Better Call Graphs: A New Dataset of Function Call Graphs for Malware Classification
Este artículo presenta "Better Call Graphs" (BCG), un conjunto de datos exhaustivo y disponible públicamente de grafos de llamadas de funciones únicos y a gran escala extraídos de aplicaciones de Android recientes, diseñado para superar las limitaciones de los conjuntos de datos actuales, obsoletos y redundantes, al permitir una clasificación de malware más fiable y diversa.
Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo
En el mundo digital, las aplicaciones móviles no son solo colecciones de código; son redes intrincadas de instrucciones que le dicen a un teléfono qué hacer. Para entender cómo se comporta una aplicación, los investigadores de seguridad suelen observar su "grafo de llamadas de funciones". Imagine esto como el mapa de una ciudad donde cada edificio es una tarea específica que la aplicación puede realizar, y las carreteras que conectan estos edificios muestran qué tareas activan a otras. Este mapa revela la verdadera estructura y el comportamiento de la aplicación, lo cual es mucho más fiable para detectar problemas que simplemente leer el nombre de la aplicación o mirar algunos detalles superficiales. Este enfoque es crucial porque los actores malintencionados que crean software malicioso, o malware, a menudo intentan ocultar su trabajo realizando cambios cosméticos diminutos en el código. Estos cambios pueden engañar a los escáneres simples que buscan patrones de texto específicos, pero rara vez alteran el mapa subyacente de cómo funciona realmente la aplicación. Durante años, el campo de la seguridad móvil ha dependido de estos mapas para atrapar amenazas, pero la calidad de los propios mapas ha sido un cuello de botella importante.
Durante mucho tiempo, los investigadores que intentaban construir mejores sistemas de detección han estado trabajando con mapas desactualizados o defectuosos. Muchas de las colecciones existentes de estos mapas de aplicaciones fueron construidas a partir de software que tiene ya décadas de antigüedad, reflejando una época en la que las aplicaciones móviles eran mucho más simples. Además, estas colecciones más antiguas a menudo estaban llenas de copias de la misma aplicación, disfrazadas con nombres ligeramente diferentes pero que compartían la misma estructura interna. Esto creó una falsa sensación de seguridad; los modelos de aprendizaje automático entrenados en estos mapas antiguos y repetitivos podían obtener puntuaciones muy altas en las pruebas, no porque fueran inteligentes, sino porque simplemente habían memorizado los duplicados. Al enfrentarse a una aplicación nueva y moderna, estos modelos a menudo fallaban por completo. La rápida evolución del ecosoistema móvil significa que las amenazas de hoy son estructuralmente diferentes a las del pasado, y las herramientas utilizadas para estudiarlas necesitaban una actualización seria.
Para resolver este problema, un equipo de investigadores de la Universidad de Buffalo ha creado una nueva y exhaustiva colección de mapas de aplicaciones llamada "Better Call Graphs". Este conjunto de datos no es solo una versión más grande de lo que existía anteriormente; es un recurso fundamentalmente diferente construido desde cero utilizando software reciente. El equipo recopiló más de 125,000 archivos de aplicaciones de los principales repositorios públicos, filtrándolos hasta obtener un conjunto final de aproximadamente 10,000 ejemplos únicos. Fueron estrictos con la calidad: descartaron cualquier aplicación que fuera demasiado pequeña para contener un comportamiento complejo, eliminaron cualquier software compilado antes de 2017 para asegurar la relevancia moderna y verificaron rigurosamente la existencia de duplicados. Utilizaron un sistema de verificación de múltiples motores para confirmar cuáles aplicaciones eran maliciosas, asegurando que las etiquetas fueran precisas y fiables. El resultado es un conjunto de datos que captura la verdadera complejidad del software móvil moderno, que contiene tanto aplicaciones inofensivas como diversos tipos de malware, incluyendo troyanos, adware y ransomware.
Cuando los investigadores probaron métodos de detección estándar en este nuevo conjunto de datos, los resultados fueron contundentes y reveladores. En los conjuntos de datos antiguos y familiares, los mejores modelos de aprendizaje automático alcanzaban tasas de precisión cercanas al 90 por ciento, haciendo que la tarea de detectar malware pareciera casi resuelta. Sin embargo, cuando estos mismos modelos se aplicaron al nuevo conjunto de datos "Better Call Graphs", su rendimiento se desplomó. La precisión cayó alrededor del 77 por ciento, y una medida de éxito más crítica, conocida como la puntuación macro-F1, cayó de casi el 90 por ciento a solo el 18 por ciento. Este declive dramático no fue un fallo de los modelos, sino una prueba de que los antiguos conjuntos de datos habían sido engañosos. Los modelos se habían sobreajustado a los patrones repetitivos del pasado y, al enfrentarse a la genuina complejidad y variedad de las aplicaciones modernas, tuvieron dificultades. El nuevo conjunto de datos expuso una brecha significativa entre la tecnología actual y la realidad de las amenazas móviles modernas.
El estudio también exploró cómo cambia la dificultad de la detección a lo largo del tiempo. Cuando los investigadores entrenaron sus modelos con aplicaciones más antiguas y los probaron con aplicaciones más nuevas, el rendimiento cayó aún más, confirmando que el panorama del malware móvil está cambiando rápidamente. Este fenómeno, conocido como deriva de concepto (concept drift), significa que un modelo entrenado con datos de hace cinco años es probable que sea ineficaz hoy. El nuevo conjunto de datos también incluyó información detallada sobre las aplicaciones mismas, como su tamaño, los permisos que solicitan y las librerías específicas que utilizan, permitiendo una visión más holística del software. A pesar de estos detalles enriquecedores, incluso los modelos basados en grafos más avanzados encontraron difícil distinguir entre diferentes familias de malware dentro del nuevo conjunto de datos, lo que sugiere que las similitudes estructurales entre diferentes tipos de amenazas modernas son mucho más fuertes de lo que se pensaba anteriormente.
En última instancia, este trabajo sirve como un necesario baño de realidad para el campo de la seguridad móvil. Al proporcionar una colección de mapas de aplicaciones limpia, moderna y no redundante, los investigadores han establecido un nuevo estándar para evaluar los sistemas de detección. Los hallazgos sugieren que las altas tasas de éxito reportadas en estudios previos fueron a menudo una ilusión creada por datos desactualizados y repetitivos. El camino a seguir requiere desarrollar nuevas técnicas que puedan manejar la complejidad genuina de las aplicaciones modernas, en lugar de depender de métodos que solo funcionan en las versiones simplificadas e históricas del problema. El conjunto de datos está ahora disponible públicamente, ofreciendo un banco de pruebas riguroso para la investigación futura y asegurando que la próxima generación de herramientas de seguridad se construya sobre una base de verdad en lugar de repetición.
¿Ahogado en artículos de tu campo?
Recibe resúmenes diarios de los artículos más novedosos que coincidan con tus palabras clave de investigación — con resúmenes técnicos, en tu idioma.