A Hardware-Efficient Android Malware Detection Framework for Resource-Constrained Devices

Technische Samenvatting: Een Hardware-efficiënt Android Malware Detectie Framework voor Middelenbeperkte Apparaten

Probleemstelling
De snelle proliferatie van het Internet of Things (IoT) en edge computing heeft het aanvalsoppervlak voor Android-gebaseerde apparaten uitgebreid, waaronder slimme huishoudelijke apparaten, industriële sensoren en set-top boxen. Traditionele malware-detectie vertrouwt op rekenintensieve deep learning-architecturen, uitgebreide reverse-engineering pipelines of cloud-gebaseerde analyse. Deze benaderingen zijn onhaalbaar voor middelenbeperkte edge-apparaten vanwege strikte beperkingen in geheugen (SRAM/Flash), rekenkracht en energiebeschikbaarheid. Bovendien introduceren cloud-afhankelijke oplossingen onacceptabele latentie, batterijverbruik en privacyrisico's, terwijl ze volledig falen wanneer de netwerkconnectiviteit verloren gaat. Dit artikel adresseert de kritieke behoefte aan een hoogwaardige, deterministische beveiligingsoplossing die lokaal op de hardware zelf opereert, in staat om malware te detecteren zonder te vertrouwen op zware computationele middelen of externe infrastructuur.

Methodologie
Het voorgestelde framework transformeert ruwe Android Package Kit (APK) bestanden naar discrete signalen om lichtgewicht feature-extractie mogelijk te maken, waardoor zware reverse-engineering of deep learning beeldverwerking wordt vermeden. De workflow bestaat uit vier stadia:

1. Data-voorbereiding: Ruwe APK-bestanden worden naar Java Archive (JAR) formaat geconverteerd met behulp van Dex2Jar om Dalvik Executable-bestanden uit te pakken. Deze worden vervolgens gerepresenteerd als hexadecimale instructiesequenties via Hexdump.
2. Preprocessing: De hexadecimale opcode-strings worden in kaart gebracht naar 1D continue numerieke arrays. Een niet-overlappend venster van grootte twee partitioneert de string in afzonderlijke segmenten, die worden geconverteerd naar decimale basis-10 equivalenten om een gestructureerd signaal te vormen.
3. Feature Extractie: Een hybride 28-dimensionale feature vector wordt geconstrueerd uit het 1D-signaal:
   • 1D Tijdsdomein Features (22 dimensies): Deze omvatten statistische maten (Gemiddelde, Mediaan, Modus, Som, Standaarddeviatie, Variantie, Scheefheid, Kurtosis), informatie-theoretische entropieën (Shannon Energy, Log Energy), en zeven centrale momenten. Daarnaast worden Linear Predictive Coding (LPC) residuen geëxtraheerd met een voorspellingsorde van $p=8$ met een glijdend venster ($W=100$, overlap $S=50$) om sequentiële afhankelijkheden en ongemodelleerde executie-anomalieën te vangen.
   • 2D Ruimtelijke Features (6 dimensies): Het 1D-signaal wordt herschikt tot een vierkante matrix om een Gray-Level Co-occurrence Matrix (GLCM) te genereren. Zes ruimtelijke textuurdescriptors worden geëxtraheerd: Angular Second Moment (ASM), Energie, Contrast, Dissimilariteit, Homogeniteit en Correlatie.
4. Classificatie en Implementatie: De feature-matrix wordt geëvalueerd tegen vijf classifiers: Naïve Bayes (NB), Support Vector Machine (SVM), K-Nearest Neighbors (KNN), Decision Tree (DT) en een lichtgewicht Feed-Forward Neural Network (NN). De NN-architectuur bestaat uit een inputlaag (28 neuronen), een enkele verborgen laag (24 neuronen met ReLU-activatie en 0.4 dropout), en een sigmoid output. Voor implementatie worden de modellen geoptimaliseerd via post-training 8-bit kwantisatie (voor NN) en cross-compilatie gericht op een ARM-Cortex-M4 microcontroller.

