기술 요약: RAMwavDroid – 오디오 신호를 통한 안드로이드 악성코드 분석을 위한 메모리 포렌식 접근 방식

문제 정의

안드로이드 악성코드 탐지는 코드 난독화, 동적 로딩, 패킹, 스테가노그래피 조작 등 현대적 위협들이 사용하는 고도화된 회피 전략으로 인해 점점 더 큰 도전에 직면하고 있습니다. 이러한 기술들은 권한, API 호출, 또는 제어 흐름 구조와 같은 명시적인 시맨틱 지표에 의존하는 기존의 시그니처 기반 시스템 및 머신러닝(ML) 모델의 효과를 크게 저하시킵니다. 정적 분석은 계산 효율성은 높지만 쉽게 회피될 수 있으며, 반대로 동적 분석은 더 나은 복원력을 제공하지만 실행 오버헤드, 불완전한 행동 범위, 그리고 안티-애널리시스(anti-analysis) 기술에 대한 취약성을 가집니다. 더욱이, 기존의 오디오 기반 악성코드 탐지 방법들은 주로 정적 바이너리에 집중되어 있어, 패키징된 애플리케이션 바이너리에서는 보이지 않는 복호화된 페이로드, 동적으로 로드된 라이브러리, 런타임 생성 코드와 같은 휘발성 런타임 아티팩트를 포착하지 못합니다.

방법론: RAMwavDroid

저자들은 메모리 포렌식과 오디오 인코딩을 결합하여 안드로이드 악성코드를 탐지하는 통합 프레임워크인 RAMwavDroid를 제안합니다. 핵심 개념은 시맨틱 프로그램 모델링에서 신호 기반의 구조적 표현으로의 "모달리티 전환(modality shift)"입니다.

1. 데이터 획득 및 소니피케이션(Sonification)

이 프레임워크는 두 가지 유형의 입력을 처리합니다:

• 정적 분석: APK 아카이브에서 Dalvik 바이트코드(classes.dex)를 추출합니다.
• 동적 분석: 애플리케이션 초기화 직후 Fridump(Frida 기반의 유저 스페이스 도구)를 사용하여 프로세스 레벨의 메모리 스냅샷을 획득합니다. 이는 루트 권한이나 커널 수정 없이 힙(heap), 스택(stack), 공유 라이브러리 및 런타임 구조를 포함한 읽기 가능한 메모리 영역을 캡처합니다.

바이너리-오디오 매핑:
정적 바이트코드와 동적 메모리 덤프 모두 직접적인 바이너리-파형 매핑(알고리즘 1)을 통해 오디오 파형으로 변환됩니다.

• 각 바이트 $b_i \in [0, 255]$는 직접 오디오 샘플 진폭으로 해석됩니다.
• 변환 전 역어셈블리, 정규화, 시맨틱 필터링 또는 오피코드 수준의 추상화는 수행되지 않습니다.
• 이를 통해 저수준의 구조적 패턴(반복, 정렬, 패딩, 암호화 아티팩트)을 보존하며, 바이너리 스트림을 순서 있는 수치 신호로 취급합니다.

시스템은 세 가지 인코딩 형식을 실험합니다:

• WAV8: 손실 없는 8비트 PCM (직접 바이트-샘플 매핑).
• WAV16: 손실 없는 16비트 PCM (다이내믹 레인지 확장).
• MP3: 손실 압축 방식의 지각 압축 (구조적 섭동을 테스트하기 위한 용도).

2. 특징 추출 및 분류

생성된 오디오 신호는 세 가지 뚜렷한 패러다임을 통해 처리됩니다:

• 핸드크래프트 디스크립터(Handcrafted Descriptors): librosa를 통해 추출된 전통적인 신호 처리 특징(예: MFCCs, 스펙트럴 센트로이드, 제로 크로싱 레이트, RMS 에너지).
• 딥 러닝 (CNN): 시간-주파수 표현으로부터 계층적 패턴을 직접 학습하는 1D 컨볼루션 신경망(CNN1D).
• 트랜스포머 임베딩: 음성 데이터로 자기 지도 학습(self-supervised)된 사전 학습 모델인 Wav2Vec2를 사용하여 원시 파형으로부터 고수준의 문맥적 임베딩을 추출하고, 전이 학습을 활용합니다.

3. 실험 설정

• 데이터셋:
  • CICMalDroid2020: 정적 및 동적 평가를 위해 사용됨 (정상 300, 악성 300).
  • VirusTotal/Androzoo: 난독화 및 안티-애널리시스 기술이 포함된 은밀한 악성코드 데이터셋 (2020–2024년 사이의 정상 500, 악성 500).
• 메모리 영역 전략: 동적 분석은 다양한 메모리 영역 조합(예: apk_full_stack, base_apk, complete_memory_regions)을 평가하여 변별력 있는 런타임 아티팩트를 식별합니다.

주요 기여

1. 동적 메모리 소니피케이션 파이프라인: 프로세스 레벨의 메모리 획득과 바이너리-오디오 인코딩을 통합하여, 정적 바이트코드와 함께 런타임 아티팩트를 분석할 수 있는 파이프라인을 도입했습니다.
2. 인코딩 및 영역의 체계적 평가: 어떤 런타임 아티팩트가 가장 높은 변별력을 제공하는지 식별하기 위해 오디오 인코딩 형식(WAV8, WAV16, MP3)과 메모리 영역 선택 전략을 종합적으로 비교했습니다.
3. 성능 검증: 동적 소니피케이션이 취약한 시맨틱 특징 엔지니어링에 의존하지 않고도 높은 정확도(최대 98.0%)를 달성하여 경쟁력 있는 최첨단(SOTA) 방식들을 능가함을 입증했습니다.

