Luận văn: Xây dựng hệ thống phát hiện mã độc trên di động - Nguyễn Văn Lực

Luận văn thạc sĩ xây dựng hệ thống phát hiện mã độc trên Android, áp dụng học máy SVM để phân tích và phân loại tệp tin APK, bảo vệ thiết bị di động.

• Tác giả: Nguyễn Văn Lực
• Người hướng dẫn: PGS. TS Nguyễn Linh Giang
• Trường học: Trường Đại Học Bách Khoa Hà Nội
• Chuyên ngành: Kỹ Thuật Máy Tính
• Đề tài: Xây Dựng Hệ Thống Phát Hiện Mã Độc Trên Di Động Bằng SVM
• Loại tài liệu: Luận văn thạc sĩ
• Năm xuất bản: 2017
• Địa điểm: Hà Nội

Tóm tắt

I. Tổng Quan Về Mã Độc Trên Nền Tảng Android

Mã độc Android đã trở thành một trong những mối đe dọa bảo mật lớn nhất trong thế giới di động. Hệ điều hành Android, với hơn 3 tỷ người dùng trên toàn thế giới, là mục tiêu chính của các nhà tấn công. Phát hiện mã độc hiệu quả đòi hỏi sự hiểu biết sâu sắc về kiến trúc Android, cấu trúc ứng dụng APK và các kỹ thuật tấn công phổ biến. Các loại mã độc trên Android bao gồm trojan, ransomware, spyware và malware ẩn (rootkit). Việc xây dựng hệ thống phát hiện mã độc sử dụng các công nghệ tiên tiến như học máy SVM (Support Vector Machine) giúp cải thiện độ chính xác và tốc độ phát hiện. Luận văn này tập trung vào việc phát triển một giải pháp bảo mật hiệu quả thông qua kỹ thuật phân tích tĩnh và ứng dụng SVM vào phát hiện mã độc trên các thiết bị di động.

1.1. Kiến Trúc Hệ Điều Hành Android

Hệ điều hành Android được xây dựng trên nền Linux kernel, bao gồm các lớp: kernel, thư viện native, Android Runtime và framework ứng dụng. Mỗi ứng dụng APK chạy trong một quy trình riêng biệt với quyền hạn giới hạn, tạo ra một lớp bảo mật sandbox. Hiểu rõ kiến trúc này giúp phát hiện mã độc bằng cách phân tích các quyền truy cập bất thường và hành vi vi phạm chính sách bảo mật.

1.2. Các Loại Mã Độc Android Phổ Biến

Các loại mã độc trên Android bao gồm: Trojan ngân hàng, ransomware mã hóa dữ liệu, spyware theo dõi người dùng, và adware hiển thị quảng cáo. Mỗi loại có đặc điểm riêng biệt có thể được phát hiện bằng SVM thông qua phân tích các đặc trưng hành vi và quyền truy cập trong mã APK.

II. Ứng Dụng Học Máy Véc Tơ Hỗ Trợ SVM Trong Phát Hiện Mã Độc

Support Vector Machine (SVM) là một thuật toán học máy mạnh mẽ được ứng dụng rộng rãi trong phân loại nhị phân, đặc biệt là trong phát hiện mã độc. SVM hoạt động bằng cách tìm một siêu phẳng tối ưu để phân tách dữ liệu thành hai lớp: ứng dụng lành tính và ứng dụng độc hại. Thuật toán này có khả năng xử lý dữ liệu cao chiều và hoạt động hiệu quả với các tập dữ liệu mã độc Android. Việc sử dụng SVM để phát hiện mã độc cho phép hệ thống đạt độ chính xác cao (trên 95%) trong các thử nghiệm thực tế. Mô hình SVM có thể sử dụng các kernel khác nhau như linear, RBF (Radial Basis Function) và Polynomial để tăng hiệu suất phân loại trên các tập dữ liệu phức tạp.

2.1. Nguyên Lý Hoạt Động Của SVM

SVM tìm kiếm siêu phẳng tối ưu với lề cực đại để phân tách hai lớp dữ liệu. Các support vector là những điểm dữ liệu gần nhất với siêu phẳng quyết định. Hàm kernel trong SVM cho phép ánh xạ dữ liệu vào không gian chiều cao hơn, giúp phát hiện mã độc chính xác hơn bằng cách tìm ra các mẫu phức tạp.

