Earticle

공인인증서는 개인을 증명하거나 통신간의 위변조 등을 방지하기 위하여 공인인증기관에서 발행하는 전자화된 정보로써 사이버 상의 인감도장이라 할 수 있다. 공인인증서는 암호화 된 파일의 형태로 PC 및 스마트폰에 저장되어 인터넷뱅킹 및 스 마트뱅킹 서비스를 이용할 때 개인을 증명하기 위해 사용하기 때문에 외부로 유출될 경우 위험할 수 있다. 급증하는 안드로이 드 기반 악성 어플리케이션 중 파일로 존재하는 공인인증서와 개인정보 등을 외부의 서버에 전송하는 악성 어플리케이션 또 한 발견되고 있다. 본 논문은 공인인증서 탈취 악성코드를 사전에 판단하여 차단하기 위해 안드로이드 기반 동적 분석 도구인 DroidBox를 이용하여 공인인증서 외부 유출행위 여부를 판단하는 방안을 제안한다.

The certificate is electronic information issued by an accredited certification body to certify an individual or to prevent forgery and alteration between communications. Certified certificates are stored in PCs and smart phones in the form of e ncrypted files and are used to prove individuals when using Internet banking and smart banking services. Among the rapi dly growing Android-based malicious applications are malicious apps that leak personal information, especially certificates that exist in the form of files. This paper proposes a method for judging whether malicious codes leak certificates by usin g DroidBox, an Android-based dynamic analysis tool.

"The extensive embrace of Android has amplified malware risks, resulting in a need for better detection methods. This article investigates the area of static analysis, which analyses applications without execution by examining code and manifest files. We focus on studies from 2022?2025, regarding the feature extraction, datasets, feature selection, and approaches based on Machine Learning (ML) and Deep Learning (DL). We conclude by defining the major limitations and research gaps presented in studies regarding static analysis, and many insights for potential development of detection models that are efficient, accurate, and lightweight to improve detection patterns of Android malware. 2018 The Korean Institute of Communications and Information Sciences. Publishing Services by Elsevier B.V. This is an open access article under the CC BY-NC-ND license (http://creativecommons.org/licenses/by-nc-nd/4.0/)."

안드로이드 어플리케이션은 생산성과 게임 등의 다양한 카테고리에 걸쳐 출시되며, 사용자는 개인의 사용 패턴에 따라 다양한 어플리케이션 및 악성코드에 노출된다. 반면 대부분의 분석 엔진은 기존에 존재하는 데이터셋을 활용하며, 주기적인 업데이트가 이루어진다고 해도 사용자의 선호도를 반영하지 않는다. 따라서 알려진 악성코드에 대한 탐지율은 높은 반면, 애드웨어와 같은 유형의 악성코드는 탐지가 어렵다. 또한 기존의 엔진은 서버를 거쳐야 하므로, 추가적인 비용이 발생하며, 사용자는 가용성과 실시간성을 보장받지 못하는 문제가 발생한다. 이러한 문제를 해결하기 위해 논문에서는 서버와 단 한번만의 통신이 요구되는 on-device 악성코드 분석과 전이학습을 통한 모델 재훈련을 수행하는 분석 시스템을 제안한다. 또한 해당 시스템은 디바이스 내부에서 디컴파일을 포함한 전체 프로세스가 이루어지므로, 서버 시스템에서의 부하를 분산할 수 있다. 이러한 분석 시스템을 구현하여 테스트한 결과, 전이 학습이전 기준 최대 90.3%의 정확도를 얻었으며, Adware 카테고리에 대하여 전이학습을 수행한 뒤 최대 95.1% 의 정확도로, 기존 대비 4.8% 높은 정확도를 얻을 수 있었다.

Android applications are released across various categories, including productivity apps and games, and users are exposed to various applications and even malware depending on their usage patterns. On the other hand, most analysis engines train using existing datasets and do not reflect user patterns even if periodic updates are made. Thus, the detection rate for known malware is high, while types of malware such as adware are difficult to detect. In addition, existing engines incur increased service provider costs due to the cost of server farm, and the user layer suffers from problems where availability and real-timeness are not guaranteed. To address these problems, we propose an analysis system that performs on-device malware detection through transfer learning, which requires only one-time communication with the server. In addition, The system has a complete process on the device, including decompiler, which can distribute the load of the server system. As an evaluation result, it shows 90.3% accuracy without transfer learning, while the model transferred with adware catergories shows 95.1% of accuracy, which is 4.8% higher compare to original model.

