[论文解读] A Comparative Analysis of Android Malware

Neeraj Chavan, Fabio Di Troia+1 more|arXiv (Cornell University)|Jan 21, 2019

Advanced Malware Detection Techniques参考文献 19被引用 4

一句话总结

本文提出了一种静态的、基于权限的Android恶意软件检测与分类方法，采用机器学习技术。通过利用一组影响较大的权限作为特征，作者在随机森林和人工神经网络模型下，实现了超过95%的恶意软件分类准确率和97%的检测准确率，表明尽管存在规避尝试，权限分析仍是抵御Android恶意软件的一种稳健且高效的方法。

ABSTRACT

In this paper, we present a comparative analysis of benign and malicious Android applications, based on static features. In particular, we focus our attention on the permissions requested by an application. We consider both binary classification of malware versus benign, as well as the multiclass problem, where we classify malware samples into their respective families. Our experiments are based on substantial malware datasets and we employ a wide variety of machine learning techniques, including decision trees and random forests, support vector machines, logistic model trees, AdaBoost, and artificial neural networks. We find that permissions are a strong feature and that by careful feature engineering, we can significantly reduce the number of features needed for highly accurate detection and classification.

研究动机与目标

• 评估静态权限作为Android恶意软件检测与分类特征的有效性。
• 探究是否可通过精简权限集合在保持高检测准确率的同时提升效率。
• 对比多种机器学习模型（随机森林、SVM、ANN、LMT及提升方法）在二分类与多分类恶意软件检测中的表现。
• 评估基于权限的检测方法对权限减少或添加等规避策略的鲁棒性。
• 评估此类模型在移动设备上实际部署的可行性，因其计算开销极低。

提出的方法

• 从Android清单文件中收集静态特征，仅关注请求的权限。
• 采用多样化的机器学习模型：随机森林、J48决策树、LMT、线性SVM、AdaBoost，以及具有两层隐藏层的前馈人工神经网络。
• 通过统计与模型驱动的选择方法进行特征工程，以减少权限数量，同时保持预测能力。
• 在大规模真实世界恶意软件数据集上训练模型，包含良性与恶意应用，分别在二分类与多分类设置下进行评估。
• 随机森林实验中使用100棵树，神经网络训练100个周期，激活函数采用ReLU与Sigmoid。
• 使用精确率、AUC与混淆矩阵评估性能，特别分析不同恶意软件家族之间的误分类模式。

实验结果

研究问题

• RQ1 一个小型且经过精心挑选的Android权限子集能否作为恶意软件检测与分类的有效且高效特征集？
• RQ2 在基于权限特征的Android恶意软件分类中，不同机器学习模型的性能表现如何比较？
• RQ3 恶意软件通过减少或增加常见权限来规避检测的程度有多大？基于权限的检测方法是否依然稳健？
• RQ4 在二分类（恶意软件 vs. 良性）与多分类（家族级识别）设置下，模型性能有何差异？
• RQ5 由于计算需求极低，该方法是否可高效实现在移动设备上？

主要发现

• 极小的权限子集已足以实现高度准确的恶意软件检测，减少特征数量而不损失性能。
• 随机森林在二分类任务中达到约97%的测试准确率，在平衡数据集的多分类任务中接近95%的准确率。
• 人工神经网络在使用精简特征集的二分类任务中AUC达到0.9920，表明其具有极强的判别能力。
• 即使在高度不平衡的数据下（反映真实世界情况），ANN模型的测试准确率仍超过96%。
• 多分类任务中的误分类情况稀疏，主要影响样本数少于10个的小型恶意软件家族。
• 本研究证明，基于权限的检测方法对常见规避技术（如权限减少或注入良性权限）仍具有鲁棒性。