Erkennung von neu verpackter Android-Malware mit Code-Heterogenitätsmerkmalen

Während der Neuverpackung injizieren Malware-Autoren statisch schadhafter Code und modifizieren den Kontrollfluss, um dessen Ausführung sicherzustellen. Neu verpackte Malware ist durch bestehende Klassifikationsverfahren schwer zu erkennen, teilweise wegen ihrer Verhaltensähnlichkeiten zu harmlosen Apps. Durch die Erforschung der internen unterschiedlichen Verhaltensweisen der App schlagen wir eine neue Erkennungstechnik für neu verpackte Android-Malware basierend auf der Analyse von Code-Heterogenität vor. Unsere Lösung partitioniert die Code-Struktur einer App strategisch in mehrere abhängigkeitbasierte Regionen (Teilmenge des Codes). Jede Region wird unabhängig anhand ihrer Verhaltensmerkmale klassifiziert. Wir weisen auf die Sicherheitsherausforderungen und Entwurfsentscheidungen für die Partitionierung von Code-Strukturen auf Klassen- und Methodenebene hin und präsentieren eine Lösung, die auf mehreren Abhängigkeitsbeziehungen basiert. Wir haben eine experimentelle Bewertung mit über 7.542 Android-Apps durchgeführt. Für neu verpackte Malware reduziert unsere partitionierungsbasierte Erkennung die falsch-negativen Ergebnisse (d.h. nicht erkannte) um das 30-Fache im Vergleich zum nicht-partitionierungsbasierten Ansatz. Insgesamt erreichen wir eine falsch-negativen Rate von 0,35 Prozent und eine falsch-positiven Rate von 2,97 Prozent.