본 논문에서는 머신러닝 기반의 악성코드 분류에 있어 오버피팅 문제를 비롯하여 실제로 실행되지 않는 코드가 APK에 포함되는 문제 등을 해결하기 위해 모든 API들의 연관성을 통해 그룹화하며, 제어 흐름 분석을 통해 실제로 실행되는 코드에 대한 분석을 수행하는 툴을 개발하였다. 툴은 약 1,500라인으로 이루어진 자바 기반의 소프트웨어로, 전체 API에 대한 빈도 분석을 수행하거나 생성된 제어 흐름 그래프를 바탕으로 빈도 분석을 수행한다. 툴을 이용하여 모든 버전에서의 총 39032개의 메서드에 대해 4972개의 그룹으로 축소할 수 있으며, 클래스를 포함한 결과로는 총 12123개의 그룹으로 축소할 수 있다. 결과 분석을 위해서 본 논문에서는 총 7개의 패밀리에서 7,000개의 APK를 랜덤으로 수집하였으며, 수집된 APK를 이용하여 feature를 축소하는 기법을 검증하였다. 또한, 추출된 데이터에서 빈도가 20% 이상으로 나타난 API만을 선별하여 feature를 더욱 축소하여 최종적으로 263개의 feature로 축소하였다.

While several machine learning technique has been implemented for Android malware categorization, there is still difficulty in analyzing due to overfitting problem and including of un-executable code, etc. In this paper, we introduce our implemented tool to address these problems. Tool is consists of approximately 1,500 lines of Java code, and perform Flow analysis on set of APIs, or on control flow graph. Our tool groups all the API by its relationship and only perform analysis on actually executing code. Using our tool, we grouped 39032 APIs into 4972 groups, and 12123 groups with result of including class names. We collected 7,000 APKs from 7 families and evaluated our feature reduction technique, and we also reduced features again with selecting APIs that have frequency more than 20%. We finally reduced features to 263-numbers of feature for our collected APKs.

안드로이드 퍼미션(permission) 정보를 특징정보로 하여 기계학습 기반으로 안드로이드 멀웨어(malware)를 탐지하는 연구들이 수행되어 왔다. 그러나, 대부분의 기존 연구들에서는 기본 퍼미션(built-in permissions)들만을 추출하여 활용하였으며, 최근 일부 연구들에서 커스텀 퍼미션(custom permission)들을 도입하였다. 본 논문에서는 실험을 통해 안드로이드 멀웨어 탐지에서 커스텀 퍼미션들의 영향을 분석한다. 랜덤 포레스트(Random Forest) 분류기를 적용한 실험 결과, 커스텀 퍼미션들이 멀웨어 탐지 정확도를 1.53% 향상시켜 주었다.

Currently the intelligent terminal based on the Android has occupied most of the market, and the number of malware aiming at Android platform is also increasing. The problems of security threats and privacy disclosure caused by malicious behaviors are becoming more serious. How to make the security assessments and metrics effectively for the security of application has become a research hotspot in recent years. In this paper, we use static behavioral analysis approach, the thesis analyzes Android malware, summarizes its malicious behaviors and its ways of stealing private data, and puts forward the methods of detection and prevention.

스마트폰의 사용이 생활에 필수적인 요소가 되었다. 스마트폰 특징의 가장 핵심적인 부분이 다양한 콘텐츠를 사용자의 취향에 맞게 선택 할 수 있다는 점이기에 스마트폰의 콘텐츠 시장 또한 빠르게 커지고 있다. 오픈 마켓인 안드로이드의 특성 상 누구나 어플리케이션을 만들어 원하는 곳에 배포할 수 있고 어플리케이션을 다운받을 수 있는 소스도 한정되어 있지 않기 때문에 스마트폰 보안을 위협하는 악의적인 어플리케이션에 노출되기 쉽다. 개인적인 정보가 저장되어 있는 핸드폰의 특징 상 악성코드에 노출 될 경우 전화번호부 유출로 인한 인한 스팸이나 피싱에서 크게는 금융정보 유출까지, 입을 수 있는 피해가 크다. 이를 방지하기 위해 클라우드 컴퓨팅을 이용해 단계적으로 악의적인 어플리케이션을 걸러 내고 클라우드 서버에 어플리케이션 실행 환경을 제공함으로써 사용자의 기기를 안전하게 보호 할 수 있는 시스템을 제안한다.

스마트폰의 사용이 생활에 필수적인 요소가 되었다. 스마트폰 특징의 가장 핵심적인 부분이 다양한 콘텐츠를 사용자의 취향에 맞게 선택 할 수 있다는 점이기에 스마트폰의 콘텐츠 시장 또한 빠르게 커지고 있다. 오픈 마켓인 안드로이드의 특성 상 누구나 어플리케이션을 만들어 원하는 곳에 배포할 수 있고 어플리케이션을 다운받을 수 있는 소스도 한정되어 있지 않기 때문에 스마트폰 보안을 위협하는 악의적인 어플리케이션에 노출되기 쉽다. 개인적인 정보가 저장되어 있는 핸드폰의 특징 상 악성코드에 노출 될 경우 전화번호부 유출로 인한 인한 스팸이나 피싱에서 크게는 금융정보 유출까지, 입을 수 있는 피해가 크다. 이를 방지하기 위해 클라우드 컴퓨팅을 이용해 단계적으로 악의적인 어플리케이션을 걸러 내고 클라우드 서버에 어플리케이션 실행 환경을 제공함으로써 사용자의 기기를 안전하게 보호 할 수 있는 시스템을 제안한다.