MADLIRA

Malware-Erkennung mittels maschinellem Lernen und Information Retrieval für Android

Übersicht

MADLIRA ist ein Tool zur Android-Malware-Erkennung. Es besteht aus zwei Komponenten: einer TFIDF-Komponente und einer SVM-Lernkomponente. Im Allgemeinen nimmt es als Eingabe eine Menge von Malware und Benware entgegen und extrahiert dann die bösartigen Verhaltensweisen (TFIDF-Komponente) oder berechnet ein Trainingsmodell (SVM-Klassifikator). Anschließend wird dieses Wissen genutzt, um bösartige Verhaltensweisen in der Android-Anwendung zu erkennen.

Installation

Laden Sie die Datei MADLIRA.7z herunter und entpacken Sie sie.

Installierte Daten:

• MADLIRA.jar ist die Hauptanwendung.
• noAPI.txt deklariert das Präfix von APIs.
• family.txt listet Malware nach Familie auf.
• Der Ordner TrainData enthält die Trainingskonfiguration und das Trainingsmodell.
• Der Ordner Samples enthält Beispieldaten.
• Der Ordner TempData enthält Daten für die Kernelberechnung.

Funktionalität

Dieses Tool hat zwei Hauptkomponenten: die TFIDF-Komponente und die SVM-Komponente.

TFIDF-Komponente

Befehl: java -jar MADLIRA TFIDF

Für diese Komponente gibt es zwei Funktionen: die Trainingsfunktion (Extraktion bösartiger Verhaltensweisen) und die Testfunktion (Erkennung bösartiger Verhaltensweisen)

Extraktion bösartiger Verhaltensweisen

• Sammeln Sie gutartige und bösartige Anwendungen und legen Sie sie in Ordnern mit den Namen benginAPKFolder bzw. maliciousApkFolder ab.
• Bereiten Sie Trainingsdaten vor und packen Sie sie in zwei Dateien mit den Namen benignPack und maliciousPack mit dem folgenden Befehl:

MADLIRA TFIDF packAPK -PB benignApkFolder -B benignPack -PM maliciousApkFolder -M maliciousPack

• Extrahieren Sie bösartige Verhaltensweisen aus zwei gepackten Dateien (benignPack und maliciousPack) mit dem folgenden Befehl:

java -jar MADLIRA TFIDF train -B benignPack -M maliciousPack

Erkennung bösartiger Verhaltensweisen

• Sammeln Sie neue Anwendungen und legen Sie sie in einem Ordner namens checkApk ab.
• Erkennen Sie bösartige Verhaltensweisen von Anwendungen im Ordner checkApk mit dem folgenden Befehl:

java -jar MADLIRA TFIDF check -S checkApk

Befehl:

java -jar MADLIRA TFIDF train <Options>
        Compute the malicious specifications for given training data.
                -B <filename>: the archive file contains all graphs of training benwares.
                -M <filename>: the archive file contains all categories of training malwares.

java -jar MADLIRA TFIDF check <Options>
        Check malicious behaviors in the given applications in a folder.
                -S <folder>: the folder contains all applications (apk files).

java -jar MADLIRA TFIDF test <Options>
        Test the classifier for a given test data.
                -S <folder>: the folder contains all graphs for testing.

java -jar MADLIRA TFIDF clear
        Clean all training data.

java -jar MADLIRA TFIDF install
        Clean old training data and install a new data for training.
                -B <filename>: the archive file contains all graphs of training benwares.
                -M <filename>: the archive file contains all categories of training malwares.

Beispiele:

Trainieren neuer Daten:

• Sammeln Sie zunächst Trainingsanwendungen (APK-Dateien) und speichern Sie sie in Ordnern mit den Namen MalApkFolder und BenApkFolder.
• Packen Sie Trainingsanwendungen mit folgendem Befehl in Archivdateien mit den Namen MalPack und BenPack:

java -jar MADLIRA TFIDF packAPK -PB BenApkFolder -B BenPack -PM MalApkFolder -M MalPack

• Löschen Sie alte Trainingsdaten:

java -jar MADLIRA TFIDF clear

• Berechnen Sie die bösartigen Graphen aus den Trainingspaketen (BenPack und MalPack)

java -jar MADLIRA TFIDF train -B BenPack -M MalPack

Überprüfen neuer Anwendungen:

• Legen Sie diese Anwendungen in einen Ordner namens checkApk und verwenden Sie diesen Befehl:

java -jar MADLIRA TFIDF check -S checkApk

Ausgabe:

SVM-Komponente

Befehl: java -jar MADLIRA SVM

Für diese Komponente gibt es zwei Funktionen: die Trainingsfunktion und die Testfunktion.

Trainingsphase

• Sammeln Sie gutartige Anwendungen in einem Ordner namens benignApkFolder und bösartige Anwendungen in einem Ordner namens maliciousApkFolder.
• Bereiten Sie Trainingsdaten mit den folgenden Befehlen vor:

java -jar MADLIRA SVM packAPK -PB benignApkFolder -B benignPack -PM maliciousApkFolder -M maliciousPack

• Berechnen Sie das Trainingsmodell mit diesem Befehl:

java -jar MADLIRA SVM train -B benignPack -M maliciousPack

Erkennung bösartiger Verhaltensweisen

• Sammeln Sie neue Anwendungen und legen Sie sie in einem Ordner namens checkApk ab.
• Erkennen Sie bösartige Verhaltensweisen von Anwendungen im Ordner checkApk mit dem folgenden Befehl:

java -jar MADLIRA SVM check -S checkApk

Befehl:

java -jar MADLIRA SVM train <Options>
        Compute the classifier for given training data.
                -T <T>: max length of the common walks (default value = 3).
                -l <lambda>: lambda value to control the importance of length of walks (default value = 0.4).
                -B <filename>: the archive file contains all graphs of training benwares.
                -M <filename>: the archive file contains all graphs of training malwares.

java -jar MADLIRA SVM check <Options>
        Check malicious behaviors in the applications in a folder.
                -S <foldername>: the folder contains all apk files.

java -jar MADLIRA SVM test <Options>
        Test the classifier for given graph data.
                -S <foldername>: the folder contains all graphs of test data.
                -n <n>: the number of test samples.

java -jar MADLIRA SVM clear
        Clean all training data.

Pakete:

Dieses Tool verwendet die folgenden Pakete:

• apktool-2.2.1 (https://ibotpeaches.github.io/Apktool/)
• ojalgo-41.0.0 (https://github.com/optimatika/ojAlgo)
• libsvm (http://www.csie.ntu.edu.tw/~cjlin/libsvm/)
• antlr (https://www.antlr3.org/)

Referenzen

• Khanh Huu The Dam and Tayssir Touili. Extracting Android Malicious Behaviors. In Proceedings of ForSE 2017
• Khanh Huu The Dam and Tayssir Touili. Learn Android malware. In Proceedings of IWSMA@ARES 2017