[논문 리뷰] A Sink-driven Approach to Detecting Exposed Component Vulnerabilities in Android Apps

Daoyuan Wu, Xiapu Luo외 1명|arXiv (Cornell University)|2014. 05. 24.

Advanced Malware Detection Techniques참고 문헌 28인용 수 16

한 줄 요약

이 논문은 Android 앱의 노출된 구성 요소 취약성(ECV)을 탐지하기 위해 체계적으로 식별하고 분류한 취약성 전용 싱크(VSinks)를 기반으로 한 싱크 기반 접근법을 제안한다. 정방향 도달 가능성과 카테고리 인식 백워드 데이터 플로우 분석을 사용하여, 상위 1,000개의 Android 앱 중에서 이전에 알려지지 않은 49개의 취약 앱을 탐지하였으며, 구성 요소당 평균 분석 시간은 9.257초였다.

ABSTRACT

Android apps could expose their components for cooperating with other apps. This convenience, however, makes apps susceptible to the exposed component vulnerability (ECV), in which a dangerous API (commonly known as sink) inside its component can be triggered by other (malicious) apps. In the prior works, detecting these ECVs use a set of sinks pertaining to the ECVs under detection. In this paper, we argue that a more comprehensive and effective approach should start by a systematic selection and classification of vulnerability-specific sinks (VSinks). The set of VSinks is much larger than those used in the previous works. Based on these VSinks, our sink-driven approach can detect different kinds of ECVs in an app in two steps. First, VSinks and their categories are identified through a typical forward reachability analysis. Second, based on each VSink's category, a corresponding detection method is used to identify the ECV via a customized backward dataflow analysis. We also design a semi-auto guided analysis and validation capability for system-only broadcast checking to remove some false positives. We implement our sink-driven approach in a tool called ECVDetector and evaluate it with the top 1K Android apps. Using ECVDetector we successfully identify a total of 49 vulnerable apps across all four ECV categories we have defined. To our knowledge, most of them are previously undisclosed, such as the very popular Go SMS Pro and Clean Master. Moreover, the performance of ECVDetector is high, requiring only 9.257 seconds on average to process each component.

연구 동기 및 목표

• 기존의 ECV 탐지 도구들이 특정 취약성 유형에 밀접하게 연결되어 있고, 비체계적인 싱크 집합에 의존하는 한계를 해결한다.
• 다양한 ECV 카테고리에 걸쳐 취약성 전용 싱크(VSinks)를 체계적으로 식별하고 분류하여 탐지 커버리지를 향상시킨다.
• 싱크 분류를 분석 로직에서 분리하여 보다 광범위한 적용성을 갖춘 일반적이고 확장 가능한 탐지 프레임워크를 개발한다.
• 특히 시스템 전용 브로드캐스트 검사에 대해 반자동 가이드드 분석을 통해 잠재적 오진을 줄인다.
• 연구 공동체가 활용할 수 있도록 372개의 VSinks와 183개의 데이터 소스 API로 구성된 데이터셋을 공개하여 실용적 구현을 가능하게 한다.

제안 방법

• API 이름, 권한 의미론, 기타 메트릭을 기반으로 한 규칙 기반 시스템을 정의하여, VSinks를 분석 요구사항에 따라 네 가지 구분된 카테고리로 체계적으로 선택하고 분류한다.
• 모든 구성 요소 내에서 VSinks를 모두 찾기 위해 반복적이고 흐름에 민감한 내부 프로시저 정방향 도달 가능성 분석을 수행한다.
• 각 VSink 카테고리에 맞는 맞춤형 백워드 데이터 플로우 분석을 적용하여 외부 입력에서 취약한 싱크로 이어지는 잠재적 공격 플로우를 추적한다.
• 특히 시스템 전용 브로드캐스트 수신기의 경우에 대해 오진을 검증하고 걸러내기 위해 반자동 가이드드 분석 모듈을 통합한다.
• 규칙 해석, 싱크 분류, 종단 간 취약성 탐지 기능을 지원하는 ECVDetector 도구로 접근법을 구현한다.
• 사전 정의된 구문 및 의미 규칙에 기반해 동적으로 VSinks를 선택하고 분류하기 위해 규칙 인터프리터를 활용한다.

실험 결과

연구 질문

• RQ1 체계적이고 종합적인 취약성 전용 싱크(VSinks) 선택은 이전의 비체계적 접근 방식에 비해 ECV 탐지 커버리지를 어떻게 향상시킬 수 있는가?
• RQ2 분석 요구사항에 따라 VSinks를 분류하는 싱크 기반 프레임워크는 다양한 취약성 카테고리에 걸쳐 이전에 발견되지 않은 ECV를 탐지하는 데 얼마나 효과적인가?
• RQ3 VSink 카테고리에 따라 가이드되는 백워드 데이터 플로우 분석은 복잡한 ECV 탐지에서 정방향 분석에 비해 얼마나 뛰어난가?
• RQ4 반자동 가이드드 분석은 특히 시스템 전용 브로드캐스트 수신기의 경우에 오진 감소에 얼마나 효과적인가?
• RQ5 제안된 접근법은 이전에 알려지지 않은 실제 세계의 ECV를 널리 사용되는 Android 응용 프로그램에서 탐지할 수 있는가?

주요 결과

• ECVDetector는 Google Play의 상위 1,000개 앱 중에서 이전에 알려지지 않은 49개의 취약한 Android 앱을 성공적으로 탐지하였다.
• 이 도구는 이전에 보고되지 않은 바이러스 프로토콜이 포함된 Go SMS Pro와 Clean Master와 같은 고유명 앱의 취약성도 탐지하였다.
• 구성 요소당 평균 분석 시간은 단지 9.257초였으며, 이는 높은 성능과 확장성을 보여준다.
• 분석 요구사항에 따라 372개의 취약성 전용 싱크(VSinks)를 식별하고 네 가지 구분된 카테고리로 분류하였다.
• 도구의 반자동 가이드드 분석은 특히 시스템 전용 브로드캐스트 수신기 검사의 맥락에서 오진을 크게 줄였다.
• 저자들은 향후 Android 보안 분석 연구를 지원하기 위해 372개의 VSinks와 183개의 데이터 소스 API로 구성된 데이터셋을 공개하였다.