[논문 리뷰] MaMaDroid: Detecting Android Malware by Building Markov Chains of Behavioral Models

Enrico Mariconti, Lucky Onwuzurike외 4명|arXiv (Cornell University)|2016. 12. 13.

Advanced Malware Detection Techniques인용 수 4

한 줄 요약

MaMaDroid는 애플리케이션 실행 시퀀스를 패키지 또는 패밀리별로 추상화한 API 호출에 기반한 마르코프 체인을 사용하여 행동 기반의 안드로이드 악성코드 탐지 시스템이다. 이 시스템은 악성코드 탐지에서 최대 99%의 F-측도를 달성하며, 1년 후에도 87%, 2년 후에도 73%의 F-측도를 유지하여 API 변화에 대한 장기적인 강건성을 입증했으며, DroidAPIMiner와 같은 최첨단 시스템에 비해 뛰어난 내구성과 유연성을 보였다.

ABSTRACT

The rise in popularity of the Android platform has resulted in an explosion of malware threats targeting it. As both Android malware and the operating system itself constantly evolve, it is very challenging to design robust malware mitigation techniques that can operate for long periods of time without the need for modifications or costly re-training. In this paper, we present MaMaDroid, an Android malware detection system that relies on app behavior. MaMaDroid builds a behavioral model, in the form of a Markov chain, from the sequence of abstracted API calls performed by an app, and uses it to extract features and perform classification. By abstracting calls to their packages or families, MaMaDroid maintains resilience to API changes and keeps the feature set size manageable. We evaluate its accuracy on a dataset of 8.5K benign and 35.5K malicious apps collected over a period of six years, showing that it not only effectively detects malware (with up to 99% F-measure), but also that the model built by the system keeps its detection capabilities for long periods of time (on average, 86% and 75% F-measure, respectively, one and two years after training). Finally, we compare against DroidAPIMiner, a state-of-the-art system that relies on the frequency of API calls performed by apps, showing that MaMaDroid significantly outperforms it.

연구 동기 및 목표

• 기존의 시그니처 기반 및 권한 기반 탐지 방법을 우회하는 진화하는 안드로이드 악성코드를 탐지하는 데 도전하는 것.
• 안드로이드 API 변경 사항과 악성코드 행동의 장기적 진화에 강건한 악성코드 탐지 시스템을 개발하는 것.
• 정적 API 호출 빈도나 권한에 의존하는 것보다 행동 시퀀스를 모델링하여 탐지 정확도와 모델 수명을 향상시키는 것.
• 6년에 걸친 44,000개 앱의 대규모 데이터셋을 활용하여 실제 환경 적용 가능성과 강건성을 확보하기 위해 시스템을 평가하는 것.

제안 방법

• 개별 API 변경에 민감도를 낮추기 위해 안드로이드 API 호출을 패키지 이름 또는 패밀리(예: android, java)로 추상화한다.
• 추상화된 API 호출 시퀀스에서 마르코프 체인 모델을 구축하여 애플리케이션의 행동 패턴을 포착한다.
• 마르코프 체인을 사용해 API 호출 패밀리 또는 패키지 간 전이 확률을 나타내는 통계적 특징을 추출한다.
• 추출된 특징을 기반으로 이진 분류(정상 vs. 악성)를 수행하며, 두 가지 추상화 수준(패밀리 수준 및 패키지 수준)을 사용한다.
• 실행 시간이 필요 없이 정적 분석을 통해 안드로이드 앱의 API 호출 시퀀스를 추출한다.
• 2010년부터 2016년까지 수집한 8,500개의 정상 앱과 35,500개의 악성 앱으로 구성된 데이터셋을 활용해 장기 성능을 평가하기 위해 분류기 학습을 수행한다.

실험 결과

연구 질문

• RQ1 마르코프 체인을 활용해 추상화된 API 호출 시퀀스를 모델링하는 것이 정상 앱과 악성 앱을 효과적으로 구분하는 데 유용한가?
• RQ2 MaMaDroid의 탐지 성능은 안드로이드 API와 악성코드 변종의 진화에 따라 시간이 지남에 따라 어떻게 저하되는가?
• RQ3 DroidAPIMiner와 같은 최첨단 시스템과 비교해 MaMaDroid는 정확도와 강건성 측면에서 어떤가?
• RQ4 API 호출을 패밀리나 패키지 수준으로 추상화하는 것이 안드로이드 프레임워크의 진화에 대해 얼마나 강건한가?

주요 결과

• MaMaDroid는 43,989개 앱(악성 샘플 35,500개 포함)으로 구성된 데이터셋에서 악성코드 탐지에 최대 99%의 F-측도를 달성했다.
• 학습 후 1년이 지나도 F-측도가 87%를 유지하고, 2년 후에도 73%를 유지하여 장기적인 탐지 안정성을 입증했다.
• MaMaDroid는 초기 탐지 정확도와 장기적 강건성 측면에서 DroidAPIMiner를 뛰어넘었으며, 특히 API 변경에 대한 추상화 기반의 내구성 덕분이었다.
• 시스템의 행동 기반 모델링 접근 방식은 빈도 기반 방법보다 안드로이드 API 진화에 더 강건하며, 빈번한 재학습이 필요로 하는 것을 줄였다.
• 추상화된 API 호출 시퀀스에 기반한 마르코프 체인은 비표준 또는 폐기된 API를 사용하는 악성코드조차도 정상 앱과 구분하는 의미 있는 행동 패턴을 포착한다.
• 평가에 사용된 데이터셋은 6년에 걸쳐 수집된 43,989개 앱을 포함하며, 안드로이드 악성코드 탐지 분야에서 연구 논문에서 사용된 바 가장 큰 데이터셋이다.