Better Call Graphs: A New Dataset of Function Call Graphs for Malware Classification
Dieses Paper stellt „Better Call Graphs“ (BCG) vor, einen umfassenden und öffentlich verfügbaren Datensatz aus einzigartigen, groß angelegten Funktionsaufruf-Graphen, die aus aktuellen Android-Anwendungen extrahiert wurden und darauf ausgelegt sind, die Einschränkungen bestehender veralteter und redundanter Datensätze zu überwinden, indem sie eine zuverlässigere und vielfältigere Malware-Klassifizierung ermöglichen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In der digitalen Welt sind mobile Anwendungen nicht bloß Ansammlungen von Code; sie sind komplexe Netzwerke von Anweisungen, die einem Telefon sagen, was es tun soll. Um zu verstehen, wie eine App reagiert, betrachten Sicherheitsforscher oft ihren „Funktionsaufruf-Graphen“ (Function Call Graph). Stellen Sie sich dies als eine Karte einer Stadt vor, in der jedes Gebäude eine spezifische Aufgabe ist, die die App ausführen kann, und die Straßen, die diese Gebäude verbinden, zeigen, welche Aufgaben andere Aufgaben auslösen. Diese Karte offenbart die wahre Struktur und das Verhalten der App, was weitaus zuverlässiger ist, um Probleme zu erkennen, als lediglich den Namen der App zu lesen oder sich ein paar oberflächliche Details anzusehen. Dieser Ansatz ist entscheidend, da Akteure mit böswilligen Absichten, die Schadsoftware oder Malware erstellen, oft versuchen, ihre Arbeit zu verbergen, indem sie winzige, kosmetische Änderungen am Code vornehmen. Diese Änderungen können einfache Scanner täuschen, die nach bestimmten Textmustern suchen, aber sie ändern selten die zugrunde liegende Karte der Funktionsweise der App. Seit Jahren verlässt sich das Feld der mobilen Sicherheit auf diese Karten, um Bedrohungen aufzuspüren, doch die Qualität der Karten selbst war ein erheblicher Engpass.
Lange Zeit arbeiteten Forscher, die versuchten, bessere Erkennungssysteme zu entwickeln, mit veralteten oder fehlerhaften Karten. Viele bestehende Sammlungen dieser App-Karten wurden von Software erstellt, die bereits Jahrzehnte alt ist und eine Zeit widerspiegelt, in der mobile Apps viel einfacher waren. Darüber hinaus waren diese älteren Sammlungen oft voll von Kopien derselben App, die unter leicht unterschiedlichen Namen getarnt waren, aber exakt dieselbe interne Struktur teilten. Dies erzeugte eine falsche Sicherheit; Machine-Learning-Modelle, die auf diesen alten, repetitiven Karten trainiert wurden, erzielten in Tests sehr hohe Punktzahlen – nicht, weil sie intelligent waren, sondern weil sie die Duplikate schlichtweg auswendig gelernt hatten. Wenn sie mit einer neuen, modernen App konfrontiert wurden, versagten diese Modelle oft vollständig. Die rasante Evolution des mobilen Ökosystems bedeutet, dass die heutigen Bedrohungen strukturell anders sind als die der Vergangenheit, und die Werkzeuge, die zur Untersuchung von ihnen verwendet werden, benötigten ein ernsthaftes Update.
Um dieses Problem zu lösen, hat ein Team von Forschern der University at Buffalo eine neue, umfassende Sammlung von App-Karten namens „Better Call Graphs“ erstellt. Dieser Datensatz ist nicht nur eine größere Version dessen, was es zuvor gab; er ist eine grundlegend andere Ressource, die von Grund auf unter Verwendung aktueller Software erstellt wurde. Das Team sammelte über 125.000 Anwendungsdateien aus großen öffentlichen Repositories und filterte sie auf einen endgültigen Satz von etwa 10.000 einzigartigen Beispielen herunter. Sie waren streng bei der Qualität: Sie verworfen jede App, die zu klein war, um komplexes Verhalten zu enthalten, entfernten jede Software, die vor 2017 kompiliert wurde, um moderne Relevanz zu gewährleisten, und prüften rigoros auf Duplikate. Sie verwendeten ein Multi-Engine-Verifizierungssystem, um zu bestätigen, welche Apps bösartig waren, wodurch sie sicherstellten, dass die Labels korrekt und zuverlässig waren. Das Ergebnis ist ein Datensatz, der die wahre Komplexität moderner mobiler Software einfängt und sowohl harmlose Apps als auch verschiedene Arten von Malware, einschließlich Trojaner, Adware und Ransomware, enthält.
