[논문 리뷰] Towards Automated Android App Collusion Detection

Irina Măriuca Asăvoae, Jorge Blasco외 6명|Pure (Coventry University)|2016. 03. 07.

Advanced Malware Detection Techniques참고 문헌 19인용 수 13

한 줄 요약

이 논문은 규칙 기반 필터링, 통계 분석, 모델 체킹을 조합하여 개별 앱의 권한 제한을 우회하는 악성 협동을 자동으로 탐지하는 새로운 프레임워크를 제안한다. 이 방법은 고차원의 앱 조합을 효과적으로 좁혀 데이터 유출, 금전 도난, 서비스 오용과 같은 조율된 위협을 탐지하는 데 성공한다.

ABSTRACT

Android OS supports multiple communication methods between apps. This opens the possibility to carry out threats in a collaborative fashion, c.f. the Soundcomber example from 2011. In this paper we provide a concise definition of collusion and report on a number of automated detection approaches, developed in co-operation with Intel Security.

연구 동기 및 목표

• 다수의 앱이 개별 권한 제한을 우회하여 악성 협동을 수행하는 상황에서 효과적인 도구가 부족한 문제를 해결한다.
• 정보 도용, 금전 도난, 또는 서비스 오용과 같은 조율된 위협을 수행하는 협동 앱 집합을 식별한다.
• 관련성이 낮은 앱 조합을 걸러내고 고위험 협동 후보에 집중하기 위해 확장 가능한 탐지 방법을 개발한다.
• 실제 적용 가능성과 실제 세계의 관련성을 확보하기 위해 인텔 시큐리티의 산업적 통찰을 통합한다.
• 정적 분석, 통계 히وري스틱, 공식 검증을 조합한 체계적인 접근을 통해 강력한 협동 탐지 방법을 구축한다.

제안 방법

• 협동을 공식적으로 정의하여, 부분 순서로 정렬된 행동 시퀀스를 함께 실행하고 상호 앱 간 통신을 수행하는 앱 집합으로 정의한다.
• API 호출, 권한, 데이터 흐름 의미론을 바탕으로 알려진 협동 패턴을 탐지하기 위해 프로로그 기반 규칙 기반 시스템을 사용한다.
• API 사용 패턴, 민감한 데이터 접근, 통신 행동에서의 공통 패턴을 탐지하여 의심스러운 앱 집합을 식별하기 위해 통계 분석을 적용한다.
• 다비크 바이트코드에서 모델 체킹을 수행하여 후보 앱 집합이 악성 위협 시퀀스를 유효한 실행 순서로 실행할 수 있는지 공식적으로 검증한다.
• 계산 비용이 높은 모델 체킹을 수행하기 전에 검색 공간을 줄이기 위해 규칙 기반 및 통계 기반 필터링 기법을 조합한다.
• 실제 시나리오에서 협동 가능성이 높은 자연스러운 앱 집합을 식별하기 위해 앱 메타데이터, 설치 로그, 텔레메트리 데이터를 활용한다.

실험 결과

연구 질문

• RQ1 안드로이드의 권한 및 통신 모델 맥락에서 앱 협동을 어떻게 공식적으로 정의할 수 있는가?
• RQ2 잠재적 협동 앱 집합의 검색 공간을 효과적으로 줄여 탐지의 확장성을 확보할 수 있는 자동화된 기법은 무엇인가?
• RQ3 규칙 기반 및 통계 기반 필터링이 깊이 있는 분석 이전에 고위험 앱 조합을 얼마나 잘 식별할 수 있는가?
• RQ4 다비크 바이트코드에서의 모델 체킹을 통해 후보 앱 집합 내에서 악성 협동 패턴의 존재를 신뢰성 있게 확인할 수 있는가?
• RQ5 실제 앱 배포 패턴(예: 설치 시점, 배포 채널 등)을 어떻게 활용하여 협동 후보를 우선순위 정할 수 있는가?

주요 결과

• 제안된 프레임워크는 규칙 기반 필터링, 통계 분석, 모델 체킹을 효과적으로 조합하여 소규모 앱 집합에서 협동을 탐지하는 데 성공했으며, 초기 결과가 유망하다.
• 프로로그 기반 규칙 기반 접근은 API 사용 및 권한 의존성에 기반해 알려진 협동 패턴을 효과적으로 식별한다.
• 통계 분석은 유사한 민감한 데이터 접근 및 통신 행동을 보이는 앱의 군집을 식별하여 의심스러운 앱 집합을 탐지하는 데 기여한다.
• 모델 체킹은 후보 앱 집합이 유효한 실행 순서로 악성 위협 시퀀스를 실행할 수 있는지 확인하는 공식 검증 계층을 제공한다.
• 규칙 기반 및 통계 기반 필터링을 통해 모델 체킹이 필요한 앱 조합의 수를 크게 줄여 확장성을 향상시켰다.
• 실제 텔레메트리 및 메타데이터(예: 설치 시점, 개발자 ID, 소스 IP 등)를 활용하여 실제 세계에서 협동 가능성이 높은 자연스러운 앱 집합을 식별함으로써 가짜 경고를 줄일 수 있다.