Xposed를 이용한 안드로이드 악성코드 분석을 위한 API 추출 기법 설계 및 구현에 관한 연구
Design and Implementation of API Extraction Method for Android Malicious Code Analysis Using Xposed
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
최근 지능화된 안드로이드 악성코드는 정적 분석만으로는 악성행위에 대한 탐지가 어려워지고 있다. SO파일, 동적로딩을 이용한 코드 호출 및 문자열 난독화를 적용한 악성코드의 경우 분석을 위해 다양한 툴을 이용하여도 원본코드에 대한 정보 추출이 어렵다. 이 문제를 해결하기 위해서 다양한 동적 분석기법이 있지만, 동적 분석은 루팅 환경이나 에뮬레이터 환경을 요구한다. 그러나 동적 분석의 경우 악성코드들이 루팅 및 에뮬레이터 탐지를 실시하여분석 환경을 탐지 하고 있다. 본 논문은 이를 해결하고자 다양한 루팅 탐지 기법을 조사하여 실단말에서 루팅탐지우회 환경을 구축하였다. 또한, Xposed를 이용하여 안드로이드 악성코드 분석을 위한 SDK 코드 후킹 모듈을 설계하였고, 코드 흐름을 위한 인텐트 추적, 동적 로딩 파일에 대한 정보, 다양한 API 정보 추출을 구현하였다. 이를 통해 악성코드의 난독화 된 정보 및 다양한 악성 행위 정보를 분석하고자 한다.
Abstract
Recently, intelligent Android malicious codes have become difficult to detect malicious behavior by static analysis alone. Malicious code with SO file, dynamic loading, and string obfuscation are difficult to extract information about original codeeven with various tools for static analysis. There are many dynamic analysis methods to solve this problem, but dynamicanalysis requires rooting or emulator environment. However, in the case of dynamic analysis, malicious code performs therooting and the emulator detection to bypass the analysis environment. To solve this problem, this paper investigates avariety of root detection schemes and builds an environment for bypassing the rooting detection in real devices. In addition,SDK code hooking module for Android malicious code analysis is designed using Xposed, and intent tracking for code flow,dynamic loading file information, and various API information extraction are implemented. This work will contribute to theanalysis of obfuscated information and behavior of Android Malware.
참고문헌 (15)
- "Mobile trends in 2015”" (2018)[URL]
- "Smartphone Vendor Market Share" (2018)[URL]
- "mcafee threat report" (2018)[URL]
- "xposed tools" (2018)[URL]
- Alaa Salman, "Mobile malware exposed", Computer Systems and Applications (AICCSA), 2014IEEE, 2014, 253~258
- Sun San-Tsai, "Android rooting:methods, detection, and evasion", Proceedings of the 5th Annual ACM CCS Workshop on Security and Privacy in Smartphones and Mobile Devices, pp.3~14 (2015)
- Xu Ke, "ICCDetector : ICC-based malware detection on Android", IEEE Transactions on Information Forensics and Security, 11(6), pp.1252~1264 (2016)
- Sebastian Poeplau, "Execute This! Analyzing Unsafe and Malicious Dynamic Code Loading in Android Applications", NDSS, 14, pp.23~26 (2014)
- Rasthofer, "Harvesting Runtime Values in Android Applications That Feature Anti-Analysis Techniques", NDSS, pp.1~15 (2016)
- "bluestack emulator" (2018)[URL]
- "Genymotion, genymotion download"[URL]
- "Managing AVDs with AVD Manager" (2018)[URL]
- "Android Developers, android developer" (2018)[URL]
- "Xposed Module Repository, xposed module" (2018)[URL]
- "Xposed RootCloak, xposed root cloak" (2019)[URL]