결과

정적 분석 (CICMalDroid2020)

• 최적의 정적 구성(WAV8 + Manual Features + Random Forest)은 93.9%의 정확도를 달성했습니다.
• WAV16 및 MP3 인코딩은 미미한 성능 차이를 보였으며(각각 92.3% 및 92.6%), 이는 높은 비트 깊이가 변별 정보를 추가하지 않으며 적절한 손실 압축이 구조적 특성을 보존함을 시사합니다.
• Wav2Vec2 임베딩은 특징 추출 시간을 6~7시간에서 2시간으로 크게 단축했으나, 정확도는 약간 하락(91.5%)했습니다.

동적 분석 (CICMalDroid2020)

• 최고 성능: 98.0%의 정확도를 기록했으며, 오탐(False Positive) 0개, 미탐(False Negative) 1개를 달성했습니다.
• 최적 전략: 이 성능은 애플리케이션 코드 세그먼트(예: base.apk, .odex)와 실행 컨텍스트 구성 요소(예: 스택 프레임)를 결합한 7가지 영역 선택 전략을 통해 달성되었습니다.
• 인코딩 견고성: WAV8이 가장 높은 평균 정확도(95.8%)를 보였으나, 최적의 영역 선택 하에서는 세 가지 인코딩 모두 98.0%의 피크 성능에 도달했습니다. 이는 변별 정보가 미세한 진폭 정밀도가 아닌 거친 입도의 구조적 패턴에 의존함을 나타냅니다.
• 영역 중요성: 스택 메모리만 사용한 전략(90.0%)이나 모든 메모리 영역을 무차별적으로 사용한 전략(93.0%)은 성능이 더 낮았으며, 이는 정적 코드와 런타임 컨텍스트 간의 상호작용이 결정적임을 강조합니다.

은밀한 악성코드 평가 (VirusTotal 데이터셋)

• 난독화/안티-애널리시스가 적용된 500개의 악성코드 샘플 데이터셋에서, 최적의 구성(apk_full_stack과 WAV8 사용)은 MLP 분류기를 사용하여 약 99.0%의 macro-F1 (정확도 98.9%)을 달성했습니다.
• 성능은 모델 독립적이었습니다. 적절한 메모리 영역이 선택되면 Random Forest, 부스팅 방법, CNN1D, SVM 모두 거의 동일한 점수로 수렴했습니다.
• 실패 분석: 오분류된 샘플에는 침해적 구성 요소를 가진 "회색 영역" 앱(정상적인 VPN)과 복잡한 엔트로피 패턴이 부족한 구조적으로 단순한 스파이웨어 앱이 포함되었습니다. 이는 극단적인 단순함이나 하이브리드 형태의 정당성이 구조적 시그니처를 가릴 수 있음을 시사합니다.

최첨단(SOTA) 방식과의 비교

RAMwavDroid의 동적 소니피케이션(98.0%)은 다음 방식들을 능가했습니다:

• 이미지 기반 접근 방식 (97.25%).
• BlockDroid CNN 모델 (97.38%).
• 정적 소니피케이션 구성.

의의 및 주장

본 논문은 RAMwavDroid가 런타임 메모리에 내재된 구조적 패턴이 안드로이드 악성코드 탐지를 위한 강력한 신호 표현을 제공한다는 것을 입증한다고 주장합니다. 주요 발견 사항은 다음과 같습니다:

• 모달리티 전환: 악성코드를 시맨틱 객체가 아닌 신호로 취급함으로써, 전통적인 정적 분석을 회피하는 패턴(예: 스펙트로그램의 스펙트럴 시그니처)을 탐지할 수 있게 합니다.
• 런타임 아티팩트의 중요성: 동적 메모리 스냅샷은 정적 APK에서는 보이지 않는 복호화된 페이로드와 실행 컨텍스트를 포착하여, 정상 애플리케이션과 악성 애플리케이션 간의 분리도를 크게 향상시킵니다.
• 압축에 대한 견고성: 손실 압축 방식인 MP3가 피크 성능을 저하시지 않는다는 사실은 악성코드 시그니처가 취약하고 미세한 바이트 변화가 아닌 안정적이고 거친 입도의 구조적 패턴에 인코딩되어 있음을 시사합니다.
• 모델 독립성: 올바른 메모리 영역이 선택되면 특정 분류 알고리즘(전통적 ML, CNN, 또는 트랜스포머)은 덜 중요해지며, 이는 신호 표현 자체가 매우 변별력이 높음을 의미합니다.

저자들은 결론적으로 동적 메모리 소니피케이션이 복잡한 디오브퓨스케이션(deobfuscation)이나 정교한 특징 엔지니어링 없이도 높은 정확도를 제공하는, 전통적인 기술에 대한 유망한 보완적 접근 방식이라고 밝힙니다. 향후 연구 과제로 더 큰 데이터셋으로의 확장과 고도화된 난독화에 대한 견고성 조사를 제안했습니다.