MADLIRA

Rilevamento di malware tramite apprendimento e information retrieval per Android

Panoramica

MADLIRA è uno strumento per il rilevamento di malware Android. È composto da due componenti: il componente TFIDF e il componente di apprendimento SVM. In generale, prende in input un insieme di malware e benware, quindi estrae i comportamenti malevoli (componente TFIDF) oppure calcola il modello di addestramento (classificatore SVM). Poi utilizza questa conoscenza per rilevare comportamenti malevoli nell'applicazione Android.

Installazione

Scarica il file MADLIRA.7z e decomprimilo.

Dati installati:

• MADLIRA.jar è l'applicazione principale.
• noAPI.txt dichiara il prefisso delle API.
• family.txt elenca i malware per famiglia.
• La cartella TrainData contiene la configurazione di addestramento e il modello di addestramento.
• La cartella Samples contiene dati di esempio.
• La cartella TempData contiene dati per il calcolo del kernel.

Funzionalità

Questo strumento ha due componenti principali: il componente TFIDF e il componente SVM.

Componente TFIDF

Command: java -jar MADLIRA TFIDF

Per questo componente, ci sono due funzioni: la funzione di addestramento (Estrazione di comportamenti malevoli) e la funzione di test (Rilevamento di comportamenti malevoli)

Estrazione di comportamenti malevoli

• Raccogli applicazioni benigne e applicazioni dannose e inseriscile in cartelle denominate rispettivamente benginAPKFolder e maliciousApkFolder.
• Prepara i dati di addestramento e impacchettali in due file denominati benignPack e maliciousPack usando il comando:

MADLIRA TFIDF packAPK -PB benignApkFolder -B benignPack -PM maliciousApkFolder -M maliciousPack

• Estrai i comportamenti malevoli dai due file impacchettati (benignPack e maliciousPack) usando il comando:

java -jar MADLIRA TFIDF train -B benignPack -M maliciousPack

Rilevamento di comportamenti malevoli

• Raccogli nuove applicazioni e inseriscile in una cartella denominata checkApk.
• Rileva i comportamenti malevoli delle applicazioni nella cartella checkApk usando il comando:

java -jar MADLIRA TFIDF check -S checkApk

Command:

java -jar MADLIRA TFIDF train <Options>
        Calcola le specifiche malevole per i dati di addestramento forniti.
                -B <filename>: il file archivio contiene tutti i grafici dei benware di addestramento.
                -M <filename>: il file archivio contiene tutte le categorie dei malware di addestramento.

java -jar MADLIRA TFIDF check <Options>
        Controlla i comportamenti malevoli nelle applicazioni fornite in una cartella.
                -S <folder>: la cartella contiene tutte le applicazioni (file apk).

java -jar MADLIRA TFIDF test <Options>
        Testa il classificatore per i dati di test forniti.
                -S <folder>: la cartella contiene tutti i grafici per il test.

java -jar MADLIRA TFIDF clear
        Pulisce tutti i dati di addestramento.

java -jar MADLIRA TFIDF install
        Pulisce i vecchi dati di addestramento e installa nuovi dati per l'addestramento.
                -B <filename>: il file archivio contiene tutti i grafici dei benware di addestramento.
                -M <filename>: il file archivio contiene tutte le categorie dei malware di addestramento.

Esempi:

Addestramento di nuovi dati:

• Per prima cosa raccogli le applicazioni di addestramento (file APK) e memorizzale in cartelle denominate MalApkFolder e BenApkFolder.
• Impacchetta le applicazioni di addestramento in file archivio denominati MalPack e BenPack usando questo comando:

java -jar MADLIRA TFIDF packAPK -PB BenApkFolder -B BenPack -PM MalApkFolder -M MalPack

• Pulisci i vecchi dati di addestramento:

java -jar MADLIRA TFIDF clear

• Calcola i grafici malevoli dai pacchetti di addestramento (BenPack e MalPack)

java -jar MADLIRA TFIDF train -B BenPack -M MalPack

Controllo di nuove applicazioni:

• inserisci queste applicazioni in una cartella denominata checkApk e usa questo comando:

java -jar MADLIRA TFIDF check -S checkApk

Output:

Componente SVM

Command: java -jar MADLIRA SVM

Per questo componente, ci sono due funzioni: la funzione di addestramento e la funzione di test.

Fase di addestramento

• Raccogli le applicazioni benigne in una cartella denominata benignApkFolder e le applicazioni dannose in una cartella denominata maliciousApkFolder.
• Prepara i dati di addestramento usando i comandi:

java -jar MADLIRA SVM packAPK -PB benignApkFolder -B benignPack -PM maliciousApkFolder -M maliciousPack

• Calcola il modello di addestramento con questo comando:

java -jar MADLIRA SVM train -B benignPack -M maliciousPack

Rilevamento di comportamenti malevoli

• Raccogli nuove applicazioni e inseriscile in una cartella denominata checkApk
• Rileva i comportamenti malevoli delle applicazioni nella cartella checkApk usando il comando:

java -jar MADLIRA SVM check -S checkApk

Command:

java -jar MADLIRA SVM train <Options>
        Calcola il classificatore per i dati di addestramento forniti.
                -T <T>: lunghezza massima delle camminate comuni (valore predefinito = 3).
                -l <lambda>: valore lambda per controllare l'importanza della lunghezza delle camminate (valore predefinito = 0.4).
                -B <filename>: il file archivio contiene tutti i grafici dei benware di addestramento.
                -M <filename>: il file archivio contiene tutti i grafici dei malware di addestramento.

java -jar MADLIRA SVM check <Options>
        Controlla i comportamenti malevoli nelle applicazioni in una cartella.
                -S <foldername>: la cartella contiene tutti i file apk.

java -jar MADLIRA SVM test <Options>
        Testa il classificatore per i dati grafici forniti.
                -S <foldername>: la cartella contiene tutti i grafici dei dati di test.
                -n <n>: il numero di campioni di test.

java -jar MADLIRA SVM clear
        Pulisce tutti i dati di addestramento.

Pacchetti:

Questo strumento utilizza i seguenti pacchetti:

• apktool-2.2.1 (https://ibotpeaches.github.io/Apktool/)
• ojalgo-41.0.0 (https://github.com/optimatika/ojAlgo)
• libsvm (http://www.csie.ntu.edu.tw/~cjlin/libsvm/)
• antlr (https://www.antlr3.org/)

Riferimenti

• Khanh Huu The Dam and Tayssir Touili. Extracting Android Malicious Behaviors. In Proceedings of ForSE 2017
• Khanh Huu The Dam and Tayssir Touili. Learn Android malware. In Proceedings of IWSMA@ARES 2017