[논문 리뷰] PuppetDroid: A User-Centric UI Exerciser for Automatic Dynamic Analysis of Similar Android Applications

Andrea Gianazza, Federico Maggi외 3명|arXiv (Cornell University)|2014. 02. 19.

Advanced Malware Detection Techniques참고 문헌 21인용 수 22

한 줄 요약

PuppetDroid는 인간이 수행한 UI 상호작용(자극 트레이스)을 기록하고, 시각적 UI 유사도를 통해 유사한 앱 간에 이를 재사용함으로써 사용자 중심의 협업형 동적 분석을 제안한다. 시각적 유사도를 위한 감각 해싱과 자동 이벤트 재생을 활용하여 기존 최고 수준의 도구보다 12–24% 높은 코드 커버리지 달성을 이뤘으며, 자동으로 촉발하기 어려운 악성 행동을 효과적으로 탐지할 수 있다.

ABSTRACT

Popularity and complexity of malicious mobile applications are rising, making their analysis difficult and labor intensive. Mobile application analysis is indeed inherently different from desktop application analysis: In the latter, the interaction of the user (i.e., victim) is crucial for the malware to correctly expose all its malicious behaviors. We propose a novel approach to analyze (malicious) mobile applications. The goal is to exercise the user interface (UI) of an Android application to effectively trigger malicious behaviors, automatically. Our key intuition is to record and reproduce the UI interactions of a potential victim of the malware, so as to stimulate the relevant behaviors during dynamic analysis. To make our approach scale, we automatically re-execute the recorded UI interactions on apps that are similar to the original ones. These characteristics make our system orthogonal and complementary to current dynamic analysis and UI-exercising approaches. We developed our approach and experimentally shown that our stimulation allows to reach a higher code coverage than automatic UI exercisers, so to unveil interesting malicious behaviors that are not exposed when using other approaches. Our approach is also suitable for crowdsourcing scenarios, which would push further the collection of new stimulation traces. This can potentially change the way we conduct dynamic analysis of (mobile) applications, from fully automatic only, to user-centric and collaborative too.

연구 동기 및 목표

• 모바일 UI의 높은 상호작용 성격으로 인해 동적 분석에서 코드 커버리지가 제한되는 문제를 해결하기 위해.
• 복잡하거나 드문 악성 행동을 자동으로 촉발하는 데에 효과가 떨어지는 완전 자동화된 UI 연출 도구의 한계를 극복하기 위해.
• 유사 응용프로그램 간에 인간이 관찰한 UI 자극 트레이스를 재사용함으로써 확장 가능하고 협업 기반의 동적 분석을 가능하게 하기 위해.
• 시각적 유사도(감각 해싱을 통한)를 활용해 유사 응용프로그램을 식별하고, 이들에 대해 자극 트레이스를 재사용할 수 있는 시스템을 개발하기 위해.
• 사용자-중심의 UI 상호작용이 자동 도구보다 악성 행동을 폭 드러내는 데 더 효과적임을 입증하기 위해.

제안 방법

• 물리적 기기나 에뮬레이터를 사용하여 대상 안드로이드 앱에서 인간이 수행한 UI 상호작용 트레이스(자극 트레이스)를 기록한다.
• 스크린샷의 감각 해싱을 사용하여 UI 레이아웃 유사도 기반으로 시각적으로 유사한 앱을 색인화하고 식별한다.
• 기록된 UI 이벤트를 대상 앱의 해당 뷰 객체에 매핑하여 유사한 앱에서 자동으로 재생한다.
• UI 유사도를 활용해 자극 트레이스를 앱 간에 전이하며, 재패키징된 악성코드나 악성 페이로드를 숨긴 양호한 앱 모두에 적용한다.
• 기존의 동적 분석 프레임워크와 통합하여 재생 중 시스템 호출을 모니터링하고 악성 행동을 탐지한다.
• 이벤트 주입과 시스템 호출 모니터링을 지원하기 위해 수정된 안드로이드 에뮬레이터를 사용하여 정밀한 행동 분석을 수행한다.

실험 결과

연구 질문

• RQ1 인간이 수행한 UI 상호작용이 자동 도구보다 안드로이드 앱의 악성 행동을 촉발하는 데 더 효과적인가?
• RQ2 안드로이드 앱 간의 UI 유사도를 얼마나 잘 활용하여 인간이 관찰한 자극 트레이스를 자동으로 재실행할 수 있는가?
• RQ3 PuppetDroid의 코드 커버리지는 최신 자동 UI 연출 도구와 비교해 악성 행동 탐지에서 어떻게 다른가?
• RQ4 저자원 오버헤드를 유지하면서도 대규모 앱 수를 분석하는 데에 시스템이 확장 가능한가?
• RQ5 감각 해싱이 자극 트레이스 재사용을 위한 시각적으로 유사한 앱을 식별하는 데 얼마나 효과적인가?

주요 결과

• 자동 도구인 Monkey나 Dynodroid와 비교해 인간 사용자가 악성 행동을 더 높은 코드 커버리지로 촉발했다.
• 분석한 7,000개 애플리케이션 전반에서 PuppetDroid는 최신 자동 UI 연출 도구보다 12–24% 높은 코드 커버리지를 달성했다.
• 시스템은 자동으로 촉발되지 않았던 코너 케이스의 악성 행동—예를 들어 숨겨진 SMS 전송 또는 데이터 유출—을 성공적으로 발견했다.
• 감각 해싱을 통해 낮은 계산 오버헤드로도 정확하고 확장 가능한 시각적 유사 앱 식별이 가능했다.
• 재패키징된 악성코드와 악성 페이로드를 숨긴 양호한 앱 모두에 대해 이 방법이 효과적이었다.
• 이 시스템은 커뮤니티 기반으로 자극 트레이스를 수집하고 재사용할 수 있어, 대규모 사용자 기반에서 협업 분석에 적합하다.