Τα "έξυπνα' κινητά τηλέφωνα (smartphones) χρησιμοποιούνται σήμερα απο εκατομμύρια χρήστες, ενώ καθημερινά προστίθενται νέες εφαρμογές στα mobile markets. Πρόσφατες μελέτες προσπαθούν να εκτιμήσουν τον αριθμό κακόβουλου λογισμικού στο λειτουργικό σύστημα κινητών συσκευών Android, με αμφιλεγόμενα αποτελέσματα. Δυστυχώς υπάρχει κακόβουλο λογισμικό για Android, το οποίο προσπαθεί είτε να υποκλέψει στοιχεία (π.χ. τις επαφές του χρήστη), είτε να υποκλέψει χρήματα (π.χ. αποστολή sms σε αριθμούς υψηλής χρέωσης), είτε να παρουσιάζει διαφημίσεις επιθετικά στο χρήστη. Η ερευνητική κοινότητα έχει αναγνωρίσει το πρόβλημα και έχει προτείνει τεχνικές στατικής ή δυναμικής ανάλυσης για αναγνώριση κακόβουλου λογισμικού.
Στη συγκεκριμένη μεταπτυχιακή εργασία, παρατηρούμε οτι το Android είναι προσανατολισμένο στις υπηρεσίες, επομένως οι εφαρμογές ανταλλάσσουν μήνυματα μεταξύ τους αλλά και με το σύστημα μέσα απο ένα κανάλι επικοινωνίας ( Interprocess Communication - IPC ). Για παράδειγμα, μια εφαρμογή αποστέλλει ένα SMS κάνοντας μια IPC κλήση στην υπηρεσία τηλεφωνίας του λειτουργικού συστήματος. Εξετάζουμε οτι η συγκεκριμένη κίνηση, η οποία αφορά αποστολή και λήψη μιας συγκεκριμένης εφαρμογής ύπο εξέταση, είναι αρκετή έτσι ώστε να δημιουργηθεί έναι ακριβές προφίλ απο τις ενέργειές της. Δημιουργούμε ένα σύστημα το οποίο παρακολουθεί παθητικά όλη την IPC επικοινωνία και δημιουργεί προφίλ εφαρμογών βασιζόμενο μόνο σε αυτή τη πληροφορία. Έπειτα, αναλύουμε γνωστές κακόβουλες αλλά και νόμιμες εφαρμογές και αποθηκεύουμε το προφίλ τους σε μια βιβλιοθήκη. Τελικά χρησιμοποιούμε τη βιβλιοθήκη για να κατατάξουμε άγνωστο λογισμικό. Το σύστημα μας διακρίνει επιτυχώς νόμιμες εφαρμογές από κακόβουλο λογισμικό με χαμηλά ψευδώς θετικά και ψευδώς αρνητικά ποσοστά. Ο κύριος στόχος της εργασίας είναι να αποτελεί ένα βοηθητικό εργαλείο για την ανάλυση λογισμικού.
(EL)
Smartphones are used by millions of users, while the mobile markets
are being flooded with new software every day. Recent studies attempt to
estimate the amount of illegitimate software for Android { one of the two
most popular mobile architectures { with insufficient results. Unfortunately,
there is Android malware out there, which seeks to compromise or take advantage
of end-users. Malware performs malicious activities, without the
user knowing, such as exfiltrating sensitive information (e.g. the user's address
book) or stealing money (e.g. forcing a mobile phone to call premium
numbers). The research community has identified the threat and has proposed
many static-based techniques for malware identification. While this
is a step forward there are difficulties in handling code obfuscation or native
code embedded in proprietary libraries.
In this work, we observe that Android is service oriented, that is, applications
exchange Interprocess Communication (IPC) messages for accessing
the system's resources. For example, an application sends an SMS by making
an IPC call to the telephony service. We argue that the IPC traffic, which is
sent and received by a particular Android application can be useful enough
for creating an accurate profile of the high-level actions performed by the
under analysis application. We create a system that passively monitors all
IPC activity exports application profiles based solely on that information.
We analyze known malware and legitimate applications, and store their profiles in a library. We finally use the library to classify unknown software.
Our classifier successfully distinguishes legitimate applications from malware
with low false positive and false negative rates. However, we stress that our
main goal in this work is to develop a system that assists the security analyst,
rather than creating a purely unsupervised detector.
Apart from malware identification, our system can be also used for
generic application profiling and data tracking. For example, we can passively
identify premium numbers or address book information in IPC messages.
Finally, we can graphically visualize all collected IPC activity in application
graphlets; graphs depicting how an Android application is communicating
with other applications and services. In this way, our system can be
utilized for discovering colluding applications, which try exfiltrate sensitive
information by evading Android's permission model by permission-sharing
among many collaborating applications.
(EN)
