Ito ba ay isang potensyal na lunas para sa mga nakakahamak na android apps?

Ang mga merkado ng application ng Android ay isang maginhawang paraan para makakuha ng mga app. Ang mga merkado ay isang maginhawang paraan para sa mga masasamang tao upang maghatid ng malware. Ang mga may-ari ng pamilihan, sa kanilang kredito, ay sumusubok na mag-sniff ng mga masamang apps gamit ang mga panukalang pangseguridad tulad ng Google Bouncer. Nakalulungkot, ang karamihan - kabilang ang Bouncer - ay hindi hanggang sa gawain. Ang mga masasamang tao ay halos agad na naiisip kung paano sasabihin kung kailan ang Bouncer, isang emulation environment, ay sumusubok sa kanilang code. Sa isang naunang panayam, ipinaliwanag ni Jon Oberheide, co-founder ng Duo Security at ang taong nagpabatid sa Google ng problema,

"Upang maging epektibo ang Bouncer, dapat itong hindi maiintindihan mula sa mobile device ng isang tunay na gumagamit. Kung hindi, ang isang nakakahamak na aplikasyon ay magagawang matukoy na ito ay tumatakbo sa Bouncer at hindi isinasagawa ang nakakahamak na payload."

Ang isa pang paraan masamang tao lokohang si Bouncer ay sa pamamagitan ng paggamit ng isang logic bomba. Sa buong kanilang kasaysayan, ang mga logic bomb ay naganap sa aparatong computing. Sa kasong ito, ang logic bomb code ay tahimik na nagwawas sa mga checker ng malware, katulad ng pagkabigo ng Bouncer na maisaaktibo ang payload hanggang ang pag-install ng nakakahamak na app sa isang aktwal na mobile device.

Ang nasa ilalim na linya ay ang mga merkado ng Android app, maliban kung sila ay mabisa sa pagtuklas ng mga payload ng malware sa mga app, ay, sa katunayan, isang pangunahing sistema ng pamamahagi para sa malware.

Isang Bagong Pag-twist sa Isang Lumang Pakikitungo

Ang koponan ng pananaliksik ng North Carolina State University ng Tsung-Hsuan Ho, Daniel Dean, Xiaohui Gu, at William Enck ay maaaring may natagpuan na solusyon. Sa kanilang papel na PREC: Practical Root Exploit Containment for Android Device, ipinakilala ng pangkat ng pananaliksik ang kanilang bersyon ng isang anomalya na pamamaraan ng pagtuklas. Ang PREC ay binubuo ng dalawang bahagi: ang isa na gumagana sa detector ng app store, at isa na na-download kasama ang application sa mobile device.

Ang bahagi ng app store ay natatangi sa kung saan ito ay gumagamit ng kung ano ang tinatawag ng mga mananaliksik na "classified system call monitoring." Ang pamamaraang ito ay maaaring kilusang kilalanin ang mga tawag sa system mula sa mga sangkap na may mataas na peligro tulad ng mga aklatang third-party (mga hindi kasama sa Android system, ngunit kasama ang na-download na application). Ang lohika dito ay maraming mga nakakahamak na apps na gumagamit ng kanilang sariling mga aklatan.

Ang mga tawag sa system mula sa high-risk na third-party code na nakuha mula sa pagsubaybay na ito, kasama ang data na nakuha mula sa proseso ng pagtuklas ng app-store, ay nagbibigay-daan sa PREC na lumikha ng isang normal na modelo ng pag-uugali. Ang modelo ay nai-upload sa serbisyo ng PREC, kumpara sa umiiral na mga modelo para sa kawastuhan, overhead, at katatagan upang gayahin ang mga pag-atake.

Ang naka-update na modelo ay handa nang ma-download kasama ang application anumang oras ang app ay hiniling ng isang taong bumibisita sa tindahan ng app.

Iyon ay itinuturing na yugto ng pagmamanman. Sa sandaling ma-download ang modelo at application ng PREC sa Android device, ang PREC ay pumapasok sa yugto ng pagpapatupad - sa madaling salita, pagkakita ng anomalya at pagkubot ng malware.

Anomaly Detection

Kapag ang app at PREC modelo ay naka -concort sa Android device, sinusubaybayan ng PREC ang third-party code, partikular na ang mga tawag sa system. Kung ang pagkakasunud-sunod ng system-call ay naiiba sa na sinusubaybayan sa app store, tinutukoy ng PREC ang posibilidad na ang abnormal na pag-uugali ay isang pagsasamantala. Kapag natukoy ng PREC na ang aktibidad ay nakakahamak, lumilipat ito sa mode na naglalaman ng malware.

