Separating Behavioral Effect from Predictive Value in Dynamic Android Malware Detection: An Empirical Decomposition Study
Diese empirische Studie zeigt, dass die Fusion von Strace- und DroidBox-Laufzeitmerkmalen die Vorhersageleistung bei der dynamischen Android-Malware-Erkennung zwar signifikant verbessert, verhaltensbedingte Reichhaltigkeit und prädiktiver Nutzen jedoch distinkte Eigenschaften bleiben, da Effekte der Ausführungsdauer und der Sequenzordnung sich nicht konsistent in eine bessere Diskriminierung übertragen lassen.
Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Jeden Tag laufen Milliarden von Android-Anwendungen auf Telefonen auf der ganzen Welt und führen Aufgaben aus, die vom Versenden von Nachrichten bis hin zur Verwaltung von Bankkonten reichen. Da diese Apps so allgegenwärtig sind, sind sie auch das primäre Ziel für Schadsoftware, die darauf ausgelegt ist, Daten zu stehlen oder Geräte zu beschädigen. Seit Jahren versuchen Sicherheitsforscher, Systeme zu entwickeln, die diese schlechten Apps erkennen können, bevor sie Schaden anrichten. Einer der vielversprechendsten Wege hierfür ist es, zu beobachten, wie sich eine App während ihres Betriebs verhält. Anstatt nur den Code zu lesen, um zu sehen, was sie tun könnte, startet ein System zur dynamischen Analyse die App tatsächlich in einer sicheren, isolierten Umgebung und zeichnet jede Aktion auf, die sie unternimmt. Dies kann beinhalten, dass die App versucht, eine Netzwerkverbindung zu öffnen, auf eine Kontaktliste zuzugreifen oder eine bestimmte Funktion des Betriebssystems des Telefons aufzurufen. Die Hoffnung ist, dass diese Aktionen einen einzigartigen Fingerabdruck hinterlassen, der ein harmloses Hilfsprogramm von einem gefährlichen Virus unterscheidet.
Das Beobachten einer laufenden App ist jedoch nicht so einfach wie das Machen eines Fotos. Die Dauer, die eine App laufen darf, die spezifische Reihenfolge, in der sie Aktionen ausführt, und die Werkzeuge, die zur Beobachtung verwendet werden, können das Bild alle verändern. Wenn einer bösartigen App mehr Zeit gegeben wird, führt sie möglicherweise mehr Aktionen aus, wodurch sie aktiver erscheint als eine harmlose App, die ihre Aufgabe einfach schnell erledigt. Ähnlich können zwei verschiedene Werkzeuge das Verhalten derselben App auf leicht unterschiedliche Weise aufzeichnen, was zu Verwirrung darüber führt, was wirklich wichtig ist. Die Kernherausforderung für Forscher besteht darin, herauszufinden, welche Teile des aufgezeichneten Verhaltens echte Anzeichen von Malware sind und welche Teile lediglich Nebenwirkungen der Zeitdauer sind, in der die App lief, oder des verwendeten Werkzeugs. Ohne diese Faktoren zu trennen, könnte ein Sicherheitssystem von einer harmlosen App, die lange lief, getäuscht werden, oder es könnte eine gefährliche App übersehen, die nur kurz lief.
Ein Team von Forschern der Samsun University unternahm in einer neuen Studie den Versuch, diese verschiedenen Fäden zu entwirren. Sie haben keinen neuen Weg erfunden, um Malware zu fangen, oder einen neuen Typ von Computerprogramm vorgeschlagen, um das Fangen durchzuführen. Stattdessen konzentrierten sie sich darauf, genau zu messen, wie viel verschiedene Informationen zu der endgültigen Entscheidung beitragen. Sie begannen mit einer massiven Sammlung von Anwendungen und wählten sorgfältig tausende bekannte sichere Apps sowie bekannte bösartige Apps aus. Um einen fairen Vergleich zu gewährleisten, ließen sie jede einzelne App exakt für die gleiche Zeit laufen – fünf Minuten – und zeichneten zwei verschiedene Arten von Daten für jede einzelne auf. Die erste Art von Daten war ein Low-Level-Log jedes einzelnen Requests, den die App an das Betriebssystem des Telefons stellte, bekannt als Systemaufruf (System Call). Die zweite Art war eine High-Level-Zusammenfassung dessen, was die App tatsächlich tat, wie zum Beispiel das Versenden einer Textnachricht oder das Verbinden mit einer bestimmten Website.
