[论文解读] Stimulation and Detection of Android Repackaged Malware with Active Learning

Aleieldin Salem|arXiv (Cornell University)|Aug 3, 2018

Advanced Malware Detection Techniques参考文献 28被引用 4

一句话总结

该论文提出Aion，一种主动学习框架，通过迭代刺激和优化Android重打包恶意软件的行为表征，以提高检测准确率。通过使分类器能够请求更具信息量的运行时执行，Aion在Piggybacking数据集上实现了72%的测试F1分数，优于传统方法在检测隐藏于良性应用中的恶意载荷方面的能力。

ABSTRACT

Repackaging is a technique that has been increasingly adopted by authors of Android malware. The main problem facing the research community working on devising techniques to detect this breed of malware is the lack of ground truth that pinpoints the malicious segments grafted within benign apps. Without this crucial knowledge, it is difficult to train reliable classifiers able to effectively classify novel, out-of-sample repackaged malware. To circumvent this problem, we argue that reliable classifiers can be trained to detect repackaged malware, if they are allowed to request new, more accurate representations of an app's behavior. This learning technique is referred to as active learning. In this paper, we propose the usage of active learning to train classifiers able to cope with the ambiguous nature of repackaged malware. We implemented an architecture, Aion, that connects the processes of stimulating and detecting repackaged malware using a feedback loop depicting active learning. Our evaluation of a sample implementation of Aion using two malware datasets (Malgenome and Piggybacking) shows that active learning can outperform conventional detection techniques and, hence, has great potential to detect Android repackaged malware.

研究动机与目标

• 为解决重打包恶意软件检测中缺乏真实标签的问题，即恶意代码段在训练数据中未被明确标识。
• 通过在训练期间实现动态、反馈驱动的程序行为探索，提升分类器性能。
• 开发一种系统，即使缺乏恶意代码位置的精确标签，也能有效刺激并检测重打包恶意软件。
• 评估主动学习是否能在识别重打包恶意软件中的恶意载荷方面优于静态或传统动态检测方法。
• 为未来聚焦于重打包Android恶意软件语义与行为细微差别的检测技术奠定基础。

提出的方法

• Aion架构通过反馈循环实现：分类错误的应用会触发使用新刺激策略的重新执行，以发现更具代表性的行为特征。
• 在训练中应用主动学习：当分类器错误分类某个应用时，会请求新的执行路径以改进特征表征。
• 通过多种执行路径提取的特征向量被聚合（例如通过多数投票）以形成每个应用更准确的行为画像。
• 系统使用动态分析从不同执行路径中提取行为签名（例如API调用轨迹），尤其是可能触发隐藏恶意载荷的路径。
• 训练循环持续进行，直到达到最大分类准确率，表明已对应用实现全面的行为覆盖。
• 该方法在两个数据集（Malgenome和Piggybacking）上进行评估，使用标准机器学习分类器，其训练基于动态优化的特征集。

实验结果

研究问题

• RQ1 通过迭代刺激优化行为表征，主动学习能否提升对重打包Android恶意软件的检测能力？
• RQ2 主动学习在识别重打包应用中恶意载荷方面的性能，与传统静态或动态检测方法相比如何？
• RQ3 执行迭代次数与检测重打包恶意软件中隐藏恶意行为的能力之间，相关性有多大？
• RQ4 基于反馈的执行路径探索能否带来更好的泛化能力，并在未见测试应用上获得更高的F1分数？
• RQ5 缺乏恶意代码位置的真实标签是否显著阻碍检测，而主动学习能否缓解这一局限？

主要发现

• 基于主动学习的分类器在Piggybacking数据集上实现了72%的测试F1分数，表明其在检测能力上优于传统方法。
• 该框架通过反馈驱动的执行迭代优化行为表征，成功缓解了真实标签缺失的挑战。
• 达到高准确率所需的执行迭代次数与检测隐藏恶意载荷的复杂性相关，表明刺激深度与检测有效性之间存在关联。
• 主动学习通过动态适应重打包恶意软件的模糊与混淆特性，优于传统检测技术。
• 评估结果证实，迭代刺激可带来更优的特征表征，从而实现对具有隐蔽注入恶意行为的应用更准确的分类。
• 结果表明，主动学习是检测重打包恶意软件的一种可行且有效的方法，尤其在缺乏恶意代码段精确标签的情况下。