[论文解读] EMMA: A New Platform to Evaluate Hardware-based Mobile Malware Analyses

Mikhail Kazdagli, Ling Huang+2 more|arXiv (Cornell University)|Mar 9, 2016

Advanced Malware Detection Techniques参考文献 15被引用 4

一句话总结

EMMA 引入了一种新颖的平台，通过将真实恶意软件分解为原子性、正交性的操作，并在真实硬件上使用真实用户输入驱动恶意软件和良性应用，对基于硬件的移动恶意软件检测器（HMDs）进行严格评估。结果表明，用于规避静态分析的混淆技术反而增加了硬件层面的可检测性，使 HMD 能够在侵入性更小、特征向量持续时间更长的情况下，实现 24.7% 的 AUC 性能提升。

ABSTRACT

Hardware-based malware detectors (HMDs) are a key emerging technology to build trustworthy computing platforms, especially mobile platforms. Quantifying the efficacy of HMDs against malicious adversaries is thus an important problem. The challenge lies in that real-world malware typically adapts to defenses, evades being run in experimental settings, and hides behind benign applications. Thus, realizing the potential of HMDs as a line of defense - that has a small and battery-efficient code base - requires a rigorous foundation for evaluating HMDs. To this end, we introduce EMMA - a platform to evaluate the efficacy of HMDs for mobile platforms. EMMA deconstructs malware into atomic, orthogonal actions and introduces a systematic way of pitting different HMDs against a diverse subset of malware hidden inside benign applications. EMMA drives both malware and benign programs with real user-inputs to yield an HMD's effective operating range - i.e., the malware actions a particular HMD is capable of detecting. We show that small atomic actions, such as stealing a Contact or SMS, have surprisingly large hardware footprints, and use this insight to design HMD algorithms that are less intrusive than prior work and yet perform 24.7% better. Finally, EMMA brings up a surprising new result - obfuscation techniques used by malware to evade static analyses makes them more detectable using HMDs.

研究动机与目标

• 为移动平台中基于硬件的恶意软件检测器（HMDs）缺乏系统性评估框架的问题提供解决方案。
• 克服使用汇总 ROC 曲线进行黑箱 HMD 评估的局限性，此类方法无法捕捉自适应恶意软件行为和真实环境下的误报率。
• 通过定义基于原子恶意软件操作及其在真实用户输入下检测情况的“工作范围”指标，实现对 HMD 的精确表征。
• 研究旨在规避静态分析工具的恶意软件混淆技术对硬件层面可检测性的影响。
• 提供一种系统化的方法论，用于设计和评估在真实移动环境中既高效又有效的 HMD。

提出的方法

• 将来自 126 个家族的 229 个恶意软件二进制文件逆向工程，构建出一组正交行为与原子操作的分类体系，从而实现多样化恶意软件载荷的可控合成。
• 为 Android 构建了一个自定义的录制与回放框架，可在如《愤怒的小鸟》和 Sana 等应用中回放真实用户交互（5–10 分钟），确保执行轨迹的真实性。
• 提出了一项新评估指标——“工作范围”，其表达形式为：HMD A 在应用 Y 中以假阳性率 Z 检测到载荷 X，以恶意软件所隐藏的良性应用作为基线。
• 使用真实用户输入驱动恶意软件和良性应用，确保 HMD 在真实环境条件下接受评估，而非在静默或合成的轨迹上。
• 对 HMD 应用马尔可夫模型与监督学习方法，训练其在多样化行为子集上，实现对小规模数据外泄（如 1 张照片、25 个联系人）的检测，准确率接近 100%，假阳性率为 5%。
• 在合成恶意软件中注入反射与字符串加密（模拟 Obad 恶意软件等真实混淆技术），以研究其对硬件信号独特性的影响。

实验结果

研究问题

• RQ1 当基于真实用户输入和真实良性应用上下文进行评估时，基于硬件的恶意软件检测器（HMDs）的表现如何，而非在合成或静默轨迹上？
• RQ2 用于规避静态分析工具的混淆技术在多大程度上影响了恶意软件在硬件层面的可检测性？
• RQ3 是否可以通过聚焦于更长持续时间的硬件特征，设计出侵入性更小但检测准确率更高的 HMD？
• RQ4 与仅在有限行为子集上训练相比，在多样化、正交的恶意软件行为上训练 HMD 对检测性能有何影响？
• RQ5 HMD 的真实有效工作范围是什么？该范围不应以汇总的 ROC 指标定义，而应基于其在真实应用中检测特定原子恶意软件操作的能力。

主要发现

• 在三星 Exynos 5250 上，恶意软件操作如窃取 4MB 照片耗时 2.86 秒，窃取一条短信耗时 0.12 秒，揭示出微小的软件操作在硬件层面具有显著的资源足迹。
• 使用 100ms 长度特征向量的 HMD 在与之前工作相近的 ~20% 假阳性率下，实现了比以往高出 24.7% 的 AUC 性能，证明了检测效率的提升。
• 在多样化、正交的恶意软件行为上进行训练的监督学习 HMD，在假阳性率为 5% 的条件下，对小规模数据外泄（如 1 张照片、25 个联系人）的检测准确率接近 100%。
• 如字符串加密和 Java 反射等混淆技术，虽然可规避静态分析，但会增加硬件层面的独特性——在某些情况下使恶意软件的可检测性提高至 2.5 倍。
• 基于马尔可夫模型的 HMD 在《愤怒的小鸟》和 Sana 等应用中，对具有反射与加密的恶意软件检测效果比基线高出 1.5–2 倍，原因在于计算开销增加和执行轨迹被破坏。
• 当 HMD 作为可信的本地检测器独立运行时最为有效，可与静态和动态分析互补，并实现低误报率的按需全局检测。