Abstract-This paper föreslår en teknik för att automatiskt lära semantiska malware signaturer för Android från mycket få prover av en malware familj. Den viktigaste idén bakom vår teknik är att leta efter en maximal misstänksam gemensam subgraf (MSCS) som delas mellan alla kända fall av en malware familj. En MSCS beskriver den delade funktionaliteten mellan flera Android-applikationer i termer av inter-komponent samtalsrelationer och deras semantiska metadata (t.ex. data-flöde egenskaper). Vår strategi identifierar sådana högst misstänkta gemensamma subgrafer genom att reducera problemet till maximal tillfredsställelse. När en semantisk signatur lärs, använder vår strategi en kombination av statisk analys och en ny ungefärlig signatur matchande algoritm för att avgöra om en Android-applikation matchar den semantiska signaturen som kännetecknar en given malware familj. Vi har implementerat vår strategi i ett verktyg som kallas ASTROID och visar att det har ett antal fördelar jämfört med state-of-theart malware detektion tekniker. För det första jämför vi de semantiska malware-signaturer som automatiskt syntetiseras av ASTROID med manuellt skrivna signaturer som används i tidigare arbete och visar att de signaturer som ASTROID lärt sig presterar bättre i fråga om noggrannhet och precision. För det andra jämför vi ASTROID mot två toppmoderna malware detektionsverktyg och visar dess fördelar när det gäller tolkningsbarhet och noggrannhet. Slutligen visar vi att ASTROID ungefärliga signatur matchningsalgoritm är resistent mot beteendeobfuscation och att det kan användas för att upptäcka noll-dagars malware. I synnerhet kunde vi hitta 22 fall av noll-dagars malware i Google Play som inte rapporteras som skadlig kod av befintliga verktyg.
För att upptäcka skadlig kod i Android-appar, ASTROID REF lär sig automatiskt semantiska malware signaturer genom att använda MaxSAT för att hitta den maximalt misstänkta gemensamma subgraph från några prover av en malware familj.
Automated Synthesis of Semantic Malware Signatures using Maximum Satisfiability
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science']}