Integrating APK Image and Text Data for Enhanced Threat Detection: A Multimodal Deep Learning Approach to Android Malware

기술 요약: 향상된 위협 탐지를 위한 APK 이미지 및 텍스트 데이터 통합

문제 정의
정교해지는 제로 데이(zero-day) 안드로이드 악성코드의 확산은 전통적인 정적 및 동적 분석을 넘어서는 강력한 탐지 메커니즘을 필요로 하며, 기존 방식들은 난독화에 취약한 경우가 많습니다. 최근 연구들은 안드로이드 애플리케이션 패키지(APK) 바이트코드를 딥러닝 기반 탐지를 위한 이미지 표현으로 변환하는 방식의 효용성을 입증했으나, 여전히 중요한 격차가 존재합니다. 기존 연구들은 이미지 속성, 구체적으로 색상 포맷(RGB 대 그레이스케일)과 해상도(예: 128x128, 256x256, 512x512)가 탐지 성능에 어떻게 영향을 미치는지 체계적으로 평가하지 못하는 경우가 많습니다. 또한, 현재의 이미지 기반 접근 방식은 권한, 메타데이터, 매니페스트 파일과 같이 APK 내에 포함된 가치 있는 텍스트 데이터를 간과하는 경례가 있습니다. 이러한 텍스트 특징을 멀티모달 딥러닝을 통해 이미지 데이터와 통합하여 탐지 정확도를 높이는 잠재력은 아직 충분히 탐구되지 않았습니다.

방법론
저자들은 두 가지 주요 조사 단계를 통해 이러한 격차를 해결하기 위한 멀티모달 딥러닝 프레임워크를 제안합니다:

1. 이미지 속성 평가 (RQ1):

   • 데이터 수집: 본 연구는 CIC-AndMal2017 및 CICMalDroid 2020 데이터셋에서 4,303개의 악성 APK와 4,039개의 정상 APK를 활용했습니다.
   • 이미지 생성: APK 파일을 디컴파일하여 바이너리 스트림으로 변환한 후, 두 가지 이미지 유형인 그레이스케일(Grayscale)과 RGB로 변환했습니다. 이들은 128x128, 256x256, 512x128의 세 가지 해상도로 생성되었습니다.
   • 모델 학습: 8개의 사전 학습된 합성곱 신경망(CNN) 아키텍처(VGG-16, VGG-19, ResNet-50, ResNet-101, ResNet-152, MobileNet-V2, DenseNet-169, EfficientNet-B4)를 사용하여 이 데이터셋들을 학습하고 테스트했습니다.
   • 지표: 성능은 정확도(accuracy), 정밀도(precision), 재현율(recall), F1-score, 그리고 AUC-ROC를 사용하여 평가되었습니다.

2. 멀티모달 통합 (RQ2):

   • 텍스트 추출 및 주석 생성: 권한, 리소스, 매니페스트 데이터와 같은 텍스트 특징을 추출했습니다. 대규모 언어 모델(LLM)인 LLaMA-2를 사용하여 이러한 특징들을 "악성(malicious)" 또는 "정상(benign)"으로 요약하는 프롬프트 기반 주석을 생성했습니다.
   • 멀티모달 융합: 주석이 달린 텍스트와 그에 대응하는 APK 이미지를 하나의 멀티모달 데이터셋으로 통합했습니다.
   • 모델 평가: CLIP(Contrastive Language-Image Pre-training) 모델을 사용하여 결합된 이미지-텍스트 데이터를 제로샷(zero-shot) 방식으로 분류했습니다. 이를 단독 CNN 모델 및 양자 신경망(QNN) 베이스라인과 비교했습니다.

주요 기여

• 체계적 이미지 분석: 본 논문은 8개의 CNN 아키텍처에 걸쳐 이미지 속성을 종합적으로 평가하여, 다양한 모델에 대한 최적의 구성을 식별했습니다.
• 새로운 멀티모달 프레임워크: 저자들은 LLaMA-2로 생성된 텍스트 주석과 APK 이미지를 결합하고, CLIP 모델을 사용하여 시각적 및 의미적 특징을 융합하는 프레임워크를 개발했습니다.
• 데이터셋 기여: 이 분야의 추가 연구를 지원하기 위해 다양한 속성이 부여된 이미지와 그에 상응하는 텍스트 주석으로 구성된 제한된 규모의 멀티모달 데이터셋을 구축했습니다.

결과

• 이미지 기반 탐지 (RQ1):

  • 고해상도 RGB의 우수성: 심층 아키텍처(ResNet-50, ResNet-101, ResNet-152, EfficientNet-B4)의 경우, 512x512 해상도의 RGB 이미지가 가장 높은 성능을 보였으며, ResNet-101은 97%의 정확도와 0.9919의 ROC AUC를 달성했습니다.
  • 균형 잡힌 효율성: 256x256 RGB 구성은 특히 ResNet-152 및 DenseNet-169에 대해 계산 비용과 성능 사이의 강력한 절충안을 제공했습니다.
  • 모델별 최적화: VGG-16은 저해상도 그레이스케일(128x128)에서 가장 좋은 성능을 보였으며, MobileNet-V2는 RGB와 그레이스케일 형식 모두에서 512x512 이미지와 함께 최고 정확도(96%)를 달야했습니다.
  • 일반적 경향: 복잡한 모델의 경우 RGB 이미지가 일반적으로 그레이스케일 이미지보다 우수한 성능을 보였으나, 단순한 모델이나 낮은 해상도에서는 과적합을 피하기 위해 그레이스케일이 더 효과적이었습니다.

• 멀티모달 성능 (RQ2):

  • CLIP의 제한된 성공: CLIP을 사용한 멀티모달 접근 방식은 이진 분류 맥락에서의 무작위 추측과 동일한 50%의 정확도만을 기록하며 저조한 성능을 보였습니다.
  • 악성코드 탐지 실패: CLIP 모델은 악성 샘플을 전혀 탐지하지 못했으며(악성 재현율 = 0.00), 매크로 F1-score는 0.33을 기록했습니다.
  • 비교: 단독 이미지 기반 모델, 특히 ResNet-152(비교에 사용된 특정 테스트 세트에서 71% 정확도)가 멀티모달 CLIP 접근 방식보다 크게 앞섰습니다. 저자들은 이를 멀티모달 데이터셋의 제한된 크기(단 34개의 이미지-텍스트 쌍) 때문으로 분석했습니다.

의의 및 주장
본 논문은 멀티모달 통합이 유망한 방향이지만, 현재 CLIP과 소규모 데이터셋을 사용한 구현 방식은 최적화된 이미지 전용 CNN을 아직 능가하지 못한다고 주장합니다. 본 연구는 탐지 효능을 극대화하기 위해 이미지 속성(해상도 및 색상 공간)을 체계적으로 평가하는 것의 중요성을 강조합니다. 저자들은 고해상도 RGB 이미지와 심층 CNN(ResNet-152 및 EfficientNet-B4 등)의 결 조합이 현재 가장 효과적인 솔루션이라고 결론짓습니다. 또한, 멀티모달 접근 방식이 위협 탐지 능력을 향상시키기 위한 잠재력을 실현하려면 (제로샷 CLIP 이상의) 더 크고 다양한 데이터셋과 고급 융합 기술이 필요함을 겸허히 주장합니다.