[论文解读] DeepCatra: Learning Flow- and Graph-based Behaviors for Android Malware Detection

Yafei Wu, Jian Shi+3 more|arXiv (Cornell University)|Jan 30, 2022

Advanced Malware Detection Techniques被引用 6

一句话总结

DeepCatra 提出了一种多视角深度学习框架，用于通过结合双向长短期记忆网络（BiLSTM）和图神经网络（GNN）模型来检测 Android 恶意软件。它利用从公开漏洞中提取的关键 API 调用跟踪，提取时间序列的汇编指令（用于 BiLSTM），并构建异构抽象数据流图（用于 GNN），在真实世界数据集上相比最先进方法，F1 值提升了 2.7% 至 14.6%。

ABSTRACT

As Android malware is growing and evolving, deep learning has been introduced into malware detection, resulting in great effectiveness. Recent work is considering hybrid models and multi-view learning. However, they use only simple features, limiting the accuracy of these approaches in practice. In this paper, we propose DeepCatra, a multi-view learning approach for Android malware detection, whose model consists of a bidirectional LSTM (BiLSTM) and a graph neural network (GNN) as subnets. The two subnets rely on features extracted from statically computed call traces leading to critical APIs derived from public vulnerabilities. For each Android app, DeepCatra first constructs its call graph and computes call traces reaching critical APIs. Then, temporal opcode features used by the BiLSTM subnet are extracted from the call traces, while flow graph features used by the GNN subnet are constructed from all the call traces and inter-component communications. We evaluate the effectiveness of DeepCatra by comparing it with several state-of-the-art detection approaches. Experimental results on over 18,000 real-world apps and prevalent malware show that DeepCatra achieves considerable improvement, e.g., 2.7% to 14.6% on F1-measure, which demonstrates the feasibility of DeepCatra in practice.

研究动机与目标

• 为应对传统检测方法难以识别的复杂 Android 恶意软件挑战，通过利用细粒度行为特征进行检测。
• 通过整合来自汇编指令序列的时间特征与来自组件间通信及关键 API 流程的结构化图特征，提升检测准确率。
• 通过将特征建立在公开漏洞知识（如 CVE）基础上，增强模型的可解释性与鲁棒性。
• 开发一种可扩展的混合深度学习模型，结合多视角学习与异构图表示，用于恶意软件分类。

提出的方法

• 使用文本挖掘技术从公开漏洞库（如 CVE）中提取一组关键 API，以识别高风险系统调用。
• 为每个 Android 应用构建静态调用图，并挖掘以关键 API 结尾的调用跟踪，以捕获恶意行为路径。
• 将这些调用跟踪中采样的汇编指令序列作为输入，送入 BiLSTM 子网络，以建模时间行为模式。
• 通过整合关键 API 边与组件间通信（ICC）边，构建异构抽象数据流图，并将流类型编码为边标签，作为 GNN 的输入。
• 训练一种混合深度学习模型，包含独立的 BiLSTM 与 GNN 分支，随后通过无权重平均融合其输出，实现最终分类。
• 应用降维与特征融合技术，以优化模型效率与表征学习能力。

实验结果

研究问题

• RQ1 整合基于漏洞的高危 API 调用跟踪是否能提升对复杂 Android 恶意软件行为的检测能力？
• RQ2 结合时间序列汇编指令（通过 BiLSTM）与结构化数据流图（通过 GNN）的多视角学习方法，在恶意软件检测中效果如何？
• RQ3 建模异构流类型（尤其是组件间通信）是否能增强模型区分良性与恶意应用的能力？
• RQ4 与启发式或通用特征提取方法相比，使用真实世界漏洞知识（如 CVE）在多大程度上提升了检测性能？

主要发现

• 在包含超过 18,000 个真实世界 Android 应用与恶意软件样本的数据集上，DeepCatra 相较于最先进检测方法，F1 值提升了 2.7% 至 14.6%。
• 结合 BiLSTM 用于时间序列汇编指令与 GNN 用于异构数据流图的集成方法，显著提升了检测性能，优于仅使用 CNN、LSTM 或 GCN 的模型。
• 基于公开漏洞报告提取的关键 API 调用跟踪显著增强了特征的相关性与检测准确率。
• 经组件间通信边增强的抽象数据流图，能够捕捉多样化的流类型，有效区分恶意协同行为与良性行为。
• 该模型在复杂真实世界 Android 应用上表现出良好的鲁棒性与可扩展性，且代码与训练好的模型已公开提供。