MADLIRA

Detección de malware mediante aprendizaje y recuperación de información para Android

Resumen

MADLIRA es una herramienta para la detección de malware en Android. Consiste en dos componentes: el componente TFIDF y el componente de aprendizaje SVM. En general, toma como entrada un conjunto de malware y benevolentes (benwares) y luego extrae los comportamientos maliciosos (componente TFIDF) o calcula el modelo de entrenamiento (clasificador SVM). Luego, utiliza este conocimiento para detectar comportamientos maliciosos en la aplicación de Android.

Instalación

Descargue el archivo MADLIRA.7z y descomprímalo.

Datos instalados:

• MADLIRA.jar es la aplicación principal.
• noAPI.txt declara el prefijo de las API.
• family.txt lista los malwares por familia.
• La carpeta TrainData contiene la configuración y el modelo de entrenamiento.
• La carpeta Samples contiene datos de muestra.
• La carpeta TempData contiene datos para el cálculo del kernel.

Funcionalidad

Esta herramienta tiene dos componentes principales: el componente TFIDF y el componente SVM.

Componente TFIDF

Command: java -jar MADLIRA TFIDF

Para este componente, hay dos funciones: la función de entrenamiento (extracción de comportamiento malicioso) y la función de prueba (detección de comportamiento malicioso).

Extracción de comportamiento malicioso

• Recolecte aplicaciones benignas y maliciosas y colóquelas en carpetas llamadas benginAPKFolder y maliciousApkFolder, respectivamente.
• Prepare los datos de entrenamiento y empaquételos en dos archivos llamados benignPack y maliciousPack usando el comando:

MADLIRA TFIDF packAPK -PB benignApkFolder -B benignPack -PM maliciousApkFolder -M maliciousPack

• Extraiga los comportamientos maliciosos de los dos archivos empaquetados (benignPack y maliciousPack) usando el comando:

java -jar MADLIRA TFIDF train -B benignPack -M maliciousPack

Detección de comportamiento malicioso

• Recolecte nuevas aplicaciones y colóquelas en una carpeta llamada checkApk.
• Detecte los comportamientos maliciosos de las aplicaciones en la carpeta checkApk usando el comando:

java -jar MADLIRA TFIDF check -S checkApk

Comando:

java -jar MADLIRA TFIDF train <Options>
        Compute the malicious specifications for given training data.
                -B <filename>: the archive file contains all graphs of training benwares.
                -M <filename>: the archive file contains all categories of training malwares.

java -jar MADLIRA TFIDF check <Options>
        Check malicious behaviors in the given applications in a folder.
                -S <folder>: the folder contains all applications (apk files).

java -jar MADLIRA TFIDF test <Options>
        Test the classifier for a given test data.
                -S <folder>: the folder contains all graphs for testing.

java -jar MADLIRA TFIDF clear
        Clean all training data.

java -jar MADLIRA TFIDF install
        Clean old training data and install a new data for training.
                -B <filename>: the archive file contains all graphs of training benwares.
                -M <filename>: the archive file contains all categories of training malwares.

Ejemplos:

Entrenamiento de nuevos datos:

• Primero recolecte las aplicaciones de entrenamiento (archivos APK) y guárdelas en carpetas llamadas MalApkFolder y BenApkFolder.
• Empaquete las aplicaciones de entrenamiento en archivos comprimidos llamados MalPack y BenPack usando este comando:

java -jar MADLIRA TFIDF packAPK -PB BenApkFolder -B BenPack -PM MalApkFolder -M MalPack

• Limpie los datos de entrenamiento antiguos:

java -jar MADLIRA TFIDF clear

• Calcule los grafos maliciosos a partir de los paquetes de entrenamiento (BenPack y MalPack)

java -jar MADLIRA TFIDF train -B BenPack -M MalPack

Verificación de nuevas aplicaciones:

• Coloque estas aplicaciones en una carpeta llamada checkApk y use este comando:

java -jar MADLIRA TFIDF check -S checkApk

Salida:

Componente SVM

Command: java -jar MADLIRA SVM

Para este componente, hay dos funciones: la función de entrenamiento y la función de prueba.

Fase de entrenamiento

• Recolecte aplicaciones benignas en una carpeta llamada benignApkFolder y aplicaciones maliciosas en una carpeta llamada maliciousApkFolder.
• Prepare los datos de entrenamiento usando los comandos:

java -jar MADLIRA SVM packAPK -PB benignApkFolder -B benignPack -PM maliciousApkFolder -M maliciousPack

• Calcule el modelo de entrenamiento con este comando:

java -jar MADLIRA SVM train -B benignPack -M maliciousPack

Detección de comportamiento malicioso

• Recolecte nuevas aplicaciones y colóquelas en una carpeta llamada checkApk
• Detecte los comportamientos maliciosos de las aplicaciones en la carpeta checkApk usando el comando:

java -jar MADLIRA SVM check -S checkApk

Comando:

java -jar MADLIRA SVM train <Options>
        Compute the classifier for given training data.
                -T <T>: max length of the common walks (default value = 3).
                -l <lambda>: lambda value to control the importance of length of walks (default value = 0.4).
                -B <filename>: the archive file contains all graphs of training benwares.
                -M <filename>: the archive file contains all graphs of training malwares.

java -jar MADLIRA SVM check <Options>
        Check malicious behaviors in the applications in a folder.
                -S <foldername>: the folder contains all apk files.

java -jar MADLIRA SVM test <Options>
        Test the classifier for given graph data.
                -S <foldername>: the folder contains all graphs of test data.
                -n <n>: the number of test samples.

java -jar MADLIRA SVM clear
        Clean all training data.

Paquetes:

Esta herramienta utiliza los siguientes paquetes:

• apktool-2.2.1 (https://ibotpeaches.github.io/Apktool/)
• ojalgo-41.0.0 (https://github.com/optimatika/ojAlgo)
• libsvm (http://www.csie.ntu.edu.tw/~cjlin/libsvm/)
• antlr (https://www.antlr3.org/)

Referencias

• Khanh Huu The Dam and Tayssir Touili. Extracting Android Malicious Behaviors. In Proceedings of ForSE 2017
• Khanh Huu The Dam and Tayssir Touili. Learn Android malware. In Proceedings of IWSMA@ARES 2017