[논문 리뷰] Rebooting Research on Detecting Repackaged Android Apps: Literature Review and Benchmark

Li Li, Tegawendé F. Bissyandé외 1명|arXiv (Cornell University)|2018. 11. 20.

Advanced Malware Detection Techniques참고 문헌 62인용 수 10

한 줄 요약

이 논문은 AndroZoo에서 유래한 공개된 벤치마크인 RePack 데이터셋을 제공하고 체계적인 문헌 고찰을 수행함으로써 재패키징된 안드로이드 앱 탐지에 대한 연구를 재기하기 위해 수행된다. 저자들은 표준화된 평가를 주장하며 이전 연구에서의 재현 불가능한 결과와 도구 부족 등의 결함을 지적하고, 기계학습 기반 분류를 실세계 앱 마켓에서의 확장 가능한 탐지에 대한 실용적인 길로 제안한다.

ABSTRACT

Repackaging is a serious threat to the Android ecosystem as it deprives app developers of their benefits, contributes to spreading malware on users' devices, and increases the workload of market maintainers. In the space of six years, the research around this specific issue has produced 57 approaches which do not readily scale to millions of apps or are only evaluated on private datasets without, in general, tool support available to the community. Through a systematic literature review of the subject, we argue that the research is slowing down, where many state-of-the-art approaches have reported high-performance rates on closed datasets, which are unfortunately difficult to replicate and to compare against. In this work, we propose to reboot the research in repackaged app detection by providing a literature review that summarises the challenges and current solutions for detecting repackaged apps and by providing a large dataset that supports replications of existing solutions and implications of new research directions. We hope that these contributions will re-activate the direction of detecting repackaged apps and spark innovative approaches going beyond the current state-of-the-art.

연구 동기 및 목표

• 비재현 가능한 결과와 공개 데이터셋 부족으로 인한 재패키징된 안드로이드 앱 탐지 연구의 정체를 해결하기 위해.
• 기존 접근법의 핵심 단점인 비현실적인 평가 환경, 제한된 확장성, 오픈소스 도구 부족을 규명하기 위해.
• 기존 및 신규 탐지 기법의 재현 가능한 평가를 가능하게 하는 종합적이고 공개된 벤치마크 데이터셋(RePack)을 제공하기 위해.
• 표준화된 평가를 촉진하고 현재 최고 수준을 넘어서는 혁신적이고 확장 가능한 솔루션을 장려함으로써 연구 공동체를 활성화하기 위해.
• 재패키징 탐지가 악성코드 탐지와 앱 마켓 보안에 효과적으로 기여하기 위한 기초 단계임을 강조하기 위해.

제안 방법

• 6년 간에 걸쳐 출간된 57개의 재패키징 앱 탐지 접근법에 대한 체계적인 문헌 고찰(SLR)을 수행하였다.
• 데이터셋의 기밀성, 재현 가능성, 성능 주장 등을 분석하여 이전 연구의 심각한 결함을 규명하기 위해 평가 관행을 분석하였다.
• 코드 유사도와 메타데이터 히우리스틱을 사용하여 AndroZoo 레포지터리에서 재패키징 쌍을 추출하여 RePack 데이터셋을 구축하였다.
• 원본 앱과 재패키징된 앱 간의 코드 유사도 기준을 80%로 설정하여 유효한 재패키징 쌍을 식별하였다.
• APK 해시 값과 메타데이터를 사용하여 데이터셋의 무결성을 확보하고 다양한 연구 환경 간의 재현 가능성을 보장하였다.
• 기계학습을 활용한 확장 가능한 실세계 구현을 지원하기 위해 재패키징 탐지를 이진 분류 문제로 재정의하였다.

실험 결과

연구 질문

• RQ1 재현 가능성과 확장성 측면에서 현재 재패키징된 안드로이드 앱 탐지 접근법의 핵심 제약은 무엇인가?
• RQ2 기존 평가 관행은 분야 내에서 공정한 비교와 결과 재현을 어떻게 방해하는가?
• RQ3 대규모 공개 데이터셋은 향후 재패키징 앱 탐지 연구의 신뢰성과 진전에 어느 정도 기여할 수 있는가?
• RQ4 재패키징 탐지를 분류 문제로 재정의하면 기존의 유사도 기반 방법보다 더 실용적이고 확장 가능한 솔루션을 도출할 수 있는가?
• RQ5 현재 최고 수준을 넘어서기 위해 공동체가 우선적으로 고려해야 할 연구 방향은 무엇인가?

주요 결과

• 57개의 접근법에 대한 체계적 리뷰 결과, 비재현 가능한 결과, 비공개 데이터셋 의존, 공개 도구 부족 등의 광범위한 문제를 확인하였다.
• 다수의 최고 수준 접근법은 높은 성능을 보고하지만, 폐쇄된 데이터셋에서 평가되기 때문에 재현 및 공정한 비교가 불가능하다.
• RePack 데이터셋은 AndroZoo에서 유래한 대규모의 재패키징 쌍을 포함하고 있어 표준화되고 재현 가능한 평가를 가능하게 한다.
• 이 데이터셋은 GitHub를 통해 공개되어 있어 연구 공동체의 투명성과 장기적 접근 가능성을 보장한다.
• 본 연구는 현재의 평가 관행가 부적절하며, 공동체 수준의 벤치마크와 개방형 평가 프레임워크로의 전환을 촉구한다.
• 재패키징 탐지는 많은 악성코드 샘플이 양호한 앱을 재패키징한 것임을 감안할 때, 보다 넓은 악성코드 탐지의 핵심 기반 요소로 확인되었다.