[논문 리뷰] Resilient and Adaptive Framework for Large Scale Android Malware Fingerprinting using Deep Learning and NLP Techniques

ElMouatez Billah Karbab, Mourad Debbabi|arXiv (Cornell University)|2021. 05. 27.

Advanced Malware Detection Techniques참고 문헌 45인용 수 7

한 줄 요약

PetaDroid는 NLP와 딥러닝 기반의 프레임워크로, 대규모 안드로이드 악성코드 탐지 및 패밀리 클러스터링을 위해 앙상블 CNN을 인스트럭션-벡터(Inst2Vec) 특징에 적용하고, 자동에코더를 사용해 클러스터링을 수행한다. 탐지 과정에서 98–99%의 F1 스코어를 기록하고, 클러스터링의 동질도는 96%를 달성하며, 신뢰도 기반 데이터셋 강화를 통해 자동으로 적응하고, 학습 중 코드 조각 무작위화를 통해 오브스큐레이션에 대한 내성을 확보한다.

ABSTRACT

Android malware detection is a significat problem that affects billions of users using millions of Android applications (apps) in existing markets. This paper proposes PetaDroid, a framework for accurate Android malware detection and family clustering on top of static analyses. PetaDroid automatically adapts to Android malware and benign changes over time with resilience to common binary obfuscation techniques. The framework employs novel techniques elaborated on top of natural language processing (NLP) and machine learning techniques to achieve accurate, adaptive, and resilient Android malware detection and family clustering. PetaDroid identifies malware using an ensemble of convolutional neural network (CNN) on proposed Inst2Vec features. The framework clusters the detected malware samples into malware family groups utilizing sample feature digests generated using deep neural auto-encoder. For change adaptation, PetaDroid leverages the detection confidence probability during deployment to automatically collect extension datasets and periodically use them to build new malware detection models. Besides, PetaDroid uses code-fragment randomization during the training to enhance the resiliency to common obfuscation techniques. We extensively evaluated PetaDroid on multiple reference datasets. PetaDroid achieved a high detection rate (98-99% f1-score) under different evaluation settings with high homogeneity in the produced clusters (96%). We conducted a thorough quantitative comparison with state-of-the-art solutions MaMaDroid, DroidAPIMiner, MalDozer, in which PetaDroid outperforms them under all the evaluation settings.

연구 동기 및 목표

• 악성코드 패밀리의 진화, 새로운 안드로이드 API의 출현, 정상 앱의 변화로 인해 악성코드 탐지 시스템의 정확도가 점차 저하되는 문제를 해결한다.
• 악성코드 패밀리에 대한 사전 지식이 없이도 비지도 학습 기반의 악성코드 패밀리 할당을 가능하게 하여, 새로운 위협을 식별하는 데 핵심적인 역할을 한다.
• 정적 분석에서 흔히 사용되는 오브스큐레이션 기법(예: 코드 재정렬, API 조작)에 대한 내성을 향상시킨다.
• 수작업 특징 엔지니어링에 의존하지 않고, NLP 기반 기법을 활용한 자동화되고 확장 가능한 특징 추출 기법을 적용한다.
• 신뢰도 기반의 자동 데이터셋 강화 및 모델 재학습 파이프라인을 통해 장기적인 적응 능력을 확보한다.

제안 방법

• 안드로이드 달빅 바이트코드 명령어를 밀도 높은 벡터 표현으로 매핑하기 위해 Inst2Vec를 활용하여 의미적 및 문법적 패턴을 포착한다.
• Inst2Vec 특징에 1D 컨volutional 신경망(CNN)의 앙상블를 적용하여 앱을 악성 또는 정상으로 고도로 신뢰도 있게 분류한다.
• 딥 오토에코더가 학습한 특징 다이제스트에 대해 DBScan 클러스터링을 적용하여 유사한 악성코드 샘플을 유사한 패밀리로 그룹화한다.
• 학습 중에 조각 기반 무작위화 기법을 도입하여, 메서드 수준의 순서를 유지하면서도 매크로 액션의 순서를 뒤섞음으로써 오브스큐레이션에 대한 강건성을 향상시킨다.
• 고신뢰도 탐지 샘플(악성 및 정상)을 시간이 지남에 따라 수집하여 학습 데이터셋을 확장하고, 정기적으로 CNN 앙상블을 재학습시키는 자동 적응 메커니즘을 구현한다.
• 온라인 학습 대신 배치 학습을 활용하여 모델 일반화 능력을 향상시키고, 데이터 순서에 기인한 편향을 줄인다.

실험 결과

연구 질문

• RQ1 딥러닝 기반 프레임워크가 수작업 특징 엔지니어링 없이 대규모 안드로이드 악성코드에 대해 높은 탐지 정확도와 강력한 패밀리 클러스터링 성능을 달성할 수 있는가?
• RQ2 제안된 신뢰도 기반 자동 적응 메커니즘이 새로운 안드로이드 API와 악성코드 변종이 등장함에 따라 탐지 성능을 장기간 유지를 하는 데 얼마나 효과적인가?
• RQ3 학습 중 코드 조각 무작위화가 정적 분석에서 흔히 발생하는 오브스큐레이션 기법(예: 명령어 재정렬, API 조작)에 대한 내성 향상에 얼마나 기여하는가?
• RQ4 다양한 평가 환경에서 최신 기술(MaMaDroid 및 MalDozer 등)과 비교했을 때 제안된 프레임워크의 성능은 어떠한가?
• RQ5 사전에 패밀리 레이블이 없이도 프레임워크는 높은 클러스터 동질도를 유지하면서도 비지도 학습 기반의 악성코드 패밀리 할당을 가능하게 하는가?

주요 결과

• PetaDroid는 다양한 평가 환경에서 악성코드 탐지에 대해 98–99%의 F1 스코어를 기록하여 높은 정확도와 강건성을 입증했다.
• 악성코드 패밀리 클러스터링에서 96%의 동질도를 달성하여 유사한 악성 샘플이 일관된 패밀리로 잘 그룹화됨을 나타냈다.
• 모든 평가 환경에서 최신 기술인 MaMaDroid와 MalDozer를 초월하여 탐지 효과성과 효율성 측면에서 뛰어난 성능을 보였다.
• 신뢰도 기반 자동 적응 메커니즘이 새로운 샘플을 성공적으로 데이터셋에 확장하여 수동 개입 없이 지속적인 모델 개선을 가능하게 했다.
• 학습 중 코드 조각 무작위화가 명령어 재정렬 및 API 조작과 같은 일반적인 오브스큐레이션 기법에 대한 내성 향상에 상당한 기여를 했다.
• 확장성 면에서 뛰어난 성능을 보였으며, 1,000만 개 이상의 샘플을 포함하는 데이터셋(100TB 이상)을 효과적으로 처리하여 실세계 앱 마켓 배포에 적합함을 입증했다.