Better Call Graphs: A New Dataset of Function Call Graphs for Malware Classification
Questo articolo introduce "Better Call Graphs" (BCG), un dataset completo e pubblicamente disponibile di grafi di chiamata di funzioni unici e su larga scala estratti da recenti applicazioni Android, progettato per superare i limiti degli esistenti dataset obsoleti e ridondanti consentendo una classificazione dei malware più affidabile e diversificata.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Nel mondo digitale, le applicazioni mobili non sono solo collezioni di codice; sono intricati network di istruzioni che dicono a un telefono cosa fare. Per capire come si comporta un'app, i ricercatori della sicurezza spesso osservano il suo "grafo delle chiamate di funzione". Immaginate questo come la mappa di una città dove ogni edificio è un compito specifico che l'app può eseguire, e le strade che collegano questi edifici mostrano quali compiti ne attivano altri. Questa mappa rivela la vera struttura e il comportamento dell'app, il che è molto più affidabile per individuare problemi rispetto alla semplice lettura del nome dell'app o all'osservazione di alcuni dettagli superficiali. Questo approccio è fondamentale perché i malintenzionati che creano software malevolo, o malware, spesso cercano di nascondere il proprio lavoro effettuando piccole modifiche cosmetiche al codice. Queste modifiche possono ingannare gli scanner semplici che cercano specifici pattern testuali, ma raramente alterano la mappa sottostante di come l'app funzioni effettivamente. Per anni, il campo della sicurezza mobile si è affidato a queste mappe per catturare le minacce, ma la qualità delle mappe stesse è stata un importante collo di bottiglia.
Per molto tempo, i ricercatori che cercavano di costruire sistemi di rilevamento migliori hanno lavorato con mappe obsolete o difettose. Molte collezioni esistenti di queste mappe di app erano state costruite partendo da software che risale ormai a decenni fa, riflettendo un'epoca in cui le app mobili erano molto più semplici. Inoltre, queste vecchie collezioni erano spesso piene di copie della stessa app, travestite con nomi leggermente diversi ma che condividevano la stessa identica struttura interna. Ciò ha creato un falso senso di sicurezza; i modelli di machine learning addestrati su queste mappe vecchie e ripetitive potevano ottenere punteggi molto alti nei test, non perché fossero intelligenti, ma perché avevano semplicemente memorizzato i duplicati. Quando si trovavano di fronte a un'app nuova e moderna, questi modelli spesso fallivano completamente. La rapida evoluzione dell'ecosistema mobile significa che le minacce odierne sono strutturalmente diverse rispetto a quelle del passato, e gli strumenti utilizzati per studiarle avevano bisogno di un serio aggiornamento.
Per risolvere questo problema, un team di ricercatori dell'Università di Buffalo ha creato una nuova collezione completa di mappe di app chiamata "Better Call Graphs". Questo dataset non è solo una versione più grande di ciò che esisteva prima; è una risorsa fondamentalmente diversa, costruita da zero utilizzando software recente. Il team ha raccolto oltre 125.000 file di applicazioni da i principali repository pubblici, filtrandoli fino a un set finale di circa 10.000 esempi unici. Sono stati rigorosi sulla qualità: hanno scartato qualsiasi app troppo piccola per contenere un comportamento complesso, hanno rimosso qualsiasi software compilato prima del 2017 per garantire la rilevanza moderna e hanno controllato rigorosamente i duplicati. Hanno utilizzato un sistema di verifica a più motori per confermare quali app fossero malevole, assicurando che le etichette fossero accurate e affidabili. Il risultato è un dataset che cattura la vera complessità del moderno software mobile, contenente sia app innocue che vari tipi di malware, inclusi trojan, adware e ransomware.
Quando i ricercatori hanno testato i metodi di rilevamento standard su questo nuovo dataset, i risultati sono stati netti e rivelatori. Sui vecchi, familiari dataset, i migliori modelli di machine learning raggiungevano tassi di accuratezza vicini al 90 percento, facendo sembrare il compito di individuare il malware quasi risolto. Tuttavia, quando questi stessi modelli sono stati applicati al nuovo dataset "Better Call Graphs", le loro prestazioni sono crollate. L'accuratezza è scesa intorno al 77 percento e una misura di successo più critica, nota come punteggio macro-F1, è scesa da quasi il 90 percento a appena il 18 percento. Questo drastico declino non è stato un fallimento dei modelli, ma piuttosto la prova che i vecchi dataset erano fuorvianti. I modelli si erano sovra-adattati (overfitting) ai pattern ripetitivi del passato e, quando si sono trovati di fronte alla genuina complessità e varietà delle app moderne, hanno faticato. Il nuovo dataset ha esposto un divario significativo tra la tecnologia attuale e la realtà delle minacce mobili moderne.
Lo studio ha anche esplorato come la difficoltà di rilevamento cambi nel tempo. Quando i ricercatori hanno addestrato i loro modelli su app più vecchie e li hanno testati su quelle più recenti, le prestazioni sono diminuite ulteriormente, confermando che il panorama del malware mobile sta cambiando rapidamente. Questo fenomeno, noto come "concept drift", significa che un modello addestrato su dati di cinque anni fa è probabilmente inefficace oggi. Il nuovo dataset includeva anche informazioni dettagliate sulle app stesse, come la loro dimensione, i permessi che richiedono e le librerie specifiche che utilizzano, permettendo una visione più olistica del software. Nonostante questi ricchi dettagli, anche i più avanzati modelli basati su grafi hanno trovato difficile distinguere tra diverse famiglie di malware all'interno del nuovo dataset, suggerendo che le somiglianze strutturali tra diversi tipi di minacce moderne sono molto più forti di quanto precedentemente pensato.
In definitiva, questo lavoro serve come una necessaria verifica della realtà per il campo della sicurezza mobile. Fornendo una collezione di mappe di app pulita, moderna e non ridondante, i ricercatori hanno stabilito un nuovo standard per come i sistemi di rilevamento debbano essere valutati. Le scoperte suggeriscono che gli alti tassi di successo riportati negli studi precedenti erano spesso un'illusione creata da dati obsoleti e ripetitivi. La strada da seguire richiede lo sviluppo di nuove tecniche che possano gestire la genuina complessità delle applicazioni moderne, piuttosto che affidarsi a metodi che funzionano solo sulle versioni semplificate e storiche del problema. Il dataset è ora disponibile pubblicamente, offrendo un banco di prova rigoroso per la ricerca futura e garantendo che la prossima generazione di strumenti di sicurezza sia costruita su una base di verità piuttosto che sulla ripetizione.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.