MADLIRA

एंड्रॉइड के लिए लर्निंग और सूचना पुनर्प्राप्ति का उपयोग करके मैलवेयर का पता लगाना

अवलोकन

MADLIRA एंड्रॉइड मैलवेयर का पता लगाने के लिए एक उपकरण है। इसमें दो घटक होते हैं: TFIDF घटक और SVM लर्निंग घटक। सामान्य तौर पर, यह इनपुट के रूप में मैलवेयर और बेनवेयर का एक सेट लेता है और फिर दुर्भावनापूर्ण व्यवहार निकालता है (TFIDF घटक) या प्रशिक्षण मॉडल (SVM क्लासिफायर) की गणना करता है। फिर, यह एंड्रॉइड एप्लिकेशन में दुर्भावनापूर्ण व्यवहार का पता लगाने के लिए इस ज्ञान का उपयोग करता है।

स्थापना

फ़ाइल MADLIRA.7z डाउनलोड करें और इसे डीकंप्रेस करें।

स्थापित डेटा:

• MADLIRA.jar मुख्य एप्लिकेशन है।
• noAPI.txt API के उपसर्ग की घोषणा करता है।
• family.txt परिवार के अनुसार मैलवेयर की सूची बनाता है।
• फ़ोल्डर TrainData में प्रशिक्षण कॉन्फ़िगरेशन और प्रशिक्षण मॉडल है।
• फ़ोल्डर Samples में नमूना डेटा है।
• फ़ोल्डर TempData में कर्नेल गणना के लिए डेटा है।

कार्यक्षमता

इस उपकरण में दो मुख्य घटक हैं: TFIDF घटक और SVM घटक।

TFIDF घटक

कमांड: java -jar MADLIRA TFIDF

इस घटक के लिए, दो कार्य हैं: प्रशिक्षण फ़ंक्शन (दुर्भावनापूर्ण व्यवहार निष्कर्षण) और परीक्षण फ़ंक्शन (दुर्भावनापूर्ण व्यवहार का पता लगाना)

दुर्भावनापूर्ण व्यवहार निष्कर्षण

• बेनाइन एप्लिकेशन और दुर्भावनापूर्ण एप्लिकेशन एकत्र करें और उन्हें क्रमशः benginAPKFolder और maliciousApkFolder नामक फ़ोल्डरों में रखें।
• प्रशिक्षण डेटा तैयार करें और उन्हें कमांड का उपयोग करके benignPack और maliciousPack नामक दो फ़ाइलों में पैक करें:

MADLIRA TFIDF packAPK -PB benignApkFolder -B benignPack -PM maliciousApkFolder -M maliciousPack

• दो पैक की गई फ़ाइलों (benignPack और maliciousPack) से कमांड का उपयोग करके दुर्भावनापूर्ण व्यवहार निकालें:

java -jar MADLIRA TFIDF train -B benignPack -M maliciousPack

दुर्भावनापूर्ण व्यवहार का पता लगाना

• नए एप्लिकेशन एकत्र करें और उन्हें checkApk नामक फ़ोल्डर में रखें।
• checkApk फ़ोल्डर में एप्लिकेशन के दुर्भावनापूर्ण व्यवहार का पता लगाने के लिए कमांड का उपयोग करें:

java -jar MADLIRA TFIDF check -S checkApk

कमांड:

java -jar MADLIRA TFIDF train <Options>
        दिए गए प्रशिक्षण डेटा के लिए दुर्भावनापूर्ण विनिर्देशों की गणना करें।
                -B <filename>: आर्काइव फ़ाइल जिसमें प्रशिक्षण बेनवेयर के सभी ग्राफ़ हैं।
                -M <filename>: आर्काइव फ़ाइल जिसमें प्रशिक्षण मैलवेयर की सभी श्रेणियां हैं।

java -jar MADLIRA TFIDF check <Options>
        किसी फ़ोल्डर में दिए गए एप्लिकेशन में दुर्भावनापूर्ण व्यवहार की जाँच करें।
                -S <folder>: वह फ़ोल्डर जिसमें सभी एप्लिकेशन (apk फ़ाइलें) हैं।

java -jar MADLIRA TFIDF test <Options>
        दिए गए परीक्षण डेटा के लिए क्लासिफायर का परीक्षण करें।
                -S <folder>: वह फ़ोल्डर जिसमें परीक्षण के लिए सभी ग्राफ़ हैं।

java -jar MADLIRA TFIDF clear
        सभी प्रशिक्षण डेटा साफ़ करें।

java -jar MADLIRA TFIDF install
        पुराने प्रशिक्षण डेटा को साफ़ करें और प्रशिक्षण के लिए नया डेटा स्थापित करें।
                -B <filename>: आर्काइव फ़ाइल जिसमें प्रशिक्षण बेनवेयर के सभी ग्राफ़ हैं।
                -M <filename>: आर्काइव फ़ाइल जिसमें प्रशिक्षण मैलवेयर की सभी श्रेणियां हैं।