2.2. Quá Trình Phân Loại APK Sử Dụng SVM

Quá trình phân loại APK bao gồm ba bước: trích chọn đặc trưng từ tệp APK, xây dựng véc tơ đặc trưng, và sử dụng mô hình SVM đã huấn luyện để phân loại. Các đặc trưng bao gồm quyền truy cập, API độc hại, và chuỗi ký tự nghi vấn giúp SVM đạt độ chính xác cao trong phát hiện mã độc Android.

III. Xây Dựng Ứng Dụng Phát Hiện Mã Độc DroidGuard

Ứng dụng DroidGuard là một hệ thống phát hiện mã độc toàn diện được xây dựng dựa trên công nghệ SVM. Ứng dụng này gồm hai thành phần chính: apkClassifier để phân loại ứng dụng APK và DroidGuard cung cấp giao diện người dùng thân thiện. Hệ thống sử dụng kỹ thuật phân tích tĩnh để kiểm tra mã mà không cần thực thi, giảm rủi ro và tăng tốc độ phát hiện. Ứng dụng được phát triển trong môi trường Android Studio với các thư viện mã nguồn mở như androguard để phân tích APK. DroidGuard có khả năng quét mã độc trong thời gian thực và cung cấp báo cáo chi tiết về các mối đe dọa được phát hiện, giúp người dùng bảo vệ thiết bị di động của họ.

3.1. Kiến Trúc Và Thành Phần Hệ Thống

Ứng dụng DroidGuard bao gồm các modul: phân tích APK, trích chọn đặc trưng, phân loại SVM, quét runtime detection, và báo cáo. Mô-đun phân tích tĩnh kiểm tra quyền, API, và chuỗi trong tệp APK để xây dựng véc tơ đặc trưng. Mô hình SVM huấn luyện trước từ dataset mã độc Android giúp phát hiện mã độc với độ chính xác cao.

3.2. Các Giao Diện Và Tính Năng Chính

DroidGuard cung cấp giao diện người dùng đơn giản với tính năng quét ứng dụng, xem báo cáo chi tiết, và cài đặt quét định kỳ. Người dùng có thể quét mã độc trên các ứng dụng APK đã cài đặt hoặc tệp APK mới. Hệ thống hiển thị kết quả phân loại và các đặc trưng nguy hiểm được phát hiện, giúp người dùng đưa ra quyết định bảo mật.

IV. Kết Quả Thử Nghiệm Và Đánh Giá Hiệu Suất

Kết quả thử nghiệm ứng dụng DroidGuard cho thấy hiệu suất ấn tượng với độ chính xác đạt 95.6% khi sử dụng kernel RBF trong SVM. Mô hình tuyến tính đạt độ chính xác 93.2%, trong khi kernel Polynomial đạt 94.8%. Hệ thống được thử nghiệm trên một dataset gồm 5.000 ứng dụng Android, bao gồm cả ứng dụng lành tính và mã độc. Thời gian quét trung bình cho mỗi ứng dụng là 2-3 giây, thích hợp cho sử dụng thực tế. Đánh giá cho thấy ứng dụng có khả năng phát hiện hầu hết các loại mã độc phổ biến trên nền tảng Android. Tỷ lệ false positive (báo động giả) được giữ ở mức thấp (4.4%), đảm bảo trải nghiệm người dùng tốt và tránh quá cảnh báo.

4.1. Độ Chính Xác Của Các Mô Hình SVM

Thử nghiệm ba kernel SVM khác nhau cho thấy kernel RBF cho kết quả tốt nhất với độ chính xác 95.6%. Nhân Polynomial đạt 94.8% và kernel tuyến tính đạt 93.2%. Độ chính xác cao này cho phép hệ thống phát hiện mã độc hiệu quả hơn các phương pháp truyền thống.

4.2. Đánh Giá Và Triển Khai Thực Tế

Ứng dụng DroidGuard hứa hẹn được áp dụng vào các hệ thống bảo mật Android trong tương lai. Kết quả cho thấy phương pháp SVM hiệu quả trong phát hiện mã độc di động. Hướng phát triển tiếp theo bao gồm tích hợp phân tích động và machine learning tiên tiến hơn để nâng cao độ chính xác.

