[论文解读] EviHunter: Identifying Digital Evidence in the Permanent Storage of Android Devices via Static Analysis

Chris Chao-Chun Cheng, Shi Chen+2 more|arXiv (Cornell University)|Aug 18, 2018

Advanced Malware Detection Techniques参考文献 28被引用 4

一句话总结

EviHunter 是一种静态分析工具，通过从应用源代码预先计算应用证据数据库（AED），自动识别 Android 设备上可能包含数字证据的文件。它在检测证据数据类型（如 GPS 位置、URL 和文本输入）及其对应文件路径方面实现了高精度，相较于基于关键词和人工的方法，在识别真实应用中的相关文件方面表现更优。

ABSTRACT

Crimes, both physical and cyber, increasingly involve smartphones due to their ubiquity. Therefore, digital evidence on smartphones plays an increasingly important role in crime investigations. Digital evidence could reside in the memory and permanent storage of a smartphone. While we have witnessed significant progresses on memory forensics recently, identifying evidence in the permanent storage is still an underdeveloped research area. Most existing studies on permanent-storage forensics rely on manual analysis or keyword-based scanning of the permanent storage. Manual analysis is costly, while keyword matching often misses the evidentiary data that do not have interesting keywords. In this work, we develop a tool called EviHunter to automatically identify evidentiary data in the permanent storage of an Android device. There could be thousands of files on the permanent storage of a smartphone. A basic question a forensic investigator often faces is which files could store evidentiary data. EviHunter aims to answer this question. Our intuition is that the evidentiary data were produced by apps; and an app's code has rich information about the types of data the app may write to a permanent storage and the files the data are written to. Therefore, EviHunter first pre-computes an App Evidence Database (AED) via static analysis of a large number of apps. The AED includes the types of evidentiary data and files that store them for each app. Then, EviHunter matches the files on a smartphone's permanent storage against the AED to identify the files that could store evidentiary data. We evaluate EviHunter on benchmark apps and 8,690 real-world apps. Our results show that EviHunter can precisely identify both the types of evidentiary data and the files that store them.

研究动机与目标

• 为解决在永久存储中识别相关数字证据文件的挑战，该挑战常被忽视，而更关注内存 forensics。
• 克服人工分析和基于关键词扫描的局限性，这些方法耗时且容易在缺乏特定关键词时遗漏证据。
• 为取证调查人员开发一种自动化、可扩展的解决方案，以优先处理可能包含证据数据的 Android 设备文件。
• 利用应用代码的静态分析，预测哪些文件会存储敏感数据类型，如位置、URL 和用户输入。
• 构建一个全面的应用证据数据库（AED），将应用行为映射到特定文件路径和数据类型，以实现快速取证匹配。

提出的方法

• EviHunter 采用离线-在线架构：首先，通过在大量 Android 应用上的静态数据流分析构建应用证据数据库（AED）。
• AED 通过分析数据从源到文件系统汇点的流动，捕获文件路径及其关联的证据数据类型（例如位置、URL、文本输入）。
• 它扩展了静态分析工具，加入自定义标签以同时追踪数据类型和文件路径，从而实现对存储证据文件的精确识别。
• 设计了传播规则以处理文件路径构造，包括通过系统 API 和组件通信生成的动态路径。
• 该工具识别了用于文件路径的新源方法，并集成了常用 Android 框架 API 的数据流摘要，以提高准确性。
• 在在线阶段，EviHunter 将嫌疑设备存储中的文件路径与 AED 匹配，以标记可能包含数字证据的文件。

实验结果

研究问题

• RQ1 对 Android 应用代码进行静态分析，能否准确预测永久存储中可能包含 GPS 位置、URL 或用户输入等数字证据的文件？
• RQ2 与基于关键词或人工方法相比，预计算的应用证据数据库（AED）在减少取证调查人员搜索空间方面有多有效？
• RQ3 通过增强标签和传播规则的静态分析，在缺乏关键词指示的文件中检测证据数据的范围有多大？
• RQ4 当应用于真实世界 Android 应用（而非基准应用）时，EviHunter 的可扩展性和精确度如何？
• RQ5 将文件路径追踪与数据类型追踪相结合，能否提高移动取证中数字证据识别的精确度？

主要发现

• EviHunter 以高精度成功识别出证据数据类型及其对应的文件路径，使取证调查人员能够聚焦于相关文件。
• 该工具优于基于关键词的扫描方法，后者常因文件中缺乏特定关键词而遗漏证据，此现象在以往研究中已证实。
• 在 8,690 个真实世界 Android 应用上的评估证实，EviHunter 能够准确地将应用行为映射到文件系统输出。
• 通过静态分析构建的应用证据数据库（AED）覆盖了广泛的证据数据类型和文件路径，展示了对真实世界应用的可扩展性。
• EviHunter 的方法通过将数千个文件缩小到一个可管理的高概率证据文件集合，减少了对人工文件筛选的需求。
• 将文件路径追踪与数据类型传播相结合，显著提高了检测精度，优于传统以安全为重点的静态分析工具。