[论文解读] Taming the Android AppStore: Lightweight Characterization of Android Applications

Luigi Vigneri, Chandrashekar, Jaideep+2 more|Graduate School and Research Center in Digital Science (EURECOM)|Apr 23, 2015

Advanced Malware Detection Techniques参考文献 12被引用 9

一句话总结

本文提出了一种轻量级、可扩展的方法，通过本地代理监控出站流量，自动表征Android应用的网络行为，识别与广告网络、追踪服务及与恶意软件相关的域名的连接。主要贡献是一种工具（NSA），使终端用户能够审计应用的网络活动，揭示了在流行应用（包括高评分应用）中广泛存在的隐蔽追踪和过度广告通信行为。

ABSTRACT

There are over 1.2 million applications on the Google Play store today with a large number of competing applications for any given use or function. This creates challenges for users in selecting the right application. Moreover, some of the applications being of dubious origin, there are no mechanisms for users to understand who the applications are talking to, and to what extent. In our work, we first develop a lightweight characterization methodology that can automatically extract descriptions of application network behavior, and apply this to a large selection of applications from the Google App Store. We find several instances of overly aggressive communication with tracking websites, of excessive communication with ad related sites, and of communication with sites previously associated with malware activity. Our results underscore the need for a tool to provide users more visibility into the communication of apps installed on their mobile devices. To this end, we develop an Android application to do just this; our application monitors outgoing traffic, associates it with particular applications, and then identifies destinations in particular categories that we believe suspicious or else important to reveal to the end-user.

研究动机与目标

• 为解决Android应用网络行为缺乏透明度的问题，尤其是在Google Play商店开放的背景下。
• 识别并表征不良网络活动，如过度广告请求、追踪行为以及与恶意域名的连接。
• 开发一种轻量级、可扩展的自动化方法，用于分析Android应用的网络行为，无需进行代码级分析。
• 创建一种实用工具（NSA），使终端用户能够监控并理解已安装应用的网络活动。
• 揭示即使在高评分、广泛使用应用中，隐藏追踪和广告密集型行为的普遍性。

提出的方法

• 在Android设备上部署本地HTTP/HTTPS代理（使用SandroProxyLib）以拦截所有出站网络流量。
• 安装自定义CA证书，以实现对加密（HTTPS）流量的中间人检查。
• 通过系统级套接字监控（使用 /proc/net/tcp 和 /proc/net/udp）将网络流映射到特定应用，利用UID进行识别。
• 批量查询URL，并利用外部服务（如Google Safe Browsing、VirusTotal）将目标分类为广告相关、追踪或恶意类型。
• 将代理日志中的URL与套接字映射相关联，以将网络活动归因于单个应用。
• 实现一个面向用户的应用程序（NSA），实时显示每个应用的分类网络目标。

实验结果

研究问题

• RQ1 在Google Play商店中的免费Android应用中，与广告相关域名的连接有多普遍？
• RQ2 Android应用在多大程度上与第三方追踪服务通信，其中有多少是在用户无意识的情况下进行的？
• RQ3 有多少应用连接到曾被恶意软件检测引擎标记为恶意或可疑活动的域名？
• RQ4 轻量级、非侵入式监控系统能否有效揭示现实世界中Android应用的隐藏网络行为？
• RQ5 不同应用类别之间的网络行为分布如何？高评分应用是否更可能表现出侵犯隐私的行为？

主要发现

• 大量Android应用，包括部分评分达4.5分以上的应用，在执行几分钟内即与超过1,000个唯一URL建立连接。
• 许多高评分的天气、工具和生活方式类应用被发现连接到多个第三方追踪服务，通常用户对此毫不知情。
• 相当一部分应用与曾被恶意软件检测引擎标记为恶意的域名通信，表明存在潜在安全风险。
• 部分应用表现出过度的广告相关通信，短时间内访问超过200个广告相关URL，暗示其采用激进的变现策略。
• 研究发现，侵犯隐私的行为不仅限于低质量或冷门应用，而是在各类应用中普遍存在，甚至在流行应用中也广泛存在。
• NSA监控工具成功检测到一个被植入后门的恶意软件应用所发起的隐蔽网络活动，该应用并未由用户主动启动，证明了其在现实场景中的实用性。