[论文解读] Android Malware Category and Family Detection and Identification using Machine Learning

Ahmed Hashem El Fiky, Ayman El Shenawy+1 more|arXiv (Cornell University)|Jul 5, 2021

Advanced Malware Detection Techniques被引用 9

一句话总结

本文提出两种用于动态分析Android恶意软件的机器学习方法，在CCCS-CIC-AndMal2020数据集上，检测恶意软件类别准确率超过96%，识别恶意软件家族准确率超过99%。该方法利用动态执行过程中提取的行为特征，实现了高精度、高效率的规模化Android恶意软件分类。

ABSTRACT

Android malware is one of the most dangerous threats on the internet, and it's been on the rise for several years. Despite significant efforts in detecting and classifying android malware from innocuous android applications, there is still a long way to go. As a result, there is a need to provide a basic understanding of the behavior displayed by the most common Android malware categories and families. Each Android malware family and category has a distinct objective. As a result, it has impacted every corporate area, including healthcare, banking, transportation, government, and e-commerce. In this paper, we presented two machine-learning approaches for Dynamic Analysis of Android Malware: one for detecting and identifying Android Malware Categories and the other for detecting and identifying Android Malware Families, which was accomplished by analyzing a massive malware dataset with 14 prominent malware categories and 180 prominent malware families of CCCS-CIC-AndMal2020 dataset on Dynamic Layers. Our approach achieves in Android Malware Category detection more than 96 % accurate and achieves in Android Malware Family detection more than 99% accurate. Our approach provides a method for high-accuracy Dynamic Analysis of Android Malware while also shortening the time required to analyze smartphone malware.

研究动机与目标

• 为应对医疗、金融和电子商务等关键领域日益增长的Android恶意软件威胁。
• 深入理解主流Android恶意软件类别和家族的独特行为模式。
• 开发一种可扩展的、高精度的动态分析方法，用于大规模Android恶意软件分类。
• 在实际部署场景中，减少分析时间的同时保持高检测精度。

提出的方法

• 该方法利用动态分析，在运行时执行过程中提取Android应用程序的行为特征。
• 采用来自CCCS-CIC-AndMal2020数据集的全面数据集，包含14种恶意软件类别和180个恶意软件家族，用于训练和评估。
• 为恶意软件类别检测和恶意软件家族识别分别训练监督机器学习模型。
• 特征工程聚焦于运行时观察到的系统级API调用、权限、网络活动和进程行为。
• 模型针对高精确率和高召回率进行优化，性能通过标准分类指标进行评估。
• 该流程支持自动化、可扩展的分类，且人工干预极少。

实验结果

研究问题

• RQ1 机器学习模型能否在预定义类别中实现高精度的Android恶意软件分类？
• RQ2 该方法能否扩展至以类似精度识别特定恶意软件家族？
• RQ3 与仅使用静态分析相比，运行时行为的动态分析如何提升检测准确率？
• RQ4 当应用于大规模、多样化的恶意软件数据集时，所提出方法的可扩展性和效率如何？

主要发现

• 恶意软件类别检测模型在CCCS-CIC-AndMal2020数据集上的准确率超过96%。
• 恶意软件家族检测模型准确率超过99%，表明在识别单个家族方面具有高度特异性。
• 基于动态分析的方法显著减少了人工分析时间，同时保持了高检测保真度。
• 该方法能有效区分14种类别和180个家族之间的多样化恶意软件行为，表明具有强大的泛化能力。
• 结果证实，运行时提取的行为特征对恶意软件分类具有高度判别性。