Belangrijkste Bijdragen

• Signaal-gebaseerde Feature Engineering: Het artikel introduceert een methode om ruwe hexadecimale opcodes in 1D continue numerieke arrays te mappen, waarbij ze als digitale signalen worden behandeld. Dit maakt de extractie van een slanke 28-dimensionale feature set mogelijk die globale statistieken, entropie, LPC-residuen en 2D GLCM ruimtelijke texturen combineert.
• Hardware-geoptimaliseerde Modellen: Twee specifieke modellen worden geïdentificeerd voor edge-implementatie: een Decision Tree (DT) voor scenario's met strikte SRAM-beperkingen (nul dynamisch RAM-gebruik) en een gekwantiseerd Feed-Forward Neural Network (NN) voor ultra-lage latentie vereisten.
• Empirische Hardware Validatie: In tegenstelling tot veel theoretische studies, valideert dit werk het framework op een geëmuleerde ARM Cortex-M4 microcontroller (168 MHz) met behulp van Renode en TFlight. Het levert concrete metrieken over Flash-opslag, SRAM-gebruik en inferentie-latentie, wat de haalbaarheid binnen strikte embedded budgetten bewijst.
• Statistische Robuustheid: De stabiliteit van de architectuur wordt geverifieerd door 20 onafhankelijke executieruns, wat een consistente prestatie aantoont zonder overfitting.

Resultaten
Het framework werd geëvalueerd op een dataset van 11.446 APK's (5.550 kwaadaardig, 5.896 legitiem).

• Classificatieprestaties:
  • De Decision Tree (DT) behaalde de hoogste nauwkeurigheid van 96,33% met een F1-score van 96,16%.
  • Het voorgestelde Neural Network (NN) behaalde een nauwkeurigheid van 95,76% met een F1-score van 95,68%.
  • Hoewel KNN de hoogste statistische nauwkeurigheid behaalde (97,33%), maakte het geheugenspoor (2075,71 KB) het onpraktisch voor edge-apparaten.
• Hardware-efficiëntie (ARM Cortex-M4):
  • Decision Tree: Gecomprimeerd tot 4,58 KB Flash-opslag, vereist 0 KB piek actieve SRAM, met een inferentie-latentie van 173 ns.
  • Gekwantiseerd NN: Gecomprimeerd tot 2,82 KB Flash-opslag, vereist 0,83 KB piek actieve SRAM, met een inferentie-latentie van 9 ns.
• Feature Ablatie: Het verwijderen van de 2D GLCM features resulteerde in een marginale daling in nauwkeurigheid (ca. 0,83%), wat bevestigt dat hoewel 1D statistieken de primaire beslissingsgrens drijven, 2D ruimtelijke features essentieel zijn voor het verfijnen van detectie tegen geobfusceerde payloads.
• Familie Classificatie: Het DT-model categoriseerde succesvol 15 verschillende malware-lijnen, waarbij het een globale nauwkeurigheid van 87,07% behaalde, hoewel de prestaties varieerden voor stealthy varianten met lage steun in de dataset.

Betekenis en Claims
Het artikel claimt een hoogwaardige, deterministische beveiligingsoplossing te hebben gevestigd die volledig gelokaliseerd kan worden binnen de hardware-registers van middelenbeperkte embedded systemen. Door APK-payloads om te zetten in 1D en 2D signalen, vermijdt het framework de computationele overhead van diepe convolutionele netwerken en complexe reverse-engineering pipelines. De primaire betekenis ligt in de demonstratie dat effectieve malware-detectie (ca. 96% nauwkeurigheid) kan worden bereikt met een modelvoetafdruk van minder dan 3 KB en een latentie van minder dan een microseconde, wat het haalbaar maakt voor implementatie op legacy 8-bit of 16-bit microcontrollers en moderne IoT edge-nodes. Het werk overbrugt de kloof tussen theoretische malware-detectie en praktische, on-device implementatie, en biedt een levensvatbaar alternatief voor cloud-afhankelijke beveiliging voor het groeiende IoT-ecosysteem.

Beperkingen
De auteurs erkennen dat het framework steunt op statische analyse van Dalvik bytecode. Bij gevolg kan het worden omzeild door geavanceerde malware die gebruikmaakt van runtime reflectie, dynamische class loading of native code executie (.so bestanden). Daarnaast is de preprocessing pipeline afhankelijk van Dex2Jar en Hexdump; indien een aanvaller ZIP-headers corrumpeert of anti-disassembly technieken toepast, kan de signaalgeneratie falen. Het model kan eveneens geen fileless malware detecteren of legitieme apps die na installatie kwaadaardige payloads downloaden.