[논문 리뷰] R-PackDroid: Practical On-Device Detection of Android Ransomware.

Michele Scalas, Davide Maiorca외 4명|arXiv (Cornell University)|2018. 05. 24.

Advanced Malware Detection Techniques참고 문헌 16인용 수 3

한 줄 요약

이 논문은 시스템 API 호출—특히 패키지, 클래스, 메서드—를 활용하여 정확하고 효율적인 감지가 가능한 실용적인 온디바이스 Android 랜섬웨어 탐지 시스템인 R-PackDroid를 제안한다. 저수준의 시스템 상호작용에 초점을 맞추어 랜섬웨어와 일반 악성코드를 높은 정확도로 식별하며, 오염 기법에 강건하고 새로운 위협에 효과적으로 대응한다. 복잡한 머신러닝 기반 방법에 비해 설명 가능성과 실시간 성능 면에서 뛰어나다.

ABSTRACT

Ransomware constitutes a significant threat to the Android operating system. It can either lock or encrypt the target devices, and victims are forced to pay ransoms to restore their data. Hence, the prompt detection of such attacks has a priority in comparison to other malicious threats. Previous works on Android malware detection mainly focused on Machine Learning-oriented approaches that were tailored to identifying malware families, without a clear focus on ransomware. More specifically, such approaches resorted to complex information types such as permissions, user-implemented API calls, and native calls. However, this led to significant drawbacks concerning complexity, resilience against obfuscation, and explainability. To overcome these issues, in this paper, we propose and discuss learning-based detection strategies that rely on System API information. These techniques leverage the fact that ransomware attacks heavily resort to System API to perform their actions, and allow distinguishing between generic malware, ransomware and goodware. We tested three different ways of employing System API information, i.e., through packages, classes, and methods, and we compared their performances to other, more complex state-of-the-art approaches. The attained results showed that systems based on System API could detect ransomware and generic malware with very good accuracy, comparable to systems that employed more complex information. Moreover, the proposed systems could accurately detect novel samples in the wild and showed resilience against static obfuscation attempts. Finally, to guarantee early on-device detection, we developed and released on the Android platform a complete ransomware and malware detector (R-PackDroid) that employed one of the methodologies proposed in this paper.

연구 동기 및 목표

• 데이터 암호화와 강요 요구로 심각한 위협을 안기는 Android 랜섬웨어의 조기에 온디바이스로 탐지할 필요성을 해결하기 위해.
• 권한과 복잡한 API 호출을 기반으로 하는 기존 머신러닝 기반 Android 악성코드 탐지 기법의 한계를 극복하기 위해, 이는 설명 가능성 부족과 오염 기법에 취약하기 때문이다.
• 시스템 API 수준 정보—특히 패키지, 클래스, 메서드—가 랜섬웨어와 정상 소프트웨어, 일반 악성코드를 구분하는 데 더 단순하고 강건하며 효과적인 신호가 될 수 있는지 탐색하기 위해.
• 실제 환경에 배포 가능한, 완전 기능을 갖춘 온디바이스 탐지 시스템(R-PackDroid)을 개발하고 공개하기 위해.

제안 방법

• Android 애플리케이션이 수행하는 시스템 API 호출을 분석하며, 패키지, 클래스, 개별 메서드의 세 가지 세밀한 수준에 초점을 맞춰 악성 활동의 행동 서명을 추출한다.
• 각 애플리케이션은 선택된 세밀도 수준에서의 시스템 API 호출 시퀀스로 표현되며, 분류를 위한 특징 벡터를 형성한다.
• 세 가지 다른 분류 모델을 훈련하고 평가한다: 패키지 수준 호출만을 사용하는 모델, 클래스 수준 호출만을 사용하는 모델, 메서드 수준 호출만을 사용하는 모델.
• 실제 Android 애플리케이션의 데이터셋(기존 랜섬웨어, 일반 악성코드, 정상 앱 포함)을 사용하여 탐지 정확도와 강건성을 평가하기 위해 모델을 훈련하고 테스트한다.
• 시스템은 온디바이스 실행을 위해 설계되어 외부 서버로의 데이터 전송 없이 낮은 지연 시간과 사용자 프라이버시를 보장한다.
• 최종 탐지 엔진인 R-PackDroid는 가장 효과적인 API 수준 접근 방식을 기반으로 한 단독 Android 애플리케이션으로 구현되었으며, 실시간 스캔 기능을 갖춘다.

실험 결과

연구 질문

• RQ1 시스템 API 수준 정보(패키지, 클래스, 메서드)를 사용하여 고정밀도와 저복잡도로 Android 랜섬웨어를 효과적으로 탐지할 수 있는가?
• RQ2 권한과 복잡한 API 호출 시퀀스에 의존하는 최신 기술의 머신러닝 기반 접근 방식과 비교해 시스템 API 기반 탐지의 성능는 어떠한가?
• RQ3 시스템 API 기반 탐지가 악성코드 제작자가 흔히 사용하는 정적 오염 기법에 얼마나 강건한가?
• RQ4 제안된 시스템은 훈련 기간 동안 볼 수 없었던(제로데이) 랜섬웨어 샘플을 높은 신뢰도로 탐지할 수 있는가?
• RQ5 낮은 지연 시간과 사용자 프라이버시를 보장하면서도 경량의 온디바이스 탐지 시스템을 시스템 API 분석 기반으로 구현하는 것이 가능한가?

주요 결과

• 시스템 API 기반 탐지 접근 방식은 권한과 저수준 시스템 호출에 의존하는 더 복잡한 최신 기술과 비교해도 랜섬웨어와 일반 악성코드 탐지 정확도가 유사했다.
• 이 방법은 정적 오염 공격에 대해 강력한 저항성을 보였으며, 악성코드 코드가 탐지 회피를 위해 오염되었음에도 높은 탐지율을 유지했다.
• 훈련 기간 동안 볼 수 없었던 새로운 랜섬웨어 샘플을 성공적으로 탐지하여 제로데이 위협에 대한 좋은 일반화 능력을 보였다.
• 메서드 수준의 시스템 API 호출 기반 방법이 테스트한 세 가지 세밀도 수준 중에서 가장 높은 탐지 정확도를 보였다.
• 최종 R-PackDroid 구현은 네트워크 전송 없이 실시간 온디바이스 탐지 기능을 성공적으로 구현하여 프라이버시와 낮은 지연 시간을 보장했다.
• 시스템 API 정보의 사용은 블랙박스 머신러닝 모델에 비해 설명 가능성 면에서 크게 향상되었으며, 탐지 논리는 특정 시스템 수준 동작로 추적 가능했다.