[論文レビュー] BPFroid: Robust Real Time Android Malware Detection Framework

Yaniv Agman, Danny Hendler|arXiv (Cornell University)|May 29, 2021

Advanced Malware Detection Techniques参考文献 20被引用数 10

ひとこと要約

BPFroid は、実際のデバイス上で eBPF を活用してシステムコール、ネイティブライブラリ関数、Android フレームワーク API コール、およびカーネル関数を直接監視することで、リアルタイムで Android マルウェアを検出する新規のフレームワークである。システムの変更や root アクセスを除き、初期セットアップを除いては、システム変更や root 権限を必要とせず、低オーバーヘッドで強固なランタイム検出を可能にし、性能への影響を最小限に抑えながら、悪意ある行動をリアルタイムで検知する。

ABSTRACT

We present BPFroid -- a novel dynamic analysis framework for Android that uses the eBPF technology of the Linux kernel to continuously monitor events of user applications running on a real device. The monitored events are collected from different components of the Android software stack: internal kernel functions, system calls, native library functions, and the Java API framework. As BPFroid hooks these events in the kernel, a malware is unable to trivially bypass monitoring. Moreover, using eBPF doesn't require any change to the Android system or the monitored applications. We also present an analytical comparison of BPFroid to other malware detection methods and demonstrate its usage by developing novel signatures to detect suspicious behavior that are based on it. These signatures are then evaluated using real apps. We also demonstrate how BPFroid can be used to capture forensic artifacts for further investigation. Our results show that BPFroid successfully alerts in real time when a suspicious behavioral signature is detected, without incurring a significant runtime performance overhead.

研究の動機と目的

• 高度な回避技術に対抗できない、従来の静的解析およびサンドボックスベースの Android マルウェア検出手法の限界を解消すること。
• システムの変更を要せず、生産環境の Android デバイス上でリアルタイムに動作する動的解析フレームワークの開発。
• eBPF のカーネルレベルのインストルメンテーション機能を活用し、マルウェアによるバイパスを防ぐ強固なセキュリティ保証を提供すること。
• Android フレームワーク API、システムコール、カーネル関数の細粒度監視を通じて、高度なマルウェア行動の検出を可能にすること。
• eBPF を用いたエンドポイントレベルの Android マルウェア検出の実現可能性を示すこと、かつ性能への影響を最小限に抑えること。

提案手法

• eBPF を使用して、Android デバイス上のシステムイベントのランタイム監視のため、Linux カーネルに BPF プログラムを挿入する。
• ART の AOT コンパイルと静的コード解析を活用して関数アドレスを特定し、uprobe を使用して事前にコンパイル済みの Android フレームワーク API 関数にフックする。
• Android ソフトウェアスタックの複数のレイヤーを監視する：Java API フレームワークコール、ネイティブライブラリ関数、システムコール、および内部カーネル関数。
• 監視された全イベントからの行動テレメトリを収集し、カスタムの行動シグネチャを用いて不審なパターンを検出する。
• 実行時中に監視イベントを永続化することで、リアルタイムのアラート発行とフォレンジックアーティファクト収集を可能にする。
• 収集したデータをエクスポートすることで、機械学習や高度な分析処理に向けたリモート分析パイプラインとの統合を可能にする。

実験結果

リサーチクエスチョン

• RQ1 eBPF を用いて、システム変更を要せず、生産環境で利用可能なリアルタイム Android マルウェア検出システムを構築できるか？
• RQ2 BPFroid の監視カバレッジは、アプリケーションと OS 間の相互作用の可視性において、既存のフレームワークと比較してどの程度優れているか？
• RQ3 BPFroid の eBPF ベースのアプローチが、サンドボックス環境を検出するマルウェアによる回避をどの程度効果的に防げるか？
• RQ4 物理デバイス上で実アプリケーションを監視する際、BPFroid のランタイム性能オーバーヘッドはどの程度か？
• RQ5 BPFroid は、低レベルのシステムイベントから導出された新しい行動シグネチャを用いて、既知の悪意ある行動を検出できるか？

主な発見

• BPFroid は、eBPF でトレースされたイベントから導出された行動シグネチャを用いて、物理 Android デバイス上で悪意ある行動をリアルタイムで検出することに成功した。
• フレームワークは最小限のランタイム性能オーバーヘッドを伴い、生産環境デバイスへの展開に適している。
• eBPF を用いた監視は、マルウェアがカーネルレベルのフックを簡単にバイパスできない強固なセキュリティ境界を提供する。
• BPFroid は、監視イベントからフォレンジックアーティファクトを取得でき、不審な挙動のフォスト・マーテム分析を可能にする。
• エミュレートされた環境に依存せず、デバイス上で直接動作するため、サンドボックス回避技術に対して高い耐性を示す。
• BPFroid のアーキテクチャは拡張可能であり、将来の拡張においてポリシー制御の統合や静的解析との連携が可能となる。