Nghiên Cứu Về Phát Hiện Mã Độc Android Sử Dụng Học Sâu Đa Phương Thức

Khóa luận tốt nghiệp nghiên cứu tốt nghiệp an toàn thông tin một nghiên cứu trong việc phát hiện mã độc android dựa trên mô hình, vận dụng lý thuyết vào thực tế, đề xuất giải pháp

• Tác giả: Lưu Nguyễn Công Minh
• Người hướng dẫn: TS. Nguyễn Tấn Cầm
• Trường học: Đại học Quốc gia TP. Hồ Chí Minh
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Nghiên Cứu Phát Hiện Mã Độc Android Bằng Học Sâu Đa Phương Thức
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2024
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TONG QUAN DE TÀI
• 1.1. Lý do chọn đề tài
• 1.2. Đối tượng nghiên cứu
• 1.3. Phương pháp thực hiện
• 1.4. Cấu trúc khoá luận
• 2. CHƯƠNG 2: TONG QUAN TINH HÌNH NGHIÊN CỨU
• 2.1. Tình hình nghiên cứu và các công trình liên quan
• 2.2. Định hướng nghiên cứu sử dụng kết hợp đa phương thức đầu vào, đặc trưng Dalvik Opcode, API Package và System Commands
• 2.3. Định hướng nghiên cứu sử dụng kết hợp và phối mô hình học sâu CNN và FFNN cho các đặc trưng khác nhau
• 3. CHƯƠNG 3: CƠ SỞ LÝ THUYẾT
• 3.1. Tổng quan về hệ điều hành Android
• 3.2. Khái niệm hệ điều hành Android
• 3.3. Kiến trúc hệ điều hành Android
• 3.4. Tổng quan về mã độc
• 3.5. Khái niệm mã độc
• 3.6. Phân loại các loại mã độc
• 3.7. Kỹ thuật phân tích mã độc Android
• 3.7.1. Phân tích động
• 3.7.2. Phân tích tĩnh
• 3.8. Các đặc trưng thường được sử dụng khi phân tích mã độc Android
• 4. CHƯƠNG 4: PHƯƠNG PHÁP THỰC HIỆN
• 4.1. Chọn lọc và xây dựng quá trình xử lí dữ liệu đặc trưng Dalvik bytecode
• 4.2. Thu thập dữ liệu
• 4.3. Xử lý dữ liệu và trích xuất các đặc trưng
• 4.4. Trích xuất và xử lý Dalvik Opcode
• 4.5. Trích xuất và xử lý đặc trưng System Command và API Package
• 4.6. Xây dựng thành phần dựa trên Dalvik Opcode — mô hình học sâu CNN
• 4.7. Xây dựng thành phần dựa trên System Command, API Package — mô hình học sâu FFNN
• 4.8. Xây dựng và huấn luyện mô hình học sâu phối kết hợp hai mô hình
• 5. CHƯƠNG 5: KẾT QUẢ THỰC NGHIỆM
• 5.1. Phương pháp đánh giá
• 5.2. Chỉ số mất mát (LOSS)
• 5.3. Chỉ số chính xác (ACCURACY)
• 5.4. Môi trường thực nghiệm
• 5.5. Hiệu năng của mô hình CNN
• 5.6. Hiệu năng của mô hình FFNN
• 5.7. Hiệu năng của mô hình phối bởi 2 mô hình học sâu trên
• 6. CHƯƠNG 6: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• DANH MỤC HÌNH ẢNH
• DANH MỤC BẢNG BIỂU
• DANH MỤC TỪ VIẾT TẮT
• TÓM TẮT KHÓA LUẬN

Tóm tắt

I. Tổng Quan Về Nghiên Cứu Phát Hiện Mã Độc Android

Nghiên cứu phát hiện mã độc Android đang trở thành một lĩnh vực quan trọng trong an ninh mạng. Với sự gia tăng nhanh chóng của các ứng dụng độc hại, việc phát hiện và ngăn chặn mã độc trở nên cấp thiết hơn bao giờ hết. Nghiên cứu này tập trung vào việc áp dụng học sâu đa phương thức để phát hiện mã độc, nhằm nâng cao hiệu quả và độ chính xác trong việc bảo vệ người dùng.