Die Forscher untersuchten zuerst, wie die Laufzeit einer App die von ihnen gesammelten Daten beeinflusste. Sie fanden eine starke Verbindung zwischen der Zeit, die eine App lief, und der Anzahl der Systemaufrufe, die sie ausführte; vereinfacht gesagt: Je länger eine App lief, desto mehr Aktionen unternahm sie. Dies schuf ein Problem, da eine lange laufende sichere App genauso aktiv erscheinen konnte wie eine kurz laufende bösartige App. Um dies zu beheben, passten sie die Daten an, um die Rate der Aktionen pro Sekunde anstelle der Gesamtzahl anzuzeigen. Diese Anpassung reduzierte den Einfluss der Zeit auf die Daten erheblich, machte die Daten jedoch nicht perfekt. Tatsächlich entdeckten sie, dass davon, ob diese Anpassung die Fähigkeit verbesserte oder verschlechterte, Malware zu erkennen, es ganz auf den spezifischen Computer-Algorithmus ankam, der zur Analyse der Daten verwendet wurde. Für einige Algorithmen war die rohe Anzahl der Aktionen besser; für andere war die Rate besser. Dies zeigte, dass es keinen einzelnen „besten“ Weg gibt, die Daten vorzubereiten, der für jedes Werkzeug funktioniert.
Als Nächstes untersuchte das Team die Reihenfolge, in der die App ihre Aktionen ausführte. Sie suchten nach spezifischen Mustern, wie etwa einer Aktion, die unmittelbar von einer anderen gefolgt wird, was ein Signatureffekt bösartigen Verhaltens sein könnte. Sie fanden heraus, dass viele dieser Muster tatsächlich weitaus häufiger in bösartigen Apps vorkamen als in sicheren Apps. Als sie jedoch versuchten, eine vereinfachte Zusammenfassung dieser Muster zur Vorhersage von Malware zu verwenden, war die Verbesserung sehr gering. Die Zusammenfassung lieferte kaum neuen Wert, sobald die Forscher bereits die detaillierte Liste der Aktionen und die High-Level-Zusammenfassung dessen, was die App tat, vorliegen hatten. Dies deutet darauf hin, dass die Reihenfolge der Aktionen zwar interessante Informationen enthält, eine einfache Zusammenfassung dieser Reihenfolge allein aber nicht ausreicht, um die Erkennung signifikant zu steigen.
Der bedeutendste Befund der Studie ergab sich aus dem Vergleich der zwei verschiedenen Arten von Daten, die sie gesammelt hatten: den Low-Level-Systemaufrufen und der High-Level-Aktivitätszusammenfassung. Als die Forscher diese beiden Ansichten kombinierten, verbesserte sich die Fähigkeit, Malware korrekt zu identifizieren, stärker, als wenn sie nur eine der beiden Ansichten allein verwendet hätten. Die Low-Level-Daten erfassten Dinge, die die High-Level-Daten übersehen hatten, und die High-Level-Daten erfassten Dinge, die die Low-Level-Daten übersehen hatten. Sie bestätigten, dass diese beiden Ansichten einzigartige, nicht-redundante Informationen lieferten. Durch die Fusion dieser Ansichten waren die besten von ihnen getesteten Computermodelle in der Lage, zwischen sicheren und bösartigen Apps mit einem sehr hohen Grad an Genauigkeit zu unterscheiden und den Großteil der Fälle korrekt zu identifizieren.
Die Studie kommt zu dem Schluss, dass der Erfolg eines Malware-Erkennungssystems davon abhängt, das Signal sorgfältig vom Rauschen zu trennen. Es reicht nicht aus, einfach nur Daten zu sammeln und zu hoffen, dass der Computer es schon herausfinden wird. Forscher müssen berücksichtigen, wie lange eine App lief, verstehen, dass verschiedene Werkzeuge die Welt unterschiedlich sehen, und erkennen, dass die Kombination verschiedener Arten von Beweisen oft leistungsfähiger ist, als sich auf nur eine zu verlassen. Die Arbeit zeigt, dass verhaltensbasierte Anreicherung (behavioral enrichment) und prädiktiver Wert unterschiedliche Eigenschaften sind; eine Aktion kann in Malware sehr häufig vorkommen, aber wenig zur endgültigen Vorhersage beitragen, wenn sie bereits durch einen anderen Teil der Daten erfasst wird. Durch die rigorose Prüfung dieser Komponenten lieferten die Forscher eine klare Karte dessen, was in der dynamischen Analyse tatsächlich funktioniert, und boten damit eine zuverlässigere Grundlage für die Entwicklung zukünftiger Sicherheitssysteme, die Nutzer in einer sich ständig verändernden digitalen Landschaft schützen können.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.