[论文解读] Rebooting Research on Detecting Repackaged Android Apps: Literature Review and Benchmark

Li Li, Tegawendé F. Bissyandé+1 more|arXiv (Cornell University)|Nov 20, 2018

Advanced Malware Detection Techniques参考文献 62被引用 10

一句话总结

本文通过系统性文献回顾并引入RePack数据集——一个从AndroZoo获取的大型公开基准数据集，重启了对重新打包Android应用检测的研究。作者倡导标准化评估，指出以往研究中的缺陷，如结果不可复现和缺乏工具支持，并提倡基于机器学习的分类方法作为实现现实应用市场中可扩展检测的实用路径。

ABSTRACT

Repackaging is a serious threat to the Android ecosystem as it deprives app developers of their benefits, contributes to spreading malware on users' devices, and increases the workload of market maintainers. In the space of six years, the research around this specific issue has produced 57 approaches which do not readily scale to millions of apps or are only evaluated on private datasets without, in general, tool support available to the community. Through a systematic literature review of the subject, we argue that the research is slowing down, where many state-of-the-art approaches have reported high-performance rates on closed datasets, which are unfortunately difficult to replicate and to compare against. In this work, we propose to reboot the research in repackaged app detection by providing a literature review that summarises the challenges and current solutions for detecting repackaged apps and by providing a large dataset that supports replications of existing solutions and implications of new research directions. We hope that these contributions will re-activate the direction of detecting repackaged apps and spark innovative approaches going beyond the current state-of-the-art.

研究动机与目标

• 解决由于结果不可复现和缺乏公开数据集而导致的Android重新打包应用检测研究停滞问题。
• 识别现有方法的关键缺陷，包括不切实际的评估场景、可扩展性有限以及缺乏开源工具支持。
• 提供一个全面且公开可用的基准数据集（RePack），以支持现有及新检测技术的可复现评估。
• 通过倡导标准化评估，激励超越当前最先进水平的创新且可扩展的解决方案，重振研究社区。
• 强调重新打包检测作为实现有效恶意软件检测和应用市场安全的基础步骤的重要性。

提出的方法

• 对过去六年间发表的57种重新打包应用检测方法进行了系统性文献回顾（SLR）。
• 分析评估实践，包括数据集隐私性、可复现性及性能声明，以识别先前研究中的关键缺陷。
• 通过使用代码相似性与元数据启发式方法从AndroZoo仓库中挖掘，构建了RePack数据集。
• 定义原始应用与重新打包应用之间80%的代码相似度为有效重新打包对的判定阈值。
• 使用APK哈希值和元数据确保数据集完整性，并在不同研究环境中实现可复现性。
• 提出将重新打包检测问题建模为二分类问题，以支持基于机器学习的可扩展、实际部署方案。

实验结果

研究问题

• RQ1 当前检测重新打包Android应用的方法存在哪些关键局限，特别是在可复现性和可扩展性方面？
• RQ2 现有评估实践如何阻碍该领域内结果的公平比较与复现？
• RQ3 大规模公开可用的数据集在多大程度上能提升未来重新打包应用检测研究的可靠性与进展？
• RQ4 将重新打包检测问题建模为分类问题，是否能比传统基于相似度的方法带来更实用、更可扩展的解决方案？
• RQ5 研究社区应优先关注哪些研究方向，以推动重新打包检测技术超越当前最先进水平？

主要发现

• 对57种方法的系统性回顾揭示了广泛存在的结果不可复现、依赖私有数据集以及缺乏公开工具支持等问题。
• 许多最先进方法虽报告了高性能，但其评估基于封闭数据集，导致复现与公平比较成为不可能。
• RePack数据集包含大量从AndroZoo获取的重新打包对，支持标准化与可复现的评估。
• 该数据集通过GitHub公开发布，确保了研究社区的透明性与长期可访问性。
• 本研究证明，当前评估实践不足，亟需向社区级基准与开放评估框架转变。
• 重新打包检测被确认为更广泛恶意软件检测的关键推动因素，因为许多恶意软件样本是通过重新打包良性应用生成的。