1.1. Tình Hình Hiện Tại Về Mã Độc Android

Mã độc Android đang gia tăng với tốc độ đáng báo động. Theo báo cáo của AV-TEST, có tới 105,000 mã độc mới được phát hiện trong năm 2023. Điều này cho thấy sự cần thiết phải có các phương pháp phát hiện hiệu quả hơn.

1.2. Tầm Quan Trọng Của Học Sâu Trong Phát Hiện Mã Độc

Học sâu đã chứng minh được khả năng vượt trội trong việc phân tích và phát hiện mã độc. Các mô hình học sâu có thể học từ dữ liệu lớn và phát hiện các mẫu phức tạp mà các phương pháp truyền thống không thể làm được.

II. Vấn Đề Và Thách Thức Trong Phát Hiện Mã Độc Android

Mặc dù có nhiều tiến bộ trong công nghệ phát hiện mã độc, nhưng vẫn tồn tại nhiều thách thức. Các kẻ tấn công ngày càng tinh vi hơn, sử dụng các kỹ thuật mã hóa và làm rối mã để tránh bị phát hiện. Điều này đặt ra yêu cầu cao hơn cho các hệ thống phát hiện mã độc.

2.1. Các Kỹ Thuật Tấn Công Mới

Các kỹ thuật tấn công mới như mã hóa và làm rối mã đã khiến cho việc phát hiện mã độc trở nên khó khăn hơn. Các ứng dụng độc hại ngày càng tinh vi, yêu cầu các phương pháp phát hiện phải liên tục được cập nhật.

2.2. Hạn Chế Của Các Phương Pháp Truyền Thống

Các phương pháp phát hiện mã độc truyền thống thường dựa vào phân tích tĩnh hoặc động, nhưng chúng có nhiều hạn chế. Phân tích tĩnh không thể phát hiện mã độc đã được làm rối, trong khi phân tích động tốn kém về tài nguyên.

III. Phương Pháp Học Sâu Đa Phương Thức Trong Phát Hiện Mã Độc

Nghiên cứu này đề xuất một phương pháp phát hiện mã độc Android dựa trên mô hình học sâu đa phương thức. Phương pháp này kết hợp nhiều đặc trưng khác nhau từ mã nguồn và hành vi của ứng dụng để nâng cao độ chính xác trong việc phát hiện mã độc.

3.1. Kết Hợp Các Đặc Trưng Quan Trọng

Phương pháp này sử dụng ba loại đặc trưng chính: Opcode, System Command và API Package. Việc kết hợp này giúp khai thác tối đa thông tin từ mã độc, từ đó nâng cao khả năng phát hiện.

3.2. Mô Hình Học Sâu CNN Và FFNN

Mô hình học sâu CNN được sử dụng để phân tích chuỗi Opcode, trong khi FFNN được huấn luyện trên chuỗi tần suất sử dụng của các System Command và API Package. Sự kết hợp này giúp cải thiện hiệu suất phát hiện mã độc.

IV. Ứng Dụng Thực Tiễn Của Nghiên Cứu Phát Hiện Mã Độc

Nghiên cứu này không chỉ đóng góp vào lý thuyết mà còn có ứng dụng thực tiễn trong việc phát hiện mã độc Android. Các mô hình được phát triển có thể được áp dụng trong các hệ thống bảo mật để bảo vệ người dùng khỏi các mối đe dọa từ mã độc.

4.1. Kết Quả Thực Nghiệm

Kết quả thực nghiệm cho thấy mô hình học sâu đa phương thức đạt được độ chính xác cao trong việc phát hiện mã độc. Điều này chứng tỏ tính khả thi của phương pháp trong môi trường thực tế.

