[논문 리뷰] FamDroid: Learning-Based Android Malware Family Classification Using Static Analysis

Wenhao Fan, Liang Zhao외 4명|arXiv (Cornell University)|2021. 01. 11.

Advanced Malware Detection Techniques참고 문헌 17인용 수 6

한 줄 요약

FamDroid는 정적 분석을 사용하여 악성 소프트웨어 패밀리 분류 프레임워크를 제안하며, 명시적 특징(권한, 컴ponent, 인텐트 필터)과 암시적 API 호출 관계 특징을 결합하여 악성 소프트웨어 패밀리 행동을 포착한다. 이는 기반 분류기의 샘플별 가중치를 동적으로 할당하는 적응형 가중치 통합 분류기를 사용하여 Drebin 데이터셋에서 98.92%의 정확도와 99.12%의 F1 스코어를 달성하며, 기존 최고 수준의 방법들을 능가한다.

ABSTRACT

Android is currently the most extensively used smartphone platform in the world. Due to its popularity and open source nature, Android malware has been rapidly growing in recent years, and bringing great risks to users' privacy. The malware applications in a malware family may have common features and similar behaviors, which are beneficial for malware detection and inspection. Thus, classifying Android malware into their corresponding families is an important task in malware analysis. At present, the main problem of existing research works on Android malware family classification lies in that the extracted features are inadequate to represent the common behavior characteristics of the malware in malicious families, and leveraging a single classifier or a static ensemble classifier is restricted to further improve the accuracy of classification. In this paper, we propose FamDroid, a learning-based Android malware family classification scheme using static analysis technology. In FamDroid, the explicit features including permissions, hardware components, app components, intent filters are extracted from the apk files of a malware application. Besides, a hidden feature generated from the extracted APIs is used to represents the API call relationship in the application. Then, we design an adaptive weighted ensemble classifier, which considers the adaptability of the sample to each base classifier, to carry out accurate malware family classification. We conducted experiments on the Drebin dataset which contains 5560 Android malicious applications. The superiority of FamDroid is demonstrated through comparing it with 5 traditional machine learning models and 4 state-of-the-art reference schemes. FamDroid can correctly classify 98.92% of malware samples into their families and achieve 99.12% F1-Score.

연구 동기 및 목표

• 기존 Android 악성 소프트웨어 패밀리 분류 방법이 부족하거나 종합적이지 않은 특징에 의존하는 데에 기인한 한계를 해결하기 위해, 특히 암시적 행동 패턴이 누락된 문제를 해결한다.
• 다중 클래스 악성 소프트웨어 패밀리 분류에서 단일 또는 정적 앙상블 분류기의 성능 제한을 극복한다.
• 특히 악성 행동 패턴을 반영하는 API 호출 관계를 포함한 명시적 및 암시적 특징을 통합하여 분류 정확도를 향상시킨다.
• 기반 분류기의 성능을 샘플의 고유 특성에 맞게 동적으로 가중치를 할당함으로써 개별 샘플에 적응하는 분류기를 설계한다.
• 기존 최고 수준의 기술들과 비교하여 실제 악성 소프트웨어 데이터셋에서 뛰어난 성능을 입증한다.

제안 방법

• 정적 분석을 통해 AndroidManifest.xml 및 smali 파일에서 명시적 특징—권한, 하드웨어 컴포넌트, 앱 컴포넌트, 인텐트 필터—를 추출한다.
• Random Forest 기반 특징 평가를 통해 중요도가 높은 API를 식별하고, 이를 기반으로 API 호출 관계 행렬을 구성함으로써 암시적 특징을 생성한다.
• 차원 수를 줄이고 가장 구분력 있는 특징을 유지하기 위해 Random Forest를 사용해 특징 선택을 수행한다.
• 기반 분류기 생성을 위해 향상된 K-means 알고리즘을 사용해 훈련 샘플을 군집화한다.
• 기반 분류기와의 샘플 적합도에 따라 샘플별 가중치를 할당하는 적응형 가중치 통합 분류기를 설계한다.
• 테스트 단계에서 적응형 가중치 기반 메커니즘을 적용하여 각 샘플에 가장 신뢰할 수 있는 기반 분류기를 동적으로 선택함으로써 다중 클래스 분류의 강건성을 향상시킨다.

실험 결과

연구 질문

• RQ1 명시적 특징과 암시적 특징, 특히 API 호출 관계를 결합함으로써 정적 분석에서 악성 소프트웨어 패밀리 행동의 표현력을 향상시킬 수 있는가?
• RQ2 적응형 가중치 통합 분류기는 다중 클래스 Android 악성 소프트웨어 패밀리 분류에서 정적 또는 단일 분류기보다 어떻게 뛰어난 성능을 내는가?
• RQ3 Random Forest 기반 특징 선택이 악성 소프트웨어 패밀리 분류 모델의 성능 향상에 얼마나 기여하는가?
• RQ4 향상된 K-means를 통한 샘플 군집화가 앙상블 학습에서 기반 분류기 구성의 효과성을 어떻게 향상시키는가?
• RQ5 제안된 프레임워크는 기존 최고 수준의 악성 소프트웨어 패밀리 분류 방법과 비교해 뛰어난 분류 정확도와 F1 스코어를 달성하는가?

주요 결과

• FamDroid는 Drebin 데이터셋에서 98.92%의 분류 정확도를 달성하여 기존 기계학습 모델과 기준 기반 기법들을 크게 능가한다.
• 이 프레임워크는 F1 스코어가 99.12%에 이르며, 모든 악성 소프트웨어 패밀리에서 정밀도와 재현율의 균형이 잘 맞춰진 것을 나타낸다.
• API 호출 관계를 암시적 특징으로 포함시킴으로써 모델이 악성 소프트웨어 패밀리 간 공통적인 악성 행동 패턴을 포착하는 능력이 크게 향상된다.
• 적응형 가중치 통합 분류기는 기반 분류기와의 샘플별 적합도에 따라 가중치를 동적으로 할당함으로써 일반화 성능을 향상시킨다.
• C-DFG(96.79% 정확도) 및 FalDroid(95.3% 정확도)와 같은 최고 수준의 기존 방법들과 비교해 FamDroid는 뛰어난 성능을 보였다.
• Random Forest를 활용한 특징 선택 과정은 가장 정보가 풍부한 특징을 효과적으로 식별하고 유지하여 높은 분류 효율성과 정확도에 기여했다.