[論文レビュー] DeepCatra: Learning Flow- and Graph-based Behaviors for Android Malware Detection

Yafei Wu, Jian Shi+3 more|arXiv (Cornell University)|Jan 30, 2022

Advanced Malware Detection Techniques被引用数 6

ひとこと要約

DeepCatraは、双方向LSTM（BiLSTM）とグラフニューラルネットワーク（GNN）モデルを組み合わせることで、Androidマルウェア検出のためのマルチビュー深層学習フレームワークを提案する。公開された脆弱性から導出されたコールトレースを活用し、時間的オペコードシーケンス（BiLSTM用）を抽出するとともに、非同質的抽象フローフラワーブを構築（GNN用）し、実世界のデータセット上で最先端手法と比較してF1スコアで2.7%～14.6%の向上を達成した。

ABSTRACT

As Android malware is growing and evolving, deep learning has been introduced into malware detection, resulting in great effectiveness. Recent work is considering hybrid models and multi-view learning. However, they use only simple features, limiting the accuracy of these approaches in practice. In this paper, we propose DeepCatra, a multi-view learning approach for Android malware detection, whose model consists of a bidirectional LSTM (BiLSTM) and a graph neural network (GNN) as subnets. The two subnets rely on features extracted from statically computed call traces leading to critical APIs derived from public vulnerabilities. For each Android app, DeepCatra first constructs its call graph and computes call traces reaching critical APIs. Then, temporal opcode features used by the BiLSTM subnet are extracted from the call traces, while flow graph features used by the GNN subnet are constructed from all the call traces and inter-component communications. We evaluate the effectiveness of DeepCatra by comparing it with several state-of-the-art detection approaches. Experimental results on over 18,000 real-world apps and prevalent malware show that DeepCatra achieves considerable improvement, e.g., 2.7% to 14.6% on F1-measure, which demonstrates the feasibility of DeepCatra in practice.

研究の動機と目的

• 従来の検出手法を回避する洗練されたAndroidマルウェアを検出する課題に対処するため、微細な行動特徴を活用すること。
• オペコードシーケンスからの時間的特徴と、コンponent間通信および重要なAPIフローからの構造的グラフ特徴を統合することで、検出精度を向上させること。
• 公開された脆弱性知識（例：CVE）に特徴を根拠づけることで、モデルの解釈可能性と頑健性を高めること。
• マルチビュー学習と非同質的グラフ表現を組み合わせたスケーラブルなハイブリッド深層学習モデルを、マルウェア分類に向け開発すること。

提案手法

• テキストマイニングを用いて、公開脆弱性レポジトリ（例：CVE）から重要なAPIの集合を抽出し、高リスクのシステムコールを特定する。
• 各Androidアプリの静的コールグラフを構築し、重要なAPIで終わるコールトレースを抽出することで、マルウェア行動経路を捉える。
• これらのコールトレースからサンプリングされたオペコードシーケンスを、時間的行動パターンをモデル化するためのBiLSTMサブネットの入力とする。
• 重要なAPIエッジとコンponent間通信（ICC）エッジを統合し、フロー種別をエッジラベルとして符号化することで、非同質的抽象フローグラフを構築する。
• 別々のBiLSTMおよびGNNブランチを備えたハイブリッド深層学習モデルを訓練し、最終分類のための出力を非加重平均で統合する。
• 次元削減および特徴統合技術を適用して、モデル効率性と表現学習を最適化する。

実験結果

リサーチクエスチョン

• RQ1 脆弱性由来の重要なAPIコールトレースを統合することで、複雑なAndroidマルウェア行動の検出が向上するか？
• RQ2 BiLSTMによる時間的オペコードシーケンスとGNNによる構造的フローグラフを組み合わせたマルチビュー学習アプローチは、マルウェア検出においてどの程度効果的か？
• RQ3 特にコンponent間通信を含む非同質的フローフローをモデル化することで、良性と悪意あるアプリを区別する能力が向上するか？
• RQ4 ヒューリスティック的または一般的な特徴抽出と比較して、実世界の脆弱性知識（例：CVE）を用いることで、検出性能はどの程度向上するか？

主な発見

• DeepCatraは、18,000以上の実世界のAndroidアプリおよびマルウェアサンプルを含むデータセット上で、最先端の検出手法と比較してF1スコアで2.7%～14.6%の向上を達成した。
• オペコードシーケンスのためのBiLSTMと、非同質的フローグラフのためのGNNの統合により、CNN、LSTM、GCNベースのモデルよりも優れた検出性能が得られた。
• 公開された脆弱性レポートから導出された重要なAPIコールトレースの使用は、特徴の関連性と検出精度を顕著に向上させた。
• コンponent間通信エッジを含む抽象フローグラフは、多様なフロー種別を捉えており、悪意ある共謀パターンと良性行動を区別する能力を高めた。
• 公開済みのコードおよびトレーニング済みモデルを備えることから、複雑な実世界のAndroidアプリにおいても、モデルの頑健性とスケーラビリティが確認された。