MADLIRA

Detecção de malware usando aprendizado e recuperação de informações para Android

Visão Geral

MADLIRA é uma ferramenta para detecção de malware Android. Consiste em dois componentes: componente TFIDF e componente de aprendizado SVM. Em geral, recebe como entrada um conjunto de malwares e benwares e então extrai os comportamentos maliciosos (componente TFIDF) ou calcula o modelo de treinamento (classificador SVM). Em seguida, utiliza esse conhecimento para detectar comportamentos maliciosos em aplicações Android.

Instalação

Baixe o arquivo MADLIRA.7z e descompacte-o.

Dados Instalados:

• MADLIRA.jar é a aplicação principal.
• noAPI.txt declara o prefixo das APIs.
• family.txt lista malwares por família.
• Pasta TrainData contém a configuração de treinamento e o modelo de treinamento.
• Pasta Samples contém dados de amostra.
• Pasta TempData contém dados para computação do kernel.

Funcionalidade

Esta ferramenta possui dois componentes principais: componente TFIDF e componente SVM.

Componente TFIDF

Command: java -jar MADLIRA TFIDF

Para este componente, existem duas funções: a função de treinamento (Extração de comportamento malicioso) e a função de teste (Detecção de comportamento malicioso)

Extração de comportamento malicioso

• Colete aplicações benignas e maliciosas e coloque-as em pastas chamadas benignAPKFolder e maliciousApkFolder, respectivamente.
• Prepare os dados de treinamento e empacote-os em dois arquivos chamados benignPack e maliciousPack usando o comando:

MADLIRA TFIDF packAPK -PB benignApkFolder -B benignPack -PM maliciousApkFolder -M maliciousPack

• Extraia comportamentos maliciosos dos dois arquivos empacotados (benignPack e maliciousPack) usando o comando:

java -jar MADLIRA TFIDF train -B benignPack -M maliciousPack

Detecção de comportamento malicioso

• Colete novas aplicações e coloque-as em uma pasta chamada checkApk.
• Detecte comportamentos maliciosos das aplicações na pasta checkApk usando o comando:

java -jar MADLIRA TFIDF check -S checkApk

Command:

java -jar MADLIRA TFIDF train <Options>
        Compute the malicious specifications for given training data.
                -B <filename>: the archive file contains all graphs of training benwares.
                -M <filename>: the archive file contains all categories of training malwares.

java -jar MADLIRA TFIDF check <Options>
        Check malicious behaviors in the given applications in a folder.
                -S <folder>: the folder contains all applications (apk files).

java -jar MADLIRA TFIDF test <Options>
        Test the classifier for a given test data.
                -S <folder>: the folder contains all graphs for testing.

java -jar MADLIRA TFIDF clear
        Clean all training data.

java -jar MADLIRA TFIDF install
        Clean old training data and install a new data for training.
                -B <filename>: the archive file contains all graphs of training benwares.
                -M <filename>: the archive file contains all categories of training malwares.

Exemplos:

Treinando novos dados:

• Primeiro, colete aplicações de treinamento (arquivos APK) e armazene-as em pastas chamadas MalApkFolder e BenApkFolder.
• Empacote as aplicações de treinamento em arquivos compactados chamados MalPack e BenPack usando este comando:

java -jar MADLIRA TFIDF packAPK -PB BenApkFolder -B BenPack -PM MalApkFolder -M MalPack

• Limpe os dados de treinamento antigos:

java -jar MADLIRA TFIDF clear

• Calcule os grafos maliciosos a partir dos pacotes de treinamento (BenPack e MalPack)

java -jar MADLIRA TFIDF train -B BenPack -M MalPack

Verificando novas aplicações:

• coloque essas aplicações em uma pasta chamada checkApk e use este comando:

java -jar MADLIRA TFIDF check -S checkApk

Saída:

Componente SVM

Command: java -jar MADLIRA SVM

Para este componente, existem duas funções: a função de treinamento e a função de teste.

Fase de treinamento

• Colete aplicações benignas em uma pasta chamada benignApkFolder e aplicações maliciosas em uma pasta chamada maliciousApkFolder.
• Prepare os dados de treinamento usando os comandos:

java -jar MADLIRA SVM packAPK -PB benignApkFolder -B benignPack -PM maliciousApkFolder -M maliciousPack

• Calcule o modelo de treinamento com este comando:

java -jar MADLIRA SVM train -B benignPack -M maliciousPack

Detecção de comportamento malicioso

• Colete novas aplicações e coloque-as em uma pasta chamada checkApk
• Detecte comportamentos maliciosos das aplicações na pasta checkApk usando o comando:

java -jar MADLIRA SVM check -S checkApk

Command:

java -jar MADLIRA SVM train <Options>
        Compute the classifier for given training data.
                -T <T>: max length of the common walks (default value = 3).
                -l <lambda>: lambda value to control the importance of length of walks (default value = 0.4).
                -B <filename>: the archive file contains all graphs of training benwares.
                -M <filename>: the archive file contains all graphs of training malwares.

java -jar MADLIRA SVM check <Options>
        Check malicious behaviors in the applications in a folder.
                -S <foldername>: the folder contains all apk files.

java -jar MADLIRA SVM test <Options>
        Test the classifier for given graph data.
                -S <foldername>: the folder contains all graphs of test data.
                -n <n>: the number of test samples.

java -jar MADLIRA SVM clear
        Clean all training data.

Pacotes:

Esta ferramenta utiliza os seguintes pacotes:

• apktool-2.2.1 (https://ibotpeaches.github.io/Apktool/)
• ojalgo-41.0.0 (https://github.com/optimatika/ojAlgo)
• libsvm (http://www.csie.ntu.edu.tw/~cjlin/libsvm/)
• antlr (https://www.antlr3.org/)

Referências

• Khanh Huu The Dam e Tayssir Touili. Extraindo comportamentos maliciosos do Android. In Anais do ForSE 2017
• Khanh Huu The Dam e Tayssir Touili. Aprenda malware Android. In Anais do IWSMA@ARES 2017