MADLIRA

Android向け学習と情報検索を用いたマルウェア検出

概要

MADLIRAはAndroidマルウェア検出のためのツールです。TFIDFコンポーネントとSVM学習コンポーネントの2つのコンポーネントで構成されています。一般的には、マルウェアと良性アプリのセットを入力として、悪意のある振る舞いを抽出（TFIDFコンポーネント）するか、トレーニングモデル（SVM分類器）を計算します。その後、この知識を用いてAndroidアプリケーション内の悪意のある振る舞いを検出します。

インストール

ファイルMADLIRA.7zをダウンロードし、解凍してください。

インストールされるデータ:

MADLIRA.jar はメインアプリケーションです。
noAPI.txt はAPIのプレフィックスを宣言します。
family.txt はマルウェアをファミリーごとにリストします。
TrainDataフォルダには、トレーニング設定とトレーニングモデルが含まれています。
Samplesフォルダにはサンプルデータが含まれています。
TempDataフォルダにはカーネル計算用のデータが含まれています。

機能

このツールには2つの主要コンポーネントがあります：TFIDFコンポーネントとSVMコンポーネント。

TFIDFコンポーネント

Command: java -jar MADLIRA TFIDF

このコンポーネントには2つの機能があります：トレーニング機能（悪意のある振る舞いの抽出）とテスト機能（悪意のある振る舞いの検出）です。

悪意のある振る舞いの抽出

良性アプリケーションと悪性アプリケーションを収集し、それぞれbenginAPKFolderとmaliciousApkFolderという名前のフォルダに入れます。
トレーニングデータを準備し、次のコマンドを使用してbenignPackとmaliciousPackという名前の2つのファイルにパックします：

MADLIRA TFIDF packAPK -PB benignApkFolder -B benignPack -PM maliciousApkFolder -M maliciousPack

2つのパックファイル（benignPackとmaliciousPack）から悪意のある振る舞いを抽出するには、次のコマンドを使用します：

java -jar MADLIRA TFIDF train -B benignPack -M maliciousPack

悪意のある振る舞いの検出

新しいアプリケーションを収集し、checkApkという名前のフォルダに入れます。
checkApkフォルダ内のアプリケーションの悪意のある振る舞いを検出するには、次のコマンドを使用します：

java -jar MADLIRA TFIDF check -S checkApk

コマンド：

java -jar MADLIRA TFIDF train <Options>
        Compute the malicious specifications for given training data.
                -B <filename>: the archive file contains all graphs of training benwares.
                -M <filename>: the archive file contains all categories of training malwares.

java -jar MADLIRA TFIDF check <Options>
        Check malicious behaviors in the given applications in a folder.
                -S <folder>: the folder contains all applications (apk files).

java -jar MADLIRA TFIDF test <Options>
        Test the classifier for a given test data.
                -S <folder>: the folder contains all graphs for testing.

java -jar MADLIRA TFIDF clear
        Clean all training data.

java -jar MADLIRA TFIDF install
        Clean old training data and install a new data for training.
                -B <filename>: the archive file contains all graphs of training benwares.
                -M <filename>: the archive file contains all categories of training malwares.

例：

新しいデータのトレーニング：

まず、トレーニング用のアプリケーション（APKファイル）を収集し、MalApkFolderとBenApkFolderという名前のフォルダに保存します。
次に、このコマンドを使用してトレーニング用アプリケーションをMalPackとBenPackという名前のアーカイブファイルにパックします：

java -jar MADLIRA TFIDF packAPK -PB BenApkFolder -B BenPack -PM MalApkFolder -M MalPack

古いトレーニングデータをクリーンアップします：

java -jar MADLIRA TFIDF clear

トレーニングパック（BenPackとMalPack）から悪意のあるグラフを計算します：

java -jar MADLIRA TFIDF train -B BenPack -M MalPack

新しいアプリケーションのチェック：

これらのアプリケーションをcheckApkという名前のフォルダに入れ、次のコマンドを使用します：

java -jar MADLIRA TFIDF check -S checkApk

出力： output

SVMコンポーネント

Command: java -jar MADLIRA SVM

このコンポーネントには2つの機能があります：トレーニング機能とテスト機能です。

トレーニングフェーズ

良性アプリケーションをbenignApkFolderという名前のフォルダに、悪性アプリケーションをmaliciousApkFolderという名前のフォルダに収集します。
次のコマンドを使用してトレーニングデータを準備します：

java -jar MADLIRA SVM packAPK -PB benignApkFolder -B benignPack -PM maliciousApkFolder -M maliciousPack

次のコマンドでトレーニングモデルを計算します：

java -jar MADLIRA SVM train -B benignPack -M maliciousPack

悪意のある振る舞いの検出

新しいアプリケーションを収集し、checkApkという名前のフォルダに入れます。
checkApkフォルダ内のアプリケーションの悪意のある振る舞いを検出するには、次のコマンドを使用します：

java -jar MADLIRA SVM check -S checkApk

コマンド：

java -jar MADLIRA SVM train <Options>
        Compute the classifier for given training data.
                -T <T>: max length of the common walks (default value = 3).
                -l <lambda>: lambda value to control the importance of length of walks (default value = 0.4).
                -B <filename>: the archive file contains all graphs of training benwares.
                -M <filename>: the archive file contains all graphs of training malwares.

java -jar MADLIRA SVM check <Options>
        Check malicious behaviors in the applications in a folder.
                -S <foldername>: the folder contains all apk files.

java -jar MADLIRA SVM test <Options>
        Test the classifier for given graph data.
                -S <foldername>: the folder contains all graphs of test data.
                -n <n>: the number of test samples.

java -jar MADLIRA SVM clear
        Clean all training data.

パッケージ：

このツールは以下のパッケージを使用します：

apktool-2.2.1 (https://ibotpeaches.github.io/Apktool/)
ojalgo-41.0.0 (https://github.com/optimatika/ojAlgo)
libsvm (http://www.csie.ntu.edu.tw/~cjlin/libsvm/)
antlr (https://www.antlr3.org/)

参考文献

Khanh Huu The Dam and Tayssir Touili. Extracting Android Malicious Behaviors. In Proceedings of ForSE 2017
Khanh Huu The Dam and Tayssir Touili. Learn Android malware. In Proceedings of IWSMA@ARES 2017

MADLIRA

人気

MADLIRA

概要

インストール

インストールされるデータ:

機能

TFIDFコンポーネント

悪意のある振る舞いの抽出

悪意のある振る舞いの検出

例：

SVMコンポーネント

トレーニングフェーズ

悪意のある振る舞いの検出

パッケージ：

参考文献