[论文解读] BPFroid: Robust Real Time Android Malware Detection Framework

Yaniv Agman, Danny Hendler|arXiv (Cornell University)|May 29, 2021

Advanced Malware Detection Techniques参考文献 20被引用 10

一句话总结

BPFroid 是一种新颖的、实时的 Android 恶意软件检测框架，利用 eBPF 直接在真实设备上监控系统调用、本机库函数、Android 框架 API 调用和内核函数。它无需系统修改或 root 权限（初始设置除外），即可实现强大且低开销的运行时恶意行为检测，并以极小的性能影响实时检测可疑活动。

ABSTRACT

We present BPFroid -- a novel dynamic analysis framework for Android that uses the eBPF technology of the Linux kernel to continuously monitor events of user applications running on a real device. The monitored events are collected from different components of the Android software stack: internal kernel functions, system calls, native library functions, and the Java API framework. As BPFroid hooks these events in the kernel, a malware is unable to trivially bypass monitoring. Moreover, using eBPF doesn't require any change to the Android system or the monitored applications. We also present an analytical comparison of BPFroid to other malware detection methods and demonstrate its usage by developing novel signatures to detect suspicious behavior that are based on it. These signatures are then evaluated using real apps. We also demonstrate how BPFroid can be used to capture forensic artifacts for further investigation. Our results show that BPFroid successfully alerts in real time when a suspicious behavioral signature is detected, without incurring a significant runtime performance overhead.

研究动机与目标

• 解决现有静态分析和沙箱检测方法在面对高级逃避技术时的局限性。
• 开发一种可在生产 Android 设备上实时运行、无需系统修改的动态分析框架。
• 利用 eBPF 的内核级代码插桩能力，提供强有力的安全部署保障，防止恶意软件绕过。
• 通过细粒度监控 Android 框架 API、系统调用和内核函数，检测复杂恶意软件行为。
• 证明在真实设备上使用 eBPF 实现端点级 Android 恶意软件检测的可行性，且性能开销极低。

提出的方法

• 利用 eBPF 将 BPF 程序注入 Linux 内核，用于在 Android 设备上实时监控系统级事件。
• 通过利用 ART 的 AOT 编译和静态代码分析，定位函数地址，使用 uprobes 钩取预编译的 Android 框架 API 函数。
• 监控 Android 软件栈的多个层次：Java API 框架调用、本机库函数、系统调用和内核内部函数。
• 收集所有监控事件的行为遥测数据，并利用自定义行为签名检测可疑模式。
• 通过在运行时持久化监控事件，实现实时告警和取证证据收集。
• 通过导出收集的数据，支持与远程分析流水线集成，以便进一步进行机器学习或高级分析处理。

实验结果

研究问题

• RQ1 eBPF 是否可以有效用于构建无需系统修改的实时、生产就绪型 Android 恶意软件检测系统？
• RQ2 BPFroid 的监控覆盖范围与现有框架相比，在应用与操作系统交互的可见性方面如何？
• RQ3 BPFroid 基于 eBPF 的方法在多大程度上可防止恶意软件通过检测沙箱环境来逃避检测？
• RQ4 在物理设备上监控真实应用时，BPFroid 的运行时性能开销是多少？
• RQ5 BPFroid 是否能够通过从底层系统事件中提取的新行为签名，检测已知的恶意行为？

主要发现

• BPFroid 成功地在物理 Android 设备上实时检测到恶意行为，其行为签名源自 eBPF 追踪的事件。
• 该框架的运行时性能开销极低，适合在生产设备上部署。
• 基于 eBPF 的监控提供了强大的安全边界，恶意软件无法轻易绕过内核级别的钩子。
• BPFroid 可从监控事件中捕获取证证据，支持对可疑行为的事后分析。
• 该框架通过直接在设备上运行、不依赖模拟环境，对沙箱逃避技术表现出强健性。
• BPFroid 的架构具有可扩展性，未来可通过策略强制执行和与静态分析的集成进一步增强。