MADLIRA

Détection de logiciels malveillants par apprentissage et recherche d'information pour Android

Présentation

MADLIRA est un outil de détection de logiciels malveillants pour Android. Il se compose de deux composants : le composant TFIDF et le composant d'apprentissage SVM. En général, il prend en entrée un ensemble de malwares et de benwares, puis extrait les comportements malveillants (composant TFIDF) ou calcule un modèle d'entraînement (classifieur SVM). Ensuite, il utilise ces connaissances pour détecter les comportements malveillants dans l'application Android.

Installation

Téléchargez le fichier MADLIRA.7z et décompressez-le.

Données installées :

• MADLIRA.jar est l'application principale.
• noAPI.txt déclare le préfixe des API.
• family.txt liste les malwares par famille.
• Le dossier TrainData contient la configuration d'entraînement et le modèle entraîné.
• Le dossier Samples contient des données d'exemple.
• Le dossier TempData contient des données pour le calcul du noyau.

Fonctionnalités

Cet outil possède deux composants principaux : le composant TFIDF et le composant SVM.

Composant TFIDF

Commande : java -jar MADLIRA TFIDF

Pour ce composant, il y a deux fonctions : la fonction d'entraînement (extraction de comportements malveillants) et la fonction de test (détection de comportements malveillants).

Extraction de comportements malveillants

• Collectez les applications saines et les applications malveillantes et placez-les dans des dossiers nommés respectivement benginAPKFolder et maliciousApkFolder.
• Préparez les données d'entraînement et compressez-les dans deux fichiers nommés benignPack et maliciousPack en utilisant la commande :

MADLIRA TFIDF packAPK -PB benignApkFolder -B benignPack -PM maliciousApkFolder -M maliciousPack

• Extrayez les comportements malveillants à partir des deux fichiers compressés (benignPack et maliciousPack) en utilisant la commande :

java -jar MADLIRA TFIDF train -B benignPack -M maliciousPack

Détection de comportements malveillants

• Collectez de nouvelles applications et placez-les dans un dossier nommé checkApk.
• Détectez les comportements malveillants des applications dans le dossier checkApk en utilisant la commande :

java -jar MADLIRA TFIDF check -S checkApk

Commande :

java -jar MADLIRA TFIDF train <Options>
        Calcule les spécifications malveillantes pour les données d'entraînement données.
                -B <filename> : le fichier archive contient tous les graphes des benwares d'entraînement.
                -M <filename> : le fichier archive contient toutes les catégories des malwares d'entraînement.

java -jar MADLIRA TFIDF check <Options>
        Vérifie les comportements malveillants dans les applications données dans un dossier.
                -S <folder> : le dossier contient toutes les applications (fichiers apk).

java -jar MADLIRA TFIDF test <Options>
        Teste le classifieur pour des données de test données.
                -S <folder> : le dossier contient tous les graphes pour le test.

java -jar MADLIRA TFIDF clear
        Nettoie toutes les données d'entraînement.

java -jar MADLIRA TFIDF install
        Nettoie les anciennes données d'entraînement et installe de nouvelles données pour l'entraînement.
                -B <filename> : le fichier archive contient tous les graphes des benwares d'entraînement.
                -M <filename> : le fichier archive contient toutes les catégories des malwares d'entraînement.

Exemples :

Entraînement de nouvelles données :

• Collectez d'abord les applications d'entraînement (fichiers APK) et stockez-les dans des dossiers nommés MalApkFolder et BenApkFolder.
• Compressez les applications d'entraînement dans des fichiers archives nommés MalPack et BenPack en utilisant cette commande :

java -jar MADLIRA TFIDF packAPK -PB BenApkFolder -B BenPack -PM MalApkFolder -M MalPack

• Nettoyez les anciennes données d'entraînement :

java -jar MADLIRA TFIDF clear

• Calculez les graphes malveillants à partir des packs d'entraînement (BenPack et MalPack)

java -jar MADLIRA TFIDF train -B BenPack -M MalPack

Vérification de nouvelles applications :

• Placez ces applications dans un dossier nommé checkApk et utilisez cette commande :

java -jar MADLIRA TFIDF check -S checkApk

Sortie :

Composant SVM

Commande : java -jar MADLIRA SVM

Pour ce composant, il y a deux fonctions : la fonction d'entraînement et la fonction de test.

Phase d'entraînement

• Collectez les applications saines dans un dossier nommé benignApkFolder et les applications malveillantes dans un dossier nommé maliciousApkFolder.
• Préparez les données d'entraînement en utilisant les commandes :

java -jar MADLIRA SVM packAPK -PB benignApkFolder -B benignPack -PM maliciousApkFolder -M maliciousPack

• Calculez le modèle d'entraînement avec cette commande :

java -jar MADLIRA SVM train -B benignPack -M maliciousPack

Détection de comportements malveillants

• Collectez de nouvelles applications et placez-les dans un dossier nommé checkApk
• Détectez les comportements malveillants des applications dans le dossier checkApk en utilisant la commande :

java -jar MADLIRA SVM check -S checkApk

Commande :

java -jar MADLIRA SVM train <Options>
        Calcule le classifieur pour les données d'entraînement données.
                -T <T> : longueur maximale des marches communes (valeur par défaut = 3).
                -l <lambda> : valeur lambda pour contrôler l'importance de la longueur des marches (valeur par défaut = 0.4).
                -B <filename> : le fichier archive contient tous les graphes des benwares d'entraînement.
                -M <filename> : le fichier archive contient tous les graphes des malwares d'entraînement.

java -jar MADLIRA SVM check <Options>
        Vérifie les comportements malveillants dans les applications d'un dossier.
                -S <foldername> : le dossier contient tous les fichiers apk.

java -jar MADLIRA SVM test <Options>
        Teste le classifieur pour des données de graphes données.
                -S <foldername> : le dossier contient tous les graphes des données de test.
                -n <n> : le nombre d'échantillons de test.

java -jar MADLIRA SVM clear
        Nettoie toutes les données d'entraînement.

Paquets :

Cet outil utilise les paquets suivants :

• apktool-2.2.1 (https://ibotpeaches.github.io/Apktool/)
• ojalgo-41.0.0 (https://github.com/optimatika/ojAlgo)
• libsvm (http://www.csie.ntu.edu.tw/~cjlin/libsvm/)
• antlr (https://www.antlr3.org/)

Références

• Khanh Huu The Dam et Tayssir Touili. Extracting Android Malicious Behaviors. Dans les actes de ForSE 2017
• Khanh Huu The Dam et Tayssir Touili. Learn Android malware. Dans les actes de IWSMA@ARES 2017