[논문 리뷰] Understanding Android Obfuscation Techniques: A Large-Scale Investigation in the Wild

Shuaike Dong, Menghao Li외 8명|arXiv (Cornell University)|2018. 01. 05.

Advanced Malware Detection Techniques참고 문헌 28인용 수 39

한 줄 요약

이 논문은 구글 플레이, 제3자 마켓, 악성코드 데이터베이스에서 수집한 114,560개의 실제 APK 파일을 대상으로, 경량의 기계학습 기반 검출기들을 사용하여 안드로이드 코드 오버플루션 기법—식별자 이름 변경, 문자열 암호화, 자바 리플렉션, 패킹—에 대한 대규모 실증 연구를 수행한다. 주요 발견은 악성코드 작성자가 문자열 암호화와 같은 고급 오버플루션 기법을 더 자주 사용하는 반면, 제3자 앱은 구글 플레이 앱보다 패킹 비율이 높다는 점으로, 앱 생태계 간에 오버플루션 패턴의 상이함을 드러낸다.

ABSTRACT

In this paper, we seek to better understand Android obfuscation and depict a holistic view of the usage of obfuscation through a large-scale investigation in the wild. In particular, we focus on four popular obfuscation approaches: identifier renaming, string encryption, Java reflection, and packing. To obtain the meaningful statistical results, we designed efficient and lightweight detection models for each obfuscation technique and applied them to our massive APK datasets (collected from Google Play, multiple third-party markets, and malware databases). We have learned several interesting facts from the result. For example, malware authors use string encryption more frequently, and more apps on third-party markets than Google Play are packed. We are also interested in the explanation of each finding. Therefore we carry out in-depth code analysis on some Android apps after sampling. We believe our study will help developers select the most suitable obfuscation approach, and in the meantime help researchers improve code analysis systems in the right direction.

연구 동기 및 목표

• 이론적 또는 도구 중심의 연구를 넘어서 실제 환경에서 안드로이드 오버플루션 기법이 어떻게 구현되고 있는지 이해하기 위해.
• 다양한 앱 마켓에서 네 가지 주요 오버플루션 기법—식별자 이름 변경, 문자열 암호화, 자바 리플렉션, 패킹—의 분포 및 보급 정도를 규명하기 위해.
• 정당한 개발자와 악성코드 작성자가 오버플루션을 어떻게 사용하는지에 대한 실증적 통찰을 제공하기 위해.
• 개발자가 효과적인 오버플루션 전략을 선택하고 연구자가 정적 분석 도구를 향상시키는 데 도움이 되도록 하기 위해.

제안 방법

• 탈옥화가 필요하지 않은 채로 오버플루션 패턴을 식별하기 위해 기계학습과 시그니처 매칭을 활용한 경량이고 효율적인 검출 모델을 설계하였다.
• 식별자 이름 변경, 문자열 암호화, 자바 리플렉션, 패킹의 네 가지 핵심 오버플루션 기법을 위한 검출기들을 구축하였다.
• 정답 데이터셋을 활용해 검출기의 정확도와 효율성을 검증하였다.
• 구글 플레이, 제3자 마켓, 악성코드 리포지토리에서 수집한 114,560개의 APK 데이터셋에 대해 대규모로 검출기를 적용하였다.
• 통계적 발견을 설명하기 위해 샘플링된 앱에 대한 심층적 코드 분석을 수행하였다.
• 탈옥화에 의존하지 않고 코드 패턴과 특징 기반의 통계 분석 및 클러스터링을 활용해 오버플루션을 탐지하였다.

실험 결과

연구 질문

• RQ1 실세계 앱에서 네 가지 주요 안드로이드 오버플루션 기법—식별자 이름 변경, 문자열 암호화, 자바 리플렉션, 패킹—의 보편성는 어떠한가?
• RQ2 구글 플레이, 제3자 마켓, 악성코드 소스에서 온 앱들 간에 오버플루션 사용 방식은 어떻게 다를까?
• RQ3 악성코드 작성자는 정당한 개발자와 비교해 어떤 오버플루션 기법을 가장 자주 사용하는가?
• RQ4 앱 카테고리와 마켓에 따라 오버플루션 기법의 효과성과 보급 패턴은 어떻게 달라지는가?
• RQ5 이러한 오버플루션 패턴은 정적 코드 분석 및 악성코드 탐지에 어떤 함의를 지니는가?

주요 결과

• 악성코드 작성자는 정당한 앱 개발자보다 문자열 암호화를 훨씬 더 자주 사용하며, 이는 정적 분석을 회피하기 위한 목적임을 시사한다.
• 제3자 마켓 앱은 구글 플레이 앱보다 패킹 확률이 두 배 이상 높으며, 이는 비공식 마켓에서 분석 방지 조치가 더 강하게 구현되어 있음을 시사한다.
• 식별자 이름 변경은 악성코드에서보다 제3자 앱에서 더 널리 사용되고 있어, 공격자가 주로 오버플루션을 위해 사용한다고 가정하는 것과 모순된다.
• 기본적인 오버플루션 기법인 식별자 이름 변경은 양호한 앱에서 흔히 볼 수 있지만, 문자열 암호화나 패킹과 같은 고급 기법은 주로 악성코드에서 사용된다.
• 이 연구는 명확한 오버플루션 전략의 분리가 있음을 드러내며, 정상 앱은 경량 기법을 선호하고, 악성코드는 더 정교하고 분석에 강건한 방법을 사용한다는 점을 보여준다.
• 결과적으로 현재의 코드 분석 도구는 식별자 이름 변경보다 문자열 암호화와 패킹에 더 큰 도전에 직면해 있음을 시사하며, 이는 향후 도구 설계의 우선순위를 안내한다.