[论文解读] I Spy with My Little Eye: Analysis and Detection of Spying Browser Extensions

Anupama Aggarwal, Bimal Viswanath+4 more|arXiv (Cornell University)|Dec 2, 2016

Spam and Phishing Detection被引用 4

一句话总结

本文提出一种机器学习方法，用于检测窃取用户敏感数据（如浏览历史、社交网络令牌和地理位置）的间谍浏览器扩展。通过使用循环神经网络（RNN）对浏览器API调用序列进行建模，该方法在识别恶意扩展时实现了90.02%的精确率和93.31%的召回率，优于传统手工设计特征的方法。

ABSTRACT

Several studies have been conducted on understanding third-party user tracking on the web. However, web trackers can only track users on sites where they are embedded by the publisher, thus obtaining a fragmented view of a user's online footprint. In this work, we investigate a different form of user tracking, where browser extensions are repurposed to capture the complete online activities of a user and communicate the collected sensitive information to a third-party domain. We conduct an empirical study of spying browser extensions on the Chrome Web Store. First, we present an in-depth analysis of the spying behavior of these extensions. We observe that these extensions steal a variety of sensitive user information, such as the complete browsing history (e.g., the sequence of web traversals), online social network (OSN) access tokens, IP address, and user geolocation. Second, we investigate the potential for automatically detecting spying extensions by applying machine learning schemes. We show that using a Recurrent Neural Network (RNN), the sequences of browser API calls can be a robust feature, outperforming hand-crafted features (used in prior work on malicious extensions) to detect spying extensions. Our RNN based detection scheme achieves a high precision (90.02%) and recall (93.31%) in detecting spying extensions.

研究动机与目标

• 理解间谍浏览器扩展窃取用户敏感数据（如浏览历史、社交网络令牌和地理位置）的普遍性及其行为特征。
• 探究利用机器学习自动检测此类扩展的可行性，避免依赖复杂的手工特征设计。
• 评估浏览器API调用序列是否可作为检测间谍行为的稳健且高性能特征。
• 开发并验证一种基于RNN的检测模型，使其在间谍扩展检测方面优于现有的特征工程方法。

提出的方法

• 作者手动分析了超过1,000个Chrome Web Store扩展的行为日志（包括网络、存储和API请求），识别出218个间谍扩展，构建了真实情况数据集。
• 应用启发式规则从候选集（共43,521个扩展）中过滤出目标扩展，减少人工工作量的同时保持检测准确性。
• 核心方法将浏览器API调用序列建模为序列数据，并使用循环神经网络（RNN）学习指示间谍行为的复杂时间模式。
• RNN在API调用序列上进行训练，捕捉间谍扩展中常见的混淆技术和状态切换等动态行为。
• 该方法通过仅依赖原始API调用序列，避免了复杂的手工特征设计，优于传统特征工程方法。
• 该模型在65个此前未见过的扩展组成的保留测试集中进行了评估，成功识别出新的间谍扩展。

实验结果

研究问题

• RQ1 间谍浏览器扩展通常窃取哪些类型的敏感用户信息？它们在Chrome Web Store上的普遍性如何？
• RQ2 与手工设计特征相比，浏览器API调用序列是否可作为更有效的特征来检测间谍扩展？
• RQ3 基于RNN的模型与依赖手工特征的传统机器学习方法相比，在检测间谍扩展方面表现如何？
• RQ4 RNN模型在多大程度上能够泛化以检测此前未见过的间谍扩展？

主要发现

• 研究在Chrome Web Store上识别出218个间谍扩展，其中许多扩展的受欢迎程度和评分与良性扩展相当，表明用户普遍缺乏意识。
• 垃圾信息型扩展会窃取广泛范围的敏感数据，包括完整的浏览历史、社交网络访问令牌、IP地址和地理位置，通常将数据外传至第三方域名。
• 基于RNN的检测模型实现了93.31%的召回率和90.02%的精确率，在检测间谍行为方面显著优于基于手工特征的方法。
• API调用序列被证明是最具预测力的特征，使检测无需复杂特征工程或依赖静态代码分析。
• 该模型成功检测出65个未包含在训练集中的新间谍扩展，展示了强大的泛化能力与实际应用潜力。
• 部分扩展中观察到混淆技术和间谍与非间谍状态之间的动态切换，凸显了检测的挑战性，也凸显了行为分析的必要性。