[论文解读] A Large-Scale Empirical Study on Industrial Fake Apps

Chongbin Tang, Sen Chen+5 more|arXiv (Cornell University)|Feb 2, 2019

Advanced Malware Detection Techniques参考文献 22被引用 5

一句话总结

本文首次对工业级虚假安卓应用进行了大规模实证研究，分析了与中国前50款热门应用相关的15万多个样本。通过在多个维度（如证书、应用名称、包名和时间）进行基于元数据的分析，揭示了虚假应用的特征、命名趋势及规避策略，关键发现包括：尽管已知存在漏洞，但过时的V1签名方案仍被广泛使用。

ABSTRACT

While there have been various studies towards Android apps and their development, there is limited discussion of the broader class of apps that fall in the fake area. Fake apps and their development are distinct from official apps and belong to the mobile underground industry. Due to the lack of knowledge of the mobile underground industry, fake apps, their ecosystem and nature still remain in mystery. To fill the blank, we conduct the first systematic and comprehensive empirical study on a large-scale set of fake apps. Over 150,000 samples related to the top 50 popular apps are collected for extensive measurement. In this paper, we present discoveries from three different perspectives, namely fake sample characteristics, quantitative study on fake samples and fake authors' developing trend. Moreover, valuable domain knowledge, like fake apps' naming tendency and fake developers' evasive strategies, is then presented and confirmed with case studies, demonstrating a clear vision of fake apps and their ecosystem.

研究动机与目标

• 系统研究虚假安卓应用的特征及其生态系统，尽管这些应用普遍存在，但其内在特征仍不为人所知。
• 衡量工业移动地下市场中虚假应用的规模及其定量特征。
• 通过真实世界案例研究，揭示虚假应用开发者的行为模式与规避技术。
• 为学术界和工业界提供可操作的见解，以改进检测与缓解策略。

提出的方法

• 从现实世界市场收集了超过15万条应用数据条目，重点关注中国前50款热门应用。
• 通过元数据对比与签名分析，识别出52,638个虚假样本。
• 提取并分析了8项关键元数据：证书方案、应用大小、应用名称、包名、版本、时间戳、图标相似度及签名方案。
• 与Pwnzen Infotech Inc.合作，确保数据真实性和可扩展性。
• 采用基于元数据的分析方法，而非繁重的静态/动态分析，以实现大规模可行性。
• 通过真实世界案例研究验证发现，并与已知的虚假应用模式交叉比对。

实验结果

研究问题

• RQ1 在元数据方面（如名称、包名和签名），虚假应用的显著特征是什么？
• RQ2 在最流行的现实世界应用中，虚假应用的普遍程度如何？它们在不同应用间的分布情况如何？
• RQ3 虚假应用开发者在签名方案和应用命名方面采用了哪些规避策略？
• RQ4 虚假应用开发者在结构和元数据方面如何模仿官方应用？

主要发现

• 共收集了超过150,000条数据条目，其中52,638个被确认为虚假样本，表明市场上虚假应用的存在规模巨大。
• 所有17个分析的虚假样本均使用了过时的V1签名方案，尽管已知存在安全缺陷，显示出对现代安全方案的采纳程度极低。
• 虚假应用在名称和包名方面与官方应用表现出高度相似性，具有强烈的模仿特征以欺骗用户。
• 虚假开发者经常在多个虚假变体中重复使用相同的名称和包名，表明其生产具有系统性和可扩展性。
• 大量虚假应用共享完全相同或几乎相同的元数据，包括图标和版本号，表明其创建过程具有协调性或自动化特征。
• 本研究证实，虚假应用的创建具有高度可扩展性和系统性，开发者采用一致的规避手段以绕过检测。