Characterization of Android malware based on subgraph isomorphism

Caractérisation de maliciels Android basée sur l'isomorphisme de sous-graphes

Alain Menelet (1) , Charles-Edmond Bichot (1, 2, 3, 4)

1 Armée de l'air et de l'espace
2 LIRIS - Laboratoire d'InfoRmatique en Image et Systèmes d'information
3 ECL - École Centrale de Lyon
4 GOAL - Graphes, AlgOrithmes et AppLications

The Android operating system is the most spread mobile platform in the world. Therefor attackers are producing an incredible number of malware applications for Android. Our aim is to detect Android's malware in order to protect the user. To do so really good results are obtained by dynamic analysis of software, but it requires complex environments. In order to achieve the same level of precision we analyze the machine code and investigate the frequencies of ngrams of opcodes in order to detect singular code blocks. This allow us to construct a database of infected code blocks. Then, because attacker may modify and organized differently the infected injected code in their new malware, we perform not only a semantic comparison of the tested software with the database of infected code blocks but also a structured comparison. To do such comparison we compute subgraph isomorphism. It allows us to characterize precisely if the tested software is a malware and if so in witch family it belongs. Our method is tested both on a laboratory database and a set of real data. It achieves an almost perfect detection rate.

Le succès grandissant de l'écosystème Android s'est accompagné d'un réel engouement pour toute une génération de développeurs peu scrupuleux qui y voit là un terrain de jeu lucratif. L'année 2010 marque l'explosion des maliciels sur Android et ces 7 dernières années ont été le témoin d'une ingéniosité de plus en plus importante afin de rendre ces programmes de plus en plus indétectables. Nous présentons dans cet article une nouvelle méthode permettant de caractériser de manière très précise si un logiciel Android fait parti d'une famille de maliciels. Cette méthode consiste dans un premier temps à obtenir une signature très précise des maliciels en se basant sur leur bytecode. Puis, par recherche d'isomorphisme de sous-graphe, elle permet d'identifier si un programme Android fait parti d'une famille de maliciels dont on possède la signature. Nous avons testé notre méthode sur deux jeux de données, un jeu de données de laboratoire construit de manière ad hoc et un jeu de données réelles. Les résultats obtenus valident notre approche.

Domaines: Cryptographie et sécurité [cs.CR]

Alain Menelet, Charles-Edmond Bichot. Caractérisation de maliciels Android basée sur l'isomorphisme de sous-graphes. 2021. ⟨hal-03191500⟩