[논문 리뷰] Stimulation and Detection of Android Repackaged Malware with Active Learning

Aleieldin Salem|arXiv (Cornell University)|2018. 08. 03.

Advanced Malware Detection Techniques참고 문헌 28인용 수 4

한 줄 요약

이 논문은 반복적인 자극과 행동 표현의 정교화를 통해 재패키징된 안드로이드 악성 소프트웨어의 탐지 정확도를 향상시키는 활성 학습 프레임워크인 Aion을 제안한다. 분류기가 더 유의미한 런타임 실행을 요청할 수 있도록 하여, Aion은 Piggybacking 데이터셋에서 테스트 F1 스코어 72%를 달성하였으며, 정상 앱 내에 숨겨진 악성 패킷을 탐지하는 데서 전통적인 방법들을 능가한다.

ABSTRACT

Repackaging is a technique that has been increasingly adopted by authors of Android malware. The main problem facing the research community working on devising techniques to detect this breed of malware is the lack of ground truth that pinpoints the malicious segments grafted within benign apps. Without this crucial knowledge, it is difficult to train reliable classifiers able to effectively classify novel, out-of-sample repackaged malware. To circumvent this problem, we argue that reliable classifiers can be trained to detect repackaged malware, if they are allowed to request new, more accurate representations of an app's behavior. This learning technique is referred to as active learning. In this paper, we propose the usage of active learning to train classifiers able to cope with the ambiguous nature of repackaged malware. We implemented an architecture, Aion, that connects the processes of stimulating and detecting repackaged malware using a feedback loop depicting active learning. Our evaluation of a sample implementation of Aion using two malware datasets (Malgenome and Piggybacking) shows that active learning can outperform conventional detection techniques and, hence, has great potential to detect Android repackaged malware.

연구 동기 및 목표

• 재패키징된 악성 소프트웨어 탐지에서 지도 학습 데이터에 정확한 레이블이 부족한 문제를 해결하기 위해.
• 학습 중에 애플리케이션 행동을 동적이고 피드백 기반으로 탐색할 수 있도록 분류기 성능을 향상시키기 위해.
• 악성 코드 위치에 대한 정확한 레이블이 없음에도 불구하고 재패키징된 악성 소프트웨어를 효과적으로 자극하고 탐지할 수 있는 시스템을 개발하기 위해.
• 활성 학습이 정적 또는 전통적인 동적 탐지 방법보다 재패키징된 악성 소프트웨어를 식별하는 데서 더 우수한 성능을 보이는지 평가하기 위해.
• 재패키징된 안드로이드 악성 소프트웨어의 의미적 및 행동적 특성에 초점을 맞춘 향후 탐지 기법의 기반을 마련하기 위해.

제안 방법

• Aion 아키텍처는 잘못 분류된 앱이 새로운 자극 전략을 사용해 재실행되도록 유도하는 피드백 루프를 구현한다. 이를 통해 더 잘 표현된 행동 특징을 발견할 수 있다.
• 학습 중 활성 학습을 적용한다: 분류기가 앱을 잘못 분류하면, 더 나은 특징 표현을 위해 새로운 실행 경로를 요청한다.
• 여러 번의 실행에서 유도된 특징 벡터를 집계한다(예: 다수결 투표 방식을 통해), 각 앱의 더 정확한 행동 프로파일을 형성한다.
• 시스템은 동적 분석을 통해 다양한 실행 경로에서 행동 서명(예: API 호출 트레이스)을 추출하며, 특히 숨겨진 악성 패킷을 유도할 가능성이 높은 경로에 집중한다.
• 최대 분류 정확도에 도달할 때까지 학습 루프를 반복한다. 이는 앱의 포괄적인 행동 커버리지가 이루어졌음을 의미한다.
• 이 접근법은 표준 기계 학습 분류기들을 동적 정밀화된 특징 세트에 훈련시켜 Malgenome 및 Piggybacking 두 데이터셋에서 평가된다.

실험 결과

연구 질문

• RQ1 반복적인 자극을 통해 행동 표현을 정교화함으로써 활성 학습이 재패키징된 안드로이드 악성 소프트웨어 탐지에 기여할 수 있는가?
• RQ2 활성 학습의 성능은 정적 또는 전통적인 동적 탐지 방법과 비교해 재패키징된 앱 내 악성 패킷을 식별하는 데서 어떻게 다를까?
• RQ3 실행 반복 수가 재패키징된 악성 소프트웨어 내 숨겨진 악성 행동을 탐지하는 데의 능력과 얼마나 관련이 있는가?
• RQ4 피드백 기반의 실행 경로 탐색이 더 나은 일반화 능력과 외부 샘플 테스트 앱에서의 높은 F1 스코어를 이끌 수 있는가?
• RQ5 악성 코드 위치에 대한 지도 레이블이 없을 경우 탐지에 심각한 영향을 미치는가? 그리고 활성 학습이 이러한 제약 조건을 완화할 수 있는가?

주요 결과

• 활성 학습 기반 분류기는 Piggybacking 데이터셋에서 테스트 F1 스코어 72%를 달성하여 기존 방법보다 더 뛰어난 탐지 능력을 보였다.
• 피드백 기반 실행을 통해 반복적으로 행동 표현을 정교화함으로써, 지도 레이블이 없는 문제를 효과적으로 완화하였다.
• 높은 정확도에 도달하기 위해 필요한 실행 반복 수는 숨겨진 악성 패킷을 탐지하는 데의 복잡성과 관련이 있으며, 자극 깊이와 탐지 효율성 사이의 연관성이 있음을 시사한다.
• 활성 학습은 재패키징된 악성 소프트웨어의 모호하고 가려진 특성에 동적으로 적응함으로써 기존 탐지 기법을 능가했다.
• 평가 결과, 반복적인 자극이 더 나은 특징 표현을 이끌어내어 은폐된 악성 행동을 가진 앱의 정확한 분류를 가능하게 함을 확인하였다.
• 결과적으로 활성 학습은 악성 코드 세그먼트에 대한 정확한 레이블이 없는 상황에서도 탐지에 실현 가능하고 효과적인 접근법임을 시사한다.