उदाहरण:

नया डेटा प्रशिक्षित करना:

• पहले प्रशिक्षण एप्लिकेशन (APK फ़ाइलें) एकत्र करें और उन्हें MalApkFolder और BenApkFolder नामक फ़ोल्डरों में संग्रहीत करें।
• प्रशिक्षण एप्लिकेशन को इस कमांड का उपयोग करके MalPack और BenPack नामक आर्काइव फ़ाइलों में पैक करें:

java -jar MADLIRA TFIDF packAPK -PB BenApkFolder -B BenPack -PM MalApkFolder -M MalPack

• पुराना प्रशिक्षण डेटा साफ़ करें:

java -jar MADLIRA TFIDF clear

• प्रशिक्षण पैक (BenPack और MalPack) से दुर्भावनापूर्ण ग्राफ़ की गणना करें:

java -jar MADLIRA TFIDF train -B BenPack -M MalPack

नए एप्लिकेशन की जाँच करना:

• इन एप्लिकेशन को checkApk नामक फ़ोल्डर में रखें और इस कमांड का उपयोग करें:

java -jar MADLIRA TFIDF check -S checkApk

आउटपुट:

SVM घटक

कमांड: java -jar MADLIRA SVM

इस घटक के लिए, दो कार्य हैं: प्रशिक्षण फ़ंक्शन और परीक्षण फ़ंक्शन।

प्रशिक्षण चरण

• बेनाइन एप्लिकेशन को benignApkFolder नामक फ़ोल्डर में और दुर्भावनापूर्ण एप्लिकेशन को maliciousApkFolder नामक फ़ोल्डर में एकत्र करें।
• कमांड का उपयोग करके प्रशिक्षण डेटा तैयार करें:

java -jar MADLIRA SVM packAPK -PB benignApkFolder -B benignPack -PM maliciousApkFolder -M maliciousPack

• इस कमांड द्वारा प्रशिक्षण मॉडल की गणना करें:

java -jar MADLIRA SVM train -B benignPack -M maliciousPack

दुर्भावनापूर्ण व्यवहार का पता लगाना

• नए एप्लिकेशन एकत्र करें और उन्हें checkApk नामक फ़ोल्डर में रखें।
• checkApk फ़ोल्डर में एप्लिकेशन के दुर्भावनापूर्ण व्यवहार का पता लगाने के लिए कमांड का उपयोग करें:

java -jar MADLIRA SVM check -S checkApk

कमांड:

java -jar MADLIRA SVM train <Options>
        दिए गए प्रशिक्षण डेटा के लिए क्लासिफायर की गणना करें।
                -T <T>: सामान्य वॉक की अधिकतम लंबाई (डिफ़ॉल्ट मान = 3)।
                -l <lambda>: वॉक की लंबाई के महत्व को नियंत्रित करने के लिए लैम्ब्डा मान (डिफ़ॉल्ट मान = 0.4)।
                -B <filename>: आर्काइव फ़ाइल जिसमें प्रशिक्षण बेनवेयर के सभी ग्राफ़ हैं।
                -M <filename>: आर्काइव फ़ाइल जिसमें प्रशिक्षण मैलवेयर के सभी ग्राफ़ हैं।

java -jar MADLIRA SVM check <Options>
        किसी फ़ोल्डर में एप्लिकेशन में दुर्भावनापूर्ण व्यवहार की जाँच करें।
                -S <foldername>: वह फ़ोल्डर जिसमें सभी apk फ़ाइलें हैं।

java -jar MADLIRA SVM test <Options>
        दिए गए ग्राफ़ डेटा के लिए क्लासिफायर का परीक्षण करें।
                -S <foldername>: वह फ़ोल्डर जिसमें परीक्षण डेटा के सभी ग्राफ़ हैं।
                -n <n>: परीक्षण नमूनों की संख्या।

java -jar MADLIRA SVM clear
        सभी प्रशिक्षण डेटा साफ़ करें।

पैकेज:

यह उपकरण निम्नलिखित पैकेजों का उपयोग करता है:

• apktool-2.2.1 (https://ibotpeaches.github.io/Apktool/)
• ojalgo-41.0.0 (https://github.com/optimatika/ojAlgo)
• libsvm (http://www.csie.ntu.edu.tw/~cjlin/libsvm/)
• antlr (https://www.antlr3.org/)

संदर्भ

• Khanh Huu The Dam and Tayssir Touili. Extracting Android Malicious Behaviors. In Proceedings of ForSE 2017
• Khanh Huu The Dam and Tayssir Touili. Learn Android malware. In Proceedings of IWSMA@ARES 2017