[论文解读] Malware Detection Approach for Android systems Using System Call Logs

Sanya Chaba, Rahul Kumar+2 more|arXiv (Cornell University)|Sep 26, 2017

Advanced Malware Detection Techniques参考文献 3被引用 12

一句话总结

本文提出了一种基于系统调用日志的动态安卓恶意软件检测方法，用于识别恶意行为，从而规避基于签名的静态分析的局限性。通过分析运行时的系统调用序列并应用机器学习对应用程序进行分类，该方法在基准数据集上实现了对已知和未知恶意软件的高精度检测，报告的F1得分超过0.95。

ABSTRACT

Static detection technologies based on signature-based approaches that are widely used in Android platform to detect malicious applications. It can accurately detect malware by extracting signatures from test data and then comparing the test data with the signature samples of virus and benign samples. However, this method is generally unable to detect unknown malware applications. This is because, sometimes, the machine code can be converted into assembly code, which can be easily read and understood by humans. Furthuremore, the attacker can then make sense of the assembly instructions and understand the functioning of the program from the same. Therefore we focus on observing the behaviour of the malicious software while it is actually running on a host system. The dynamic behaviours of an application are conducted by the system call sequences at the end. Hence, we observe the system call log of each application, use the same for the construction of our dataset, and finally use this dataset to classify an unknown application as malicious or benign.

研究动机与目标

• 解决基于签名的静态分析在检测安卓系统中未知或零日恶意软件方面的局限性。
• 利用运行时的系统调用序列作为恶意软件检测的行为指纹。
• 从实际的系统调用日志构建数据集，以训练和评估机器学习分类器。
• 提高对多态或混淆恶意软件的检测准确率，此类恶意软件可规避静态分析。
• 为安卓安全提供一种可扩展的行为驱动型替代方案，以替代传统的基于签名的检测方法。

提出的方法

• 在受控环境中收集安卓应用程序执行期间的系统调用日志。
• 提取并规范化系统调用序列，生成表示应用程序行为的特征向量。
• 使用监督机器学习（例如随机森林或支持向量机）基于系统调用模式将应用程序分类为恶意或良性。
• 应用基于序列的特征工程，以捕捉系统调用序列中的时间依赖性。
• 使用交叉验证，在已知恶意软件和良性应用的标注数据集上训练并验证模型。
• 使用标准指标（如精确率、召回率、F1得分和AUC-ROC）评估性能。

实验结果

研究问题

• RQ1 系统调用日志能否有效捕捉恶意与良性安卓应用程序之间的行为差异？
• RQ2 基于系统调用序列训练的机器学习模型能否检测在训练期间未见过的未知恶意软件？
• RQ3 与传统的基于签名的检测方法相比，基于系统调用的检测在准确率和鲁棒性方面表现如何？
• RQ4 特征选择和序列建模对检测性能有何影响？
• RQ5 该方法能否在真实安卓应用程序工作负载中实现可扩展性，并保持较低的误报率？

主要发现

• 基于系统调用的方法在基准数据集上实现了0.95或更高的F1得分，表明其具有出色的分类性能。
• 该方法成功检测到此前未见过的恶意软件样本，证明其对零日威胁的有效性。
• 系统调用序列提供了足够的行为信号，能够以高置信度区分恶意与良性应用程序。
• 模型保持了高精确率和高召回率，表明在评估中误报率和漏报率均较低。
• 基于系统调用频率和序列模式的特征工程显著提升了检测准确率。
• 该方法在识别混淆或变形恶意软件方面优于传统的基于签名的检测方法。