[论文解读] FamDroid: Learning-Based Android Malware Family Classification Using Static Analysis

Wenhao Fan, Liang Zhao+4 more|arXiv (Cornell University)|Jan 11, 2021

Advanced Malware Detection Techniques参考文献 17被引用 6

一句话总结

FamDroid 提出了一种基于学习的 Android 恶意软件家族分类框架，采用静态分析方法，结合显式特征（权限、组件、意图过滤器）和隐式 API 调用关系特征，以捕捉恶意软件家族的行为。该框架采用自适应加权集成分类器，动态为基分类器分配样本特定权重，实现在 Drebin 数据集上 98.92% 的准确率和 99.12% 的 F1 分数，优于现有最先进方法。

ABSTRACT

Android is currently the most extensively used smartphone platform in the world. Due to its popularity and open source nature, Android malware has been rapidly growing in recent years, and bringing great risks to users' privacy. The malware applications in a malware family may have common features and similar behaviors, which are beneficial for malware detection and inspection. Thus, classifying Android malware into their corresponding families is an important task in malware analysis. At present, the main problem of existing research works on Android malware family classification lies in that the extracted features are inadequate to represent the common behavior characteristics of the malware in malicious families, and leveraging a single classifier or a static ensemble classifier is restricted to further improve the accuracy of classification. In this paper, we propose FamDroid, a learning-based Android malware family classification scheme using static analysis technology. In FamDroid, the explicit features including permissions, hardware components, app components, intent filters are extracted from the apk files of a malware application. Besides, a hidden feature generated from the extracted APIs is used to represents the API call relationship in the application. Then, we design an adaptive weighted ensemble classifier, which considers the adaptability of the sample to each base classifier, to carry out accurate malware family classification. We conducted experiments on the Drebin dataset which contains 5560 Android malicious applications. The superiority of FamDroid is demonstrated through comparing it with 5 traditional machine learning models and 4 state-of-the-art reference schemes. FamDroid can correctly classify 98.92% of malware samples into their families and achieve 99.12% F1-Score.

研究动机与目标

• 为解决现有 Android 恶意软件家族分类方法依赖不足或不全面特征的问题，特别是缺少隐式行为模式。
• 克服单分类器或静态集成分类器在多类恶意软件家族分类中性能受限的问题。
• 通过整合显式与隐式特征，特别是反映恶意行为模式的 API 调用关系，提升分类准确率。
• 设计一种分类器，通过动态分配基分类器权重，适应个体样本特征。
• 在真实世界恶意软件数据集上，相比现有最先进方案，展示更优性能。

提出的方法

• 使用静态分析从 AndroidManifest.xml 和 smali 文件中提取显式特征——权限、硬件组件、应用组件和意图过滤器。
• 通过基于随机森林的特征评估识别高重要性 API，构建 API 调用关系矩阵，生成隐式特征。
• 使用随机森林进行特征选择，以降低维度并保留最具区分力的特征。
• 使用改进的 K-means 算法对训练样本进行聚类，形成用于基分类器生成的独立组别。
• 设计一种自适应加权集成分类器，根据基分类器与样本的兼容性，为每个样本动态分配权重。
• 在测试过程中使用自适应加权机制，动态选择每个样本最可靠的基分类器，提升多类分类的鲁棒性。

实验结果

研究问题

• RQ1 结合显式与隐式特征，特别是 API 调用关系，是否能提升静态分析中恶意软件家族行为的表征能力？
• RQ2 自适应加权集成分类器在多类 Android 恶意软件家族分类中，为何优于静态或单分类器？
• RQ3 基于随机森林的特征选择在多大程度上能提升恶意软件家族分类模型的性能？
• RQ4 通过改进的 K-means 进行样本聚类，如何增强集成学习中基分类器构建的有效性？
• RQ5 所提出的框架是否在准确率和 F1 分数上均优于现有最先进恶意软件家族分类方法？

主要发现

• FamDroid 在 Drebin 数据集上实现 98.92% 的分类准确率，显著优于传统机器学习模型和现有参考方案。
• 该框架获得 99.12% 的 F1 分数，表明在所有恶意软件家族中精确率与召回率保持良好平衡。
• 将 API 调用关系作为隐式特征引入，显著增强了模型捕捉恶意软件家族间共性恶意行为的能力。
• 自适应加权集成分类器通过基于样本与基分类器兼容性的动态权重分配，提升了泛化能力。
• 与 C-DFG（96.79% 准确率）和 FalDroid（95.3% 准确率）等最先进方法相比，FamDroid 展现出更优性能。
• 基于随机森林的特征选择过程有效识别并保留了最具信息量的特征，显著提升了分类效率与准确率。