[论文解读] Group-wise classification approach to improve Android malicious apps detection accuracy

Ashu Sharma, Sanjay K. Sahay|arXiv (Cornell University)|Apr 3, 2019

Advanced Malware Detection Techniques被引用 7

一句话总结

本文提出一种基于危险权限分组的安卓恶意软件检测群体分类方法，通过在应用分类后应用机器学习提升检测准确率。基于Drebin数据集，该方法在优化特征选择（80–100个特征）并选择各组特定分类器后，实现了97.15%的平均检测准确率，超越了以往研究。其中，日历（Calendar）组达到100%准确率，而麦克风（Microphone）组准确率最低，为93.59%。

ABSTRACT

In the fast-growing smart devices, Android is the most popular OS, and due to its attractive features, mobility, ease of use, these devices hold sensitive information such as personal data, browsing history, shopping history, financial details, etc. Therefore, any security gap in these devices means that the information stored or accessing the smart devices are at high risk of being breached by the malware. These malware are continuously growing and are also used for military espionage, disrupting the industry, power grids, etc. To detect these malware, traditional signature matching techniques are widely used. However, such strategies are not capable to detect the advanced Android malicious apps because malware developer uses several obfuscation techniques. Hence, researchers are continuously addressing the security issues in the Android based smart devices. Therefore, in this paper using Drebin benchmark malware dataset we experimentally demonstrate how to improve the detection accuracy by analyzing the apps after grouping the collected data based on the permissions and achieved 97.15% overall average accuracy. Our results outperform the accuracy obtained without grouping data (79.27%, 2017), Arp, et al. (94%, 2014), Annamalai et al. (84.29%, 2016), Bahman Rashidi et al. (82%, 2017)) and Ali Feizollah, et al. (95.5%, 2017). The analysis also shows that among the groups, Microphone group detection accuracy is least while Calendar group apps are detected with the highest accuracy, and with the highest accuracy, and for the best performance, one shall take 80-100 features.

研究动机与目标

• 应对传统基于签名的检测方法难以应对的高级安卓恶意软件检测挑战。
• 通过围绕权限分组的静态分析结构化方法，提升检测准确率。
• 针对每个权限组优化特征选择与分类器选择，以最大化检测性能。
• 与现有最先进方法相比，展示在安卓恶意软件检测中的优越准确率。

提出的方法

• 根据应用声明的危险权限，将Drebin基准数据集中的安卓应用划分为九种类别（如日历、相机、麦克风等）。
• 从AndroidManifest.xml和.smali文件中提取静态特征，重点关注权限、API调用和系统调用。
• 每组选择前80–100个特征，以平衡模型复杂度与检测性能。
• 在每个权限组上训练五种分类器：随机森林（RF）、朴素贝叶斯树（NBT）、逻辑模型树（LMT）、决策树（DT）和模糊树（FT）。
• 基于性能评估，为每组选择最优分类器，以最大化准确率、真正例（TP）率和真负例（TN）率。
• 使用标准指标（准确率、TP率、TN率）进行评估，并在所有权限组中采用交叉验证。

实验结果

研究问题

• RQ1 根据危险权限对安卓应用进行分组，能否提升静态恶意软件检测的准确率？
• RQ2 每种基于权限的分组中，特征与分类器的最佳组合是什么，可实现最高检测准确率？
• RQ3 所提出的分组方法在性能上与非分组检测方法及先前最先进方法相比如何？
• RQ4 在分组分类框架中，用于训练和测试的最优特征数量是多少？
• RQ5 哪个权限组最难检测，哪个最容易检测，原因是什么？

主要发现

• 所提出的分组分类方法实现了97.15%的整体平均检测准确率，显著优于以往方法，如Arp等人（94%）、Ali Feizollah等人（95.5%）等。
• 随机森林（RF）分类器在各组中均表现出最高且最稳定的平均准确率，且在不同特征数量下波动最小。
• 日历权限组在使用仅20个特征的RF分类器时，达到了最高的检测准确率（100.00%）。
• 麦克风组在所有组中准确率最低（93.59%），表明具有麦克风权限的应用检测难度更高。
• 为实现最佳性能，研究建议每组使用80–100个特征，该范围在准确率与稳定性之间实现了最佳平衡。
• 短信（SMS）组在使用模糊树（FT）分类器时，真正例（TP）率最低（80%），而其他组由逻辑模型树（LMT）分类器分类效果最佳，准确率达96.80%。