[论文解读] Automatic Investigation Framework for Android Malware Cyber-Infrastructures

ElMouatez Billah Karbab, Mourad Debbabi|arXiv (Cornell University)|Jun 23, 2018

Advanced Malware Detection Techniques参考文献 21被引用 6

一句话总结

本文提出 ToGather，一种自动框架，通过图论和多源安全数据，逆向分析 Android 恶意软件家族，映射其恶意网络基础设施。通过关联静态与动态分析中的网络行为，生成可操作的、细粒度的威胁情报，实现了对 Drebin 数据集中真实恶意软件家族的命令与控制（C2）基础设施的高保真度检测。

ABSTRACT

The popularity of Android system, not only in the handset devices but also in IoT devices, makes it a very attractive destination for malware. Indeed, malware is expanding at a similar rate targeting such devices that rely, in most cases, on Internet to work properly. The state-of-the-art malware mitigation solutions mainly focus on the detection of the actual malicious Android apps using dy- namic and static analyses features to distinguish malicious apps from benign ones. However, there is a small coverage for the In- ternet/network dimension of the Android malicious apps. In this paper, we present ToGather, an automatic investigation framework that takes the Android malware samples, as input, and produces a situation awareness about the malicious cyber infrastructure of these samples families. ToGather leverages the state-of-the-art graph theory techniques to generate an actionable and granular intelligence to mitigate the threat imposed by the malicious Internet activity of the Android malware apps. We experiment ToGather on real malware samples from various Android families, and the obtained results are interesting and very promising

研究动机与目标

• 为解决 Android 恶意软件基于网络的网络基础设施在态势感知方面的关键空白。
• 自动化发现 Android 恶意软件家族所使用的恶意域名、IP 地址和通信模式。
• 通过关联静态与动态分析中的网络指标，生成可操作的、细粒度的威胁情报。
• 克服传统恶意软件检测方法仅关注应用层特征、忽视网络行为的局限性。
• 通过实时建模 Android 恶意软件家族的完整威胁网络，支持主动缓解措施。

提出的方法

• ToGather 以 Android 恶意软件 APK 为输入，执行静态与动态分析，提取域名、IP 地址和 URL 等网络相关指标。
• 应用图论技术，将提取的网络指标建模为威胁网络，表示 C2 服务器与恶意软件样本之间的关系。
• 关联静态与动态分析结果以提高准确性并减少噪声，优先采用动态结果以增强可信度。
• 利用被动 DNS 和基于信誉的过滤技术验证并丰富威胁网络，提升可靠性。
• 系统设计为在线流水线，持续更新演化中的恶意软件家族的威胁网络。
• 采用基于交集的静态与动态结果合并策略，以减轻误报并提升鲁棒性。

实验结果

研究问题

• RQ1 如何通过网络行为自动发现并映射 Android 恶意软件家族背后的完整恶意网络基础设施？
• RQ2 结合静态与动态分析在识别 Android 恶意软件可靠网络指标方面的有效性如何？
• RQ3 基于图的网络指标建模能否为恶意软件家族生成可操作的、细粒度的威胁情报？
• RQ4 ToGather 如何处理从恶意软件样本中提取网络指标时产生的噪声和误报？
• RQ5 ToGather 在真实世界数据集中，对多样化 Android 恶意软件家族的 C2 基础设施检测与关联能力达到何种程度？

主要发现

• ToGather 高保真度地映射了 Drebin 数据集中真实 Android 恶意软件家族的恶意网络基础设施。
• 静态与动态分析结果的整合显著提高了检测到的网络指标的准确性和可信度，有效减少了误报。
• 基于图的建模使复杂、多层的 C2 基础设施得以识别，这些结构在单一分析技术下并不明显。
• 通过基于交集的静态与动态结果合并策略，框架展现出对噪声的鲁棒性。
• 系统生成了可操作的威胁情报，包括相关域名和 IP 的聚类，支持主动缓解策略的实施。
• 结果证实，网络行为分析对于全面检测 Android 恶意软件威胁至关重要，尤其对高级持续性威胁具有重要意义。