Trích đoạn nội dung tài liệu

BỘ GIÁO DỤC VÀ ĐÀO TẠO - TRUONG DAI HOC BACH KHOA HA NOL NGUYEN VAN LUC XÂY DỰNG HE THÓNG PHÁT HIỆN MÃ DOC TREN DL DONG Chuyên ngành - Kỹ Thuật Máy Tính LUẬN VĂN THẠC SĨ KỸ THUẬT KỸ THUẬT MÁY TỈNH NGƯỜI HƯỚNG DẪN KHOA HỌC : PGS. T8 Nguyễn Linh Giang TIả Nội — Năm 2017 Xây Dựng Hệ Thắng Phát Hiện Mã Đậc Trên Di Động MỤC LỤC LOI CAM GN 3 LOI CAM BOAN. 4 DANH MỤC THUẬT NGỮ, TU VIET TAT. 5 TDANH MUC CAC RANG SU DUNG 6 DANH MUC CAC HINH Vi SU DUNG.

TONG QUAN MÃ ĐỘC TRÉN ANDROID. Kiến trúe hệ điểu hành Android The wold 1. So lược lịch sử hệ điển hành Android. Các thành phân trong hệ điều hành Android.

Ứng dụng APK trên Android 19 1.1, Cau wie tép tin APK 19 1. Quân lý truy cập và an ninh trên Android kh 13. Mã độc trên hệ ảnh Android 28 1. Các loại mã độc trên Android 8 1.

Các kỹ thuật phát hiện mố độc trên Android 29 CHUONG I. UNG DUNG SVM VÀO PHÁT HIỆN MÃ ĐỘC ANDROID. Tim hiểu về học máy véc tơ hỗ trợ SVM.1, Hải toán phân loại hải lớp SVM.2, Quả trình phân loại sử dụng SVM. 36 Phát hiện mã độc Android sứ dụng SVM.

Đặc ưrưng vả trích chọn đặc trưng.2, Xây dụng véc tơ đặc trung 40 CHUONG IL XAY DUNG UNG DỤNG PHÁT HIỆN MÃ ĐỘC TRÊN ANDROID -. Mô bình ứng dụng phân loại APK. Phân tích và thiếtkê. Phân tích vả thiết kể cầu trúc lớp dữ liệu - 45 3.

Phân tích và thiêt kế chức năng - - - 47 3. Xây dựng ứng dụng phát hiệu mã độc DroidGiuard. Môi trường và công cụ phái triển. - - 35 Xây Dựng Hệ Thắng Phát Hiện Mã Đậc Trên Di Động 3.2, Các giao diện màn hinh DroidGuard.

Cài đặt và thứ nghiệm. Dánh giá kết quả - 3. Ung đụng phân loại apkClassifer 3. Ứng đụng DroidGuard KẾT LUẬN VÀ HƯỚNG PHÁT TRIÊN.

TAI LIBU THAM KHẢO THỤ LỤC 1. Mô hình phản loại tuyến tính (e ~ 0. co seeeeerrre 2 M6 hinh phan loai RBF (g 003125,c 8) 3. Mô hình phản loại Polynomial (g= 0.

«cac Xây Dựng Hệ Thống Phát Hiện Mã Độc Trên Di Động LỜI CAM ĐOAN Dé tai luận văn “Xây dựng hệ thống phát hiện mã độc trên di động” được thực hiện dưới sự hưởng dân của PGS. TS Nguyễn Linh Giang, nghiên cứu vẻ giải pháp phát hiện mã độc mới: áp dụng học máy véc tơ SVM vảo việc phát hiện mã độc trên các thiết bị đi động chạy hệ điều hành Android. Ứng dụng phát hiện mã độc sử dụng, học máy SVM được xây dựng dựa trên các kiến thức tìm hiểu vẻ học máy SVM kết hợp với kỹ thuật phân tích tĩnh các tệp tin APK. Ứng dụng được thử nghiệm và đánh giả kết qua dat được khả quan, hứa hẹn áp dụng vào cae phan mém, hé thong phat hiện mã độc trên Android nỏi riêng vả các hệ thông nỏi chung.

Tôi xin cam đoan đây là công trình nghiên cứu, phát triển của bản thân dựa trên các kiến thức vẻ mã độc, hệ điều hành Android, và học máy véc tơ SVM cũng như các công cụ, thư viện mã nguồn mở hợp pháp, các tải liệu tham khảo và nội dung trích dân được ghi rõ nguồn gốc rõ ràng, không sao chép toàn văn nội dung luận văn của bất kỳ cá nhân, tổ chức nào khác Hà Nội, Ngày 22 tháng 05 năm 2017 Tác giả Nguyễn Văn Lực Xây Dựng Hệ Thắng Phat Hid Mã Đặc Trên Di Động DANH MUC CAC BANG ST DUNG Bang I-1. Phân bê các thiết bị theo phién ban Android? Bang I-2. Minh họa kiểu lưu trữ LEB128. Cac permission có mức độ nguy hiền.

