[论文解读] Contaminant Removal for Android Malware Detection Systems

Lichao Sun, Xiaokai Wei+4 more|arXiv (Cornell University)|Nov 7, 2017

Advanced Malware Detection Techniques参考文献 15被引用 5

一句话总结

本文提出PUDroid，一种基于正样本与未标记样本（PU）学习的框架，用于检测并从机器学习驱动的恶意软件检测中使用的良性Android应用数据集中清除恶意污染。通过应用特征选择与PU学习，相较于使用污染数据集的系统，PUDroid将检测准确率提高45%，检测率提高62.82%。

ABSTRACT

A recent report indicates that there is a new malicious app introduced every 4 seconds. This rapid malware distribution rate causes existing malware detection systems to fall far behind, allowing malicious apps to escape vetting efforts and be distributed by even legitimate app stores. When trusted downloading sites distribute malware, several negative consequences ensue. First, the popularity of these sites would allow such malicious apps to quickly and widely infect devices. Second, analysts and researchers who rely on machine learning based detection techniques may also download these apps and mistakenly label them as benign since they have not been disclosed as malware. These apps are then used as part of their benign dataset during model training and testing. The presence of contaminants in benign dataset can compromise the effectiveness and accuracy of their detection and classification techniques. To address this issue, we introduce PUDROID (Positive and Unlabeled learning-based malware detection for Android) to automatically and effectively remove contaminants from training datasets, allowing machine learning based malware classifiers and detectors to be more effective and accurate. To further improve the performance of such detectors, we apply a feature selection strategy to select pertinent features from a variety of features. We then compare the detection rates and accuracy of detection systems using two datasets; one using PUDROID to remove contaminants and the other without removing contaminants. The results indicate that once we remove contaminants from the datasets, we can significantly improve both malware detection rate and detection accuracy

研究动机与目标

• 解决通过可信应用商店分发的未被检测到的恶意软件污染良性训练数据集所引发的日益严重问题。
• 缓解污染的良性数据集对基于机器学习的恶意软件检测系统产生的负面影响，此类影响可能导致高误报率。
• 开发一种稳健且自动化的技术，以识别并移除伪装成良性应用的恶意应用，这些应用存在于可信应用仓库中。
• 通过污染清除确保训练数据的纯净性，从而提升恶意软件检测模型的可靠性与准确性。
• 证明污染清除在多种分类器及污染场景下显著提升检测性能。

提出的方法

• 利用正样本与未标记样本（PU）学习，其中正样本集包含已知恶意软件，未标记样本集包含混入未被检测到的恶意污染的良性应用。
• 应用特征选择策略，从静态与动态应用分析中识别并提取“可解释”特征，以提升模型的可解释性与性能。
• 采用非参数学习框架，估计未标记应用中隐藏的恶意软件概率，从而实现有效的污染检测。
• 将PU学习模型作为预处理验证器，用于在训练检测模型前从良性应用集合中过滤出重打包的恶意软件。
• 整合多种特征类型（如权限、API调用、系统调用），并应用嵌入技术以增强模型的鲁棒性。
• 使用具有不同污染水平的真实世界数据集评估该框架，包括未知恶意软件及良性应用意外包含在恶意软件集合中的场景。

实验结果

研究问题

• RQ1 PU学习在多大程度上能有效检测良性Android应用数据集中的恶意污染？
• RQ2 污染清除对基于机器学习的恶意软件检测器的检测准确率与检测率有何影响？
• RQ3 特征选择策略是否能提升PU学习在检测重打包恶意软件方面的性能与鲁棒性？
• RQ4 在现实污染场景下（包括高污染水平与未知恶意软件变种），PUDroid的性能表现如何？
• RQ5 将PUDroid集成到训练流程中是否能一致地提升不同分类器（如SVM、随机森林、决策树）的检测结果？

主要发现

• PUDroid成功从良性应用数据集中清除了近100%的恶意污染，显著提升了训练数据质量。
• 当使用污染数据集时，标准分类器（如随机森林）的恶意软件检测率下降至55.5%，而PUDroid将其提升至96.36%。
• 与未使用PU学习的污染数据集相比，使用PUDroid清洗数据集后，检测准确率提升45%。
• 应用PUDroid后，检测率提升62.82%，表明相较于基线分类器，性能获得显著提升。
• 随机森林在PUDroid处理后表现最佳，即使恶意软件数据集被大量良性应用污染，仍可达到96.36%的准确率。
• SVM在污染数据集上表现欠佳，凸显了在模型训练前进行污染清除的必要性。