[论文解读] FeatureAnalytics: An approach to derive relevant attributes for analyzing Android Malware

K. Deepa, G. Radhamani+4 more|arXiv (Cornell University)|Sep 17, 2018

Advanced Malware Detection Techniques参考文献 1被引用 3

一句话总结

本文提出RSST方法，一种结合粗糙集理论与大规模测试（LPT）的两步特征选择方法，用于识别Android恶意软件检测中最具区分性的系统调用。通过筛选出30个最优系统调用，该方法在仅1%假阳性率下实现了99.9%的准确率和1.0的AUC，优于传统选择器及权限、API等静态特征。

ABSTRACT

Ever increasing number of Android malware, has always been a concern for cybersecurity professionals. Even though plenty of anti-malware solutions exist, a rational and pragmatic approach for the same is rare and has to be inspected further. In this paper, we propose a novel two-set feature selection approach based on Rough Set and Statistical Test named as RSST to extract relevant system calls. To address the problem of higher dimensional attribute set, we derived suboptimal system call space by applying the proposed feature selection method to maximize the separability between malware and benign samples. Comprehensive experiments conducted on a dataset consisting of 3500 samples with 30 RSST derived essential system calls resulted in an accuracy of 99.9%, Area Under Curve (AUC) of 1.0, with 1% False Positive Rate (FPR). However, other feature selectors (Information Gain, CFsSubsetEval, ChiSquare, FreqSel and Symmetric Uncertainty) used in the domain of malware analysis resulted in the accuracy of 95.5% with 8.5% FPR. Besides, empirical analysis of RSST derived system calls outperform other attributes such as permissions, opcodes, API, methods, call graphs, Droidbox attributes and network traces.

研究动机与目标

• 解决Android恶意软件检测中高维、噪声特征空间的挑战。
• 识别出能最佳区分恶意与良性应用程序的最小最优系统调用集合。
• 通过结合粗糙集理论与统计测试进行特征选择，提升分类性能。
• 评估基于系统调用的特征相较于权限、API和Droidbox追踪等传统静态属性的优越性。
• 利用动态分析与机器学习构建稳健且高准确率的检测框架。

提出的方法

• 应用粗糙集理论，通过识别“约简”——即保留分类准确率的最小系统调用子集——执行初始特征选择。
• 使用大规模测试（LPT），一种非参数统计检验，根据恶意样本与良性样本之间的区分能力对所选系统调用进行排序与优化。
• 从RSST过程中提取出最终的30个系统调用特征向量，以表征应用程序行为。
• 在选定的系统调用特征上训练并评估分类器（AdaBoostM1-J48、随机森林、旋转森林）。
• 与传统特征选择器进行性能对比：信息增益、卡方检验、对称不确定性、CFsSubsetEval和FreqSel。
• 将系统调用特征与其他动态和静态属性（如网络追踪、调用图、Droidbox）结合，进行对比分析。

实验结果

研究问题

• RQ1 结合粗糙集理论与统计测试的混合特征选择方法是否能提升恶意软件检测的准确率？
• RQ2 基于系统调用的特征与传统静态特征（如权限、API）相比，在区分恶意软件与良性应用方面表现如何？
• RQ3 实现高检测准确率且假阳性率低所需的最优系统调用数量是多少？
• RQ4 RSST方法是否在恶意软件检测任务中优于标准特征选择技术？
• RQ5 仅使用系统调用特征是否能在Android恶意软件检测中实现接近完美的分类性能？

主要发现

• RSST方法在仅使用30个选定系统调用的情况下，实现了99.9%的检测准确率、1.0的AUC以及仅1%的假阳性率。
• 所提出的方法显著优于传统特征选择器：信息增益、CFsSubsetEval、卡方检验和对称不确定性分别达到95.5%准确率与8.5%假阳性率。
• 基于系统调用的特征在检测性能上优于权限、API和Droidbox属性等静态特征。
• 基于LPT的特征集在子集评估中实现了99.8%的准确率与0.001%的假阳性率，表明其具有高度鲁棒性。
• 实证分析证实，系统调用在恶意软件分类中比调用图、操作码或网络追踪更具区分性。
• 本研究证明，结合智能特征选择的动态分析（基于系统调用）可实现近乎完美的恶意软件检测。