áng IU-1, Mô tả ca sử dụng TTaiBiDB,. cài ninh neo Bang T11-2. Mô tả ca sit dung Scarming - Tảng II-3. Mô tả ca sử đụng RunttrneDetection.

Mô tả ca sử dụng File 8eanning,.ex ảng IH-5. Mé6 tA ca sit dung Classifying - Bang 1-6. Mé 18 ca sit dung Reporting. Các tham số xây dụng mô hình phân loại Bang 1-8.

Két qua thử nghiệm apkClasaifier với mô hình tuyến tỉnh. Kết quả thử nghiệm apkClassifier với whan RBF. Két qua that nghiém apkClassifier voi nhan Polynomial, Xây Dựng Hệ Thắng Phat Hid Mã Đặc Trên Di Động DANH MUC CAC BANG ST DUNG Bang I-1. Phân bê các thiết bị theo phién ban Android? Bang I-2.

Minh họa kiểu lưu trữ LEB128. Cac permission có mức độ nguy hiền. áng IU-1, Mô tả ca sử dụng TTaiBiDB,. cài ninh neo Bang T11-2.

Mô tả ca sit dung Scarming - Tảng II-3. Mô tả ca sử đụng RunttrneDetection. Mô tả ca sử dụng File 8eanning,.ex ảng IH-5. Mé6 tA ca sit dung Classifying - Bang 1-6.

Mé 18 ca sit dung Reporting. Các tham số xây dụng mô hình phân loại Bang 1-8. Két qua thử nghiệm apkClasaifier với mô hình tuyến tỉnh. Kết quả thử nghiệm apkClassifier với whan RBF.

Két qua that nghiém apkClassifier voi nhan Polynomial, Xây Dựng Hệ Thắng Phat Hid Mã Đặc Trên Di Động DANH MUC CAC BANG ST DUNG Bang I-1. Phân bê các thiết bị theo phién ban Android? Bang I-2. Minh họa kiểu lưu trữ LEB128. Cac permission có mức độ nguy hiền.

áng IU-1, Mô tả ca sử dụng TTaiBiDB,. cài ninh neo Bang T11-2. Mô tả ca sit dung Scarming - Tảng II-3. Mô tả ca sử đụng RunttrneDetection.

Mô tả ca sử dụng File 8eanning,.ex ảng IH-5. Mé6 tA ca sit dung Classifying - Bang 1-6. Mé 18 ca sit dung Reporting. Các tham số xây dụng mô hình phân loại Bang 1-8.

Két qua thử nghiệm apkClasaifier với mô hình tuyến tỉnh. Kết quả thử nghiệm apkClassifier với whan RBF. Két qua that nghiém apkClassifier voi nhan Polynomial, Xây Dựng Hệ Thắng Phat Hid Mã Đặc Trên Di Động DANH MUC CAC BANG ST DUNG Bang I-1. Phân bê các thiết bị theo phién ban Android? Bang I-2.

Minh họa kiểu lưu trữ LEB128. Cac permission có mức độ nguy hiền. áng IU-1, Mô tả ca sử dụng TTaiBiDB,. cài ninh neo Bang T11-2.

Mô tả ca sit dung Scarming - Tảng II-3. Mô tả ca sử đụng RunttrneDetection. Mô tả ca sử dụng File 8eanning,.ex ảng IH-5. Mé6 tA ca sit dung Classifying - Bang 1-6.

Mé 18 ca sit dung Reporting. Các tham số xây dụng mô hình phân loại Bang 1-8. Két qua thử nghiệm apkClasaifier với mô hình tuyến tỉnh. Kết quả thử nghiệm apkClassifier với whan RBF.

Két qua that nghiém apkClassifier voi nhan Polynomial, Xây Dựng Hệ Thắng Phát Hiện Mã Đậc Trên Di Động và phát hiện truyền thông trên mỏi trường PC. Chỉnh vì vậy, các ứng dụng này thưởng †ỏ ra kém hiệu quả. Hiên nay, công nghệ AI nói chung và học máy nởi riêng dang dược nghiên cứu, phát triển và áp dụng vào nhiều lĩnh vực một cách hiệu quả. Các nghiên cứu về phát hiện mã độc sử đụng SVM trên Android được đưa ra rất nhiêu nhưng có sự khác nhau về các yéu (6 dc inmg và hiệu quả phát hiện.