Containment ng Malware

Kung naiintindihan nang tama, ginagawang natatangi ang paglalagay ng malware sa PREC pagdating sa Android anti-malware. Dahil sa likas na katangian ng operating system ng Android, ang mga application ng anti-malware ay hindi maalis ang malware o ilagay ito sa kuwarentina dahil ang bawat aplikasyon ay naninirahan sa isang sandbox. Nangangahulugan ito na manu-manong tanggalin ng gumagamit ang malisyosong app sa pamamagitan ng unang paghahanap ng malware sa seksyon ng Application ng System Manager ng aparato, at pagkatapos buksan ang pahina ng istatistika ng malware app, at pag-tap sa "pag-uninstall."

Ang natatangi sa PREC ay ang tinatawag ng mga mananaliksik ng isang "pagkaantala na batay sa masaganang mekanismo ng pagdidiyenda." Ang pangkalahatang ideya ay upang pabagalin ang mga kahina-hinalang mga tawag sa system gamit ang isang pool ng magkahiwalay na mga thread. Pinipilit nito ang pagsasamantala sa oras., Na nagreresulta sa isang status na "Application Not Responding" kung saan ang app ay sa wakas ay ikinulong ng Android operating system.

Maaaring mai-program ang PREC upang patayin ang mga thread ng system-call, ngunit maaaring masira nito ang normal na operasyon ng aplikasyon kung nagkakamali ang anomalyang detektor. Sa halip na peligro iyon, ang mga mananaliksik ay nagpasok ng pagkaantala sa pagpapatupad ng thread.

"Ipinakita ng aming mga eksperimento na ang karamihan sa mga pagsasamantala ng ugat ay nagiging hindi epektibo pagkatapos mabagal namin ang malisyosong katutubong thread sa isang tiyak na punto. Ang diskarte na batay sa pagka-antala ay maaaring hawakan ang mga maling alarma nang mas maganda dahil ang benign application ay hindi magdurusa mula sa pag-crash o pagwawakas dahil sa lumilipas na maling mga alarma, "paliwanag ng papel.

Mga Resulta ng Pagsubok

Upang masuri ang PREC, ang mga mananaliksik ay nagtayo ng isang prototype at sinubukan ito laban sa 140 na apps (80 na may katutubong code at 60 na walang katutubong code) - kasama ang 10 mga app (apat na kilalang pagsasamantala ng ugat na aplikasyon mula sa proyekto ng Malware Genome, at anim na na-repack na application ng pagsasamantala sa root) - na naglalaman ng malware. Kasama sa malware ang mga bersyon ng DroidDream, DroidKungFu, GingerMaster, RATC, ZimperLich at GingerBreak.

Ang mga resulta:

• Matagumpay na nakita ng PREC at itinigil ang lahat ng nasubok na mga pagsasamantala sa ugat.
• Itinaas nito ang zero maling alarma sa mga benign application na walang katutubong code. (Ang tradisyunal na mga scheme ay nagtataas ng 67-92% bawat per app na mga maling alarma.)
• Binawasan ng PREC ang maling alarm rate sa mga benign application na may katutubong code ng higit sa isang order ng magnitude sa tradisyunal na algorithm ng pagtuklas ng anomalya

Ang mga detalyadong resulta ng pagsubok ay matatagpuan sa papel ng pananaliksik ng PREC.

Mga Pakinabang ng PREC

Bukod sa mahusay na pagganap sa mga pagsubok at pagpapasa ng isang madaling gamitin na pamamaraan upang maglaman ng Android malware, ang PREC ay nagpasya na mas mahusay na mga numero pagdating sa maling mga positibo at pagkawala ng pagganap. Kung tungkol sa pagganap, sinabi ng papel na ang "classified monitoring scheme ng PREC ay nagpapataw ng mas mababa sa 1% na overhead, at ang SOM anomalya na deteksyon algorithm ay nagpapataw ng hanggang sa 2% sa itaas. Sa pangkalahatan, ang PREC ay magaan, na ginagawang praktikal para sa mga aparato ng smartphone."

Ang kasalukuyang mga sistema ng pagtuklas ng malware na ginagamit ng mga tindahan ng app ay hindi epektibo. Nagbibigay ang PREC ng isang mataas na antas ng kawastuhan ng pagtuklas, isang mababang porsyento ng mga maling alarma, at pagkakaroon ng malware - isang bagay na hindi kasalukuyang umiiral.

Ang hamon

Ang susi sa pagkuha ng PREC upang gumana ay ang buy-in mula sa mga merkado ng app. Ito ay isang bagay lamang sa paglikha ng isang database na naglalarawan kung paano ang isang application ay gumanap nang normal. Ang PREC ay isang tool na maaaring magamit upang maisagawa iyon. Pagkatapos, kapag ang isang gumagamit ay nag-download ng isang nais na application, ang impormasyon ng pagganap (profile ng PREC) ay sumasama sa app, at gagamitin upang basehan ang pag-uugali ng app habang naka-install ito sa Android device.