Als die Forscher Standard-Erkennungsmethoden auf diesen neuen Datensatz testeten, waren die Ergebnisse drastisch und aufschlussreich. Auf älteren, vertrauten Datensätzen erreichten die besten Machine-Learning-Modelle Genauigkeitsraten von nahezu 90 Prozent, was die Aufgabe, Malware aufzuspüren, fast gelöst erscheinen ließ. Als dieselben Modelle jedoch auf den neuen „Better Call Graphs“-Datensatz angewendet wurden, brach ihre Leistung ein. Die Genauigkeit sank auf etwa 77 Prozent, und ein kritischeres Maß für den Erfolg, bekannt als Macro-F1-Score, fiel von fast 90 Prozent auf nur 18 Prozent. Dieser dramatische Rückgang war kein Versagen der Modelle, sondern ein Beweis dafür, dass die alten Datensätze irreführend gewesen waren. Die Modelle hatten sich zu sehr auf die repetitiven Muster der Vergangenheit eingeschossen (Overfitting), und als sie mit der echten Komplexität und Vielfalt moderner Apps konfrontiert wurden, hatten sie Schwierigkeiten, zu generalisieren. Der neue Datensatz legte eine signifikante Lücke zwischen der aktuellen Technologie und der Realität moderner mobiler Bedrohungen offen.
Die Studie untersuchte auch, wie sich die Schwierigkeit der Erkennung im Laufe der Zeit verändert. Wenn die Forscher ihre Modelle auf älteren Apps trainierten und sie an neueren testeten, sank die Leistung noch weiter, was bestätigte, dass sich die Landschaft der mobilen Malware schnell verschiebt. Dieses Phänomen, bekannt als Concept Drift, bedeutet, dass ein Modell, das mit Daten von vor fünf Jahren trainiert wurde, heute wahrscheinlich unwirksam ist. Der neue Datensatz enthielt auch detaillierte Informationen über die Apps selbst, wie etwa deren Größe, die angeforderten Berechtigungen und die spezifischen verwendeten Bibliotheken, was eine ganzheitlichere Sicht auf die Software ermöglichte. Trotz dieser reichhaltigen Details fanden selbst die fortschrittlichsten graphenbasierten Modelle Schwierigkeiten, zwischen verschiedenen Familien von Malware innerhalb des neuen Datensatzes zu unterscheiden, was darauf hindeutet, dass die strukturellen Ähnlichkeiten zwischen verschiedenen Arten moderner Bedrohungen viel stärker sind als bisher angenommen.
Letztendlich dient diese Arbeit als notwendige Realitätsprüfung für das Feld der mobilen Sicherheit. Indem sie eine saubere, moderne und nicht-redundante Sammlung von App-Karten bereitstellen, haben die Forscher einen neuen Standard für die Bewertung von Erkennungssystemen etabliert. Die Ergebnisse legen nahe, dass die hohen Erfolgsraten, die in früheren Studien berichtet wurden, oft eine Illusion waren, die durch veraltete und repetitive Daten erzeugt wurde. Der Weg nach vorn erfordert die Entwicklung neuer Techniken, die mit der echten Komplexität moderner Anwendungen umgehen können, anstatt sich auf Methoden zu verlassen, die nur bei den vereinfachten, historischen Versionen des Problems funktionieren. Der Datensatz ist nun öffentlich verfügbar und bietet ein strenges Testfeld für die zukünftige Forschung und stellt sicher, dass die nächste Generation von Sicherheitswerkzeugen auf einem Fundament der Wahrheit statt auf Wiederholung aufgebaut wird.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.