Đa phần, các nghiên cứu này chỉ dùng, lại ở việc thử nghiệm trên mỗi trường MatLab va PC Chính vì thê, tôi quyết định thực hiện luận văn với đẻ tài “Xây đựng hệ thống phát hiện mã độbe trên đi động”, tôi muốn mô rộng các nghiên củu trước đồ và hiện thực hóa các nghiên cứu về áp dụng học máy vào phân tích ma độc trên đi động, đồng thời xây đựng một ứng dụng đi động trên Android để phát hiện các mối nguy hại đổi với ngudi ding smartphone. Lịch sứ nghiên cửu Một ð nghiên cứu nổi trội áp dụng học máy véc lơ hỗ trợ SVM vào việc phải hiện mã độc Android như các nghiên cứu của Daniel Aip!, Naser Peiravian®, H. Alain Pimentel’ du duoc đăng trên các tạp chí uy tín. Các nghiên cứu này chủ yếu thực hiện trên môi trường thử nghiệm MiafLab để đánh giá kết quả.

Trang đẻ, chỉ Damiel Arp da xây dựng thành công img dụng phát hiện mã độc di dộng Drebin, nhưng Drebin lại không được cung cấp tới người dùng. Hiên tại, trong quá trình làm việc tại công ty VSEC, tôi đã được nhận được rất nhiều yêu cầu giúp đỡ về việc phần tích các mẫu mã độc trên Android. Đồng thời, xuất tiện nhu cầu xây đựng một môi trrờng phân tích mã độc cho phép người dùng chia sé, thực hiện phân lích trên nên tăng Web nhắm hướng tới sự hỗ trợ cho công đồng, Với các kiến thức về học máy véc tơ tôi đã tìm hiểu và được chỉ dạy, hưởng dần bởi PŒS.TS Nguyễn Linh Giang, cùng với nên tảng là các cáo nghiên cứu đã được xuất bản trên quốc lế. Tôi quyết định thực hiện nghiên cứu vẻ việc áp dụng hoe may vée by cho phát hiện mã dộc trên di dộng.

Đây chính lá các nên tăng, cơ sở khoa học cho phép tôi thực hiện luận văn. Xây Dựng Hệ Thắng Phát Hiện Mã Đậc Trên Di Động và phát hiện truyền thông trên mỏi trường PC. Chỉnh vì vậy, các ứng dụng này thưởng †ỏ ra kém hiệu quả. Hiên nay, công nghệ AI nói chung và học máy nởi riêng dang dược nghiên cứu, phát triển và áp dụng vào nhiều lĩnh vực một cách hiệu quả.

Các nghiên cứu về phát hiện mã độc sử đụng SVM trên Android được đưa ra rất nhiêu nhưng có sự khác nhau về các yéu (6 dc inmg và hiệu quả phát hiện. Đa phần, các nghiên cứu này chỉ dùng, lại ở việc thử nghiệm trên mỗi trường MatLab va PC Chính vì thê, tôi quyết định thực hiện luận văn với đẻ tài “Xây đựng hệ thống phát hiện mã độbe trên đi động”, tôi muốn mô rộng các nghiên củu trước đồ và hiện thực hóa các nghiên cứu về áp dụng học máy vào phân tích ma độc trên đi động, đồng thời xây đựng một ứng dụng đi động trên Android để phát hiện các mối nguy hại đổi với ngudi ding smartphone. Lịch sứ nghiên cửu Một ð nghiên cứu nổi trội áp dụng học máy véc lơ hỗ trợ SVM vào việc phải hiện mã độc Android như các nghiên cứu của Daniel Aip!, Naser Peiravian®, H. Alain Pimentel’ du duoc đăng trên các tạp chí uy tín.

Các nghiên cứu này chủ yếu thực hiện trên môi trường thử nghiệm MiafLab để đánh giá kết quả. Trang đẻ, chỉ Damiel Arp da xây dựng thành công img dụng phát hiện mã độc di dộng Drebin, nhưng Drebin lại không được cung cấp tới người dùng. Hiên tại, trong quá trình làm việc tại công ty VSEC, tôi đã được nhận được rất nhiều yêu cầu giúp đỡ về việc phần tích các mẫu mã độc trên Android. Đồng thời, xuất tiện nhu cầu xây đựng một môi trrờng phân tích mã độc cho phép người dùng chia sé, thực hiện phân lích trên nên tăng Web nhắm hướng tới sự hỗ trợ cho công đồng, Với các kiến thức về học máy véc tơ tôi đã tìm hiểu và được chỉ dạy, hưởng dần bởi PŒS.