[论文解读] DroidMark: A Tool for Android Malware Detection using Taint Analysis and Bayesian Network

Dhruv Rathi, Rajni Jindal|arXiv (Cornell University)|May 17, 2018

Advanced Malware Detection Techniques被引用 7

一句话总结

DroidMark 提出了一种混合型 Android 恶意软件检测系统，结合污点分析与贝叶斯网络，以识别应用程序中的数据泄露模式。通过反向工程 APK 文件，追踪数据在 Android 生命周期事件中的流动，并利用训练好的贝叶斯网络对行为进行分类，该工具在检测恶意应用程序时实现了 96.87% 的准确率和 3.13% 的错误率。

ABSTRACT

With the increasing user base of Android devices and advent of technologies such as Internet Banking, delicate user data is prone to be misused by malware and spyware applications. As the app developer community increases, the quality reassurance could not be justified for every application and a possibility of data leakage arises. In this research, with the aim to ensure the application authenticity, Deep Learning methods and Taint Analysis are deployed on the applications. The detection system named DroidMark looks for possible sinks and sources of data leakage in the application by modelling Android lifecycle and callbacks, which is done by Reverse Engineering the APK, further monitoring the suspected processes and collecting data in different states of the application. DroidMark is thus designed to extract features from the applications which are fed to a trained Bayesian Network for classification of Malicious and Regular applications. The results indicate a high accuracy of 96.87% and an error rate of 3.13% in the detection of Malware in Android devices.

研究动机与目标

• 解决日益增长的 Android 恶意软件威胁，这些恶意软件利用用户数据在日益流行的移动应用程序中进行攻击。
• 通过结合静态与动态分析技术，提高恶意软件检测的准确性。
• 对 Android 应用程序生命周期和回调机制进行建模，以识别潜在的数据泄露源和汇点。
• 开发一种分类系统，通过特征提取与概率推理，区分恶意与良性应用程序。
• 在真实世界的 Android 应用环境中实现高检测准确率与低误报率。

提出的方法

• 对 APK 文件进行反向工程，以提取并分析应用程序组件与控制流。
• 执行静态污点分析，以追踪敏感数据从源（例如，短信、联系人）到汇（例如，网络、存储）的流动。
• 监控应用程序在不同生命周期状态下的执行过程，以捕获动态行为与数据传播。
• 基于执行过程中的污点传播模式与系统调用序列提取特征。
• 在标记的程序特征上训练贝叶斯网络，以将应用程序分类为恶意或良性。
• 使用训练好的贝叶斯网络计算后验概率，以实现恶意软件分类。

实验结果

研究问题

• RQ1 污点分析能否有效识别 Android 应用程序中指示恶意行为的敏感数据流动？
• RQ2 基于提取的污点与行为特征，贝叶斯网络在多大程度上能准确地将 Android 应用程序分类为恶意或良性？
• RQ3 对 Android 生命周期事件进行建模在多大程度上能提升对隐蔽或上下文感知型恶意软件的检测能力？
• RQ4 在结合污点分析与概率分类时，检测准确率与误报率之间的权衡如何？
• RQ5 所提出的系统能否在识别零日或变种恶意软件方面优于传统的基于签名或基础静态分析方法？

主要发现

• DroidMark 系统在评估数据集上实现了 96.87% 的恶意软件检测准确率。
• 该系统报告的错误率为 3.13%，表明其在最小化漏报与误报方面表现优异。
• 污点分析成功识别了各种 Android 生命周期状态下的敏感数据源与汇点。
• 将动态监控与静态污点分析相结合，提升了检测的覆盖范围与精度。
• 贝叶斯网络分类器在多种应用程序行为与恶意软件家族中表现出稳健的泛化能力。
• 该方法通过在概率框架中利用行为特征与数据流特征，优于传统检测方法。