Better Call Graphs: A New Dataset of Function Call Graphs for Malware Classification
Cet article présente « Better Call Graphs » (BCG), un ensemble de données complet et accessible au public de graphes d'appels de fonctions uniques et à grande échelle extraits d'applications Android récentes, conçu pour surmonter les limites des ensembles de données existants, obsolètes et redondants, en permettant une classification des malwares plus fiable et diversifiée.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Dans le monde numérique, les applications mobiles ne sont pas de simples collections de code ; ce sont des réseaux complexes d'instructions qui disent à un téléphone quoi faire. Pour comprendre comment une application se comporte, les chercheurs en sécurité examinent souvent son « graphe d'appels de fonctions ». Imaginez cela comme la carte d'une ville où chaque bâtiment est une tâche spécifique que l'application peut accomplir, et les routes qui les relient montrent quelles tâches en déclenchent d'autres. Cette carte révèle la véritable structure et le comportement de l'application, ce qui est bien plus fiable pour repérer les problèmes que de simplement lire le nom de l'application ou d'examiner quelques détails superficiels. Cette approche est cruciale car les acteurs malveillants qui créent des logiciels malveillants, ou malwares, tentent souvent de cacher leur travail en effectuant de minuscules changements cosmétiques au code. Ces changements peuvent tromper les scanners simples qui recherchent des motifs textuels spécifiques, mais ils modifient rarement la carte sous-jacente du fonctionnement réel de l'application. Pendant des années, le domaine de la sécurité mobile s'est appuyé sur ces cartes pour attraper les menaces, mais la qualité de ces cartes elles-mêmes a été un goulot d'étranglement majeur.
Pendant longtemps, les chercheurs essayant de construire de meilleurs systèmes de détection ont travaillé avec des cartes obsolètes ou défectueuses. Beaucoup de collections existantes de ces cartes d'applications étaient construites à partir de logiciels qui datent maintenant de plusieurs décennies, reflétant une époque où les applications mobiles étaient beaucoup plus simples. De plus, ces anciennes collections étaient souvent remplies de copies de la même application, déguisées avec des noms légèrement différents mais partageant exactement la même structure interne. Cela a créé un faux sentiment de sécurité ; les modèles d'apprentissage automatique entraînés sur ces cartes anciennes et répétitives pouvaient obtenir des scores très élevés lors des tests, non pas parce qu'ils étaient intelligents, mais parce qu'ils avaient simplement mémorisé les doublons. Face à une nouvelle application moderne, ces modèles échouaient souvent complètement. L'évolution rapide de l'écosystème mobile signifie que les menaces d'aujourd'hui sont structurellement différentes de celles du passé, et que les outils utilisés pour les étudier avaient besoin d'une mise à jour sérieuse.
Pour résoudre ce problème, une équipe de chercheurs de l'Université de Buffalo a créé une nouvelle collection complète de cartes d'applications appelée « Better Call Graphs ». Ce jeu de données n'est pas seulement une version plus large de ce qui existait auparavant ; c'est une ressource fondamentalement différente, construite de zéro à partir de logiciels récents. L'équipe a rassemblé plus de 125 000 fichiers d'applications provenant de grands dépôts publics, les filtrant pour arriver à un ensemble final d'environ 10 000 exemples uniques. Ils ont été stricts sur la qualité : ils ont écarté toute application trop petite pour contenir un comportement complexe, ont supprimé tout logiciel compilé avant 2017 pour garantir la pertinence moderne, et ont rigoureusement vérifié les doublons. Ils ont utilisé un système de vérification multi-moteurs pour confirmer quels appareils étaient malveillants, garantissant que les étiquettes étaient précises et fiables. Le résultat est un ensemble de données qui capture la véritable complexité des logiciels mobiles modernes, contenant à la fois des applications inoffensives et divers types de malwares, notamment des chevaux de Troie, des adwares et des ransomwares.
Lorsque les chercheurs ont testé des méthodes de détection standards sur ce nouveau jeu de données, les résultats ont été frappants et révélateurs. Sur les anciens jeux de données familiers, les meilleurs modèles d'apprentissage automatique atteignaient des taux de précision proches de 90 pour cent, faisant paraître la tâche de détection de malwares presque résolue. Cependant, lorsque ces mêmes modèles ont été appliqués au nouveau jeu de données « Better Call Graphs », leurs performances ont chuté. La précision est tombée à environ 77 pour cent, et une mesure de succès plus critique, connue sous le nom de score macro-F1, est passée de près de 90 pour cent à seulement 18 pour cent. Ce déclin spectaculaire n'était pas un échec des modèles, mais plutôt la preuve que les anciens jeux de données avaient été trompeurs. Les modèles s'étaient sur-entraînés (overfitting) sur les motifs répétitifs du passé, et face à la complexité et à la variété réelles des applications modernes, ils peinaient à se généraliser. Le nouveau jeu de données a exposé un écart important entre la technologie actuelle et la réalité des menaces mobiles modernes.
L'étude a également exploré comment la difficulté de détection évolue au fil du temps. Lorsque les chercheurs ont entraîné leurs modèles sur des applications plus anciennes et les ont testés sur des plus récentes, la performance a encore chuté, confirmant que le paysage des malwares mobiles change rapidement. Ce phénomène, appelé dérive conceptuelle (concept drift), signifie qu'un modèle entraîné sur des données d'il y a cinq ans est probablement inefficace aujourd'hui. Le nouveau jeu de données comprenait également des informations détaillées sur les applications elles-mêmes, telles que leur taille, les permissions qu'elles demandent et les bibliothèques spécifiques qu'elles utilisent, permettant une vision plus holistique du logiciel. Malgré ces détails riches, même les modèles basés sur les graphes les plus avancés ont trouvé difficile de distinguer les différentes familles de malwares au sein du nouveau jeu de données, suggérant que les similitudes structurelles entre les différents types de menaces modernes sont beaucoup plus fortes qu'on ne le pensait auparavant.
En fin de compte, ce travail sert de rappel nécessaire à la réalité pour le domaine de la sécurité mobile. En fournissant une collection propre, moderne et non redondante de cartes d'applications, les chercheurs ont établi une nouvelle norme pour l'évaluation des systèmes de détection. Les conclusions suggèrent que les taux de réussite élevés rapportés dans les études précédentes étaient souvent une illusion créée par des données obsolètes et répétitives. La voie à suivre nécessite le développement de nouvelles techniques capables de gérer la véritable complexité des applications modernes, plutôt que de s'appuyer sur des méthodes qui ne fonctionnent que sur les versions simplifiées et historiques du problème. Le jeu de données est désormais disponible publiquement, offrant un banc d'essai rigoureux pour la recherche future et garantissant que la prochaine génération d'outils de sécurité soit construite sur un fondement de vérité plutôt que de répétition.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.