 설치 시점에 드롭퍼 악성코드를 성공적으로 탐지했으며, 이는 오프라인 시스템에서 자주 놓치는 능력이다.
• 좋은 권한 추가 및 악성 API 숨기기와 같은 오브스큐레이션 기법에 대해 강건성을 보이며, 일반적인 탈출 전략에 대한 저항력을 입증했다.