4.2. Ứng Dụng Trong Các Hệ Thống Bảo Mật

Các mô hình phát hiện mã độc có thể được tích hợp vào các hệ thống bảo mật hiện có, giúp nâng cao khả năng bảo vệ người dùng trước các mối đe dọa từ mã độc.

V. Kết Luận Và Hướng Phát Triển Tương Lai

Nghiên cứu này đã chỉ ra rằng việc áp dụng học sâu đa phương thức có thể nâng cao hiệu quả phát hiện mã độc Android. Tuy nhiên, cần tiếp tục nghiên cứu và phát triển để đối phó với các kỹ thuật tấn công ngày càng tinh vi.

5.1. Đề Xuất Hướng Nghiên Cứu Mới

Cần nghiên cứu thêm về các phương pháp kết hợp khác nhau để tối ưu hóa hiệu suất phát hiện mã độc. Việc áp dụng các công nghệ mới như trí tuệ nhân tạo có thể mở ra nhiều cơ hội mới.

5.2. Tương Lai Của An Ninh Mạng

Với sự phát triển không ngừng của công nghệ, an ninh mạng sẽ tiếp tục là một lĩnh vực quan trọng. Các nghiên cứu trong tương lai cần tập trung vào việc phát triển các giải pháp bảo mật hiệu quả hơn.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Sự bùng nổ của các thiết bị di động thông minh chạy hệ điều hành Android đã mang lại nhiều tiện ích cho người dùng, nhưng đồng thời cũng biến nền tảng này thành mục tiêu tấn công hàng đầu của các loại mã độc. Nhờ tính chất mã nguồn mở và cơ chế cho phép cài đặt ứng dụng từ các nguồn cung cấp bên thứ ba thông qua tệp tin đóng gói APK (Android Package), số lượng và mức độ tinh vi của các phần mềm độc hại ngày càng gia tăng.

Theo báo cáo thống kê AV-ATLAS từ Viện nghiên cứu an toàn thông tin AV-TEST (Đức), trong giai đoạn từ cuối năm 2022 đến cuối năm 2023, trung bình có khoảng 105.000 mã độc tấn công nhắm vào hệ điều hành Android được ghi nhận, trong đó xấp xỉ 90% tồn tại dưới dạng tệp tin nén APK. Tại Việt Nam, số liệu thống kê năm 2023 từ Đài Truyền hình Việt Nam ghi nhận hơn 6.062.715 thiết bị bị nhiễm mã độc và hơn 740.000 tài khoản ngân hàng, mạng xã hội bị đánh cắp, gây tổng thiệt hại ước tính hơn 17.000 tỷ đồng. Ngoài ra, các cuộc tấn công mã độc quy mô lớn trong lịch sử như WannaCry năm 2017 từng lây nhiễm hơn 200.000 máy tính tại hơn 150 quốc gia với thiệt hại vượt mức 4 tỷ USD, cho thấy mức độ nguy hiểm của các hiểm họa an ninh mạng.

Trước thực trạng đó, các phương pháp phát hiện mã độc truyền thống bộc lộ nhiều hạn chế:

• Phương pháp phân tích động: Mặc dù cho phép theo dõi trực tiếp hành vi thực thi của ứng dụng trong môi trường cô lập để đối phó với kỹ thuật làm rối mã (obfuscation), phương pháp này đòi hỏi chi phí tính toán lớn, tiêu tốn nhiều thời gian và tài nguyên hệ thống.
• Phương pháp phân tích tĩnh truyền thống: Thường chỉ dựa trên việc phân tích một khía cạnh đặc trưng đơn lẻ (như quyền hạn - Permission, hoặc lời gọi hàm - API call) hoặc áp dụng các mô hình học máy đơn giản, dẫn đến việc bỏ sót các mối quan hệ ngữ cảnh và đặc tính phức tạp ẩn giấu trong mã nguồn khi các biến thể mã độc thay đổi cấu trúc.

Để giải quyết các thách thức trên, khóa luận xác định các mục tiêu và phạm vi nghiên cứu cụ thể:

• Mục tiêu nghiên cứu:

  1. Nghiên cứu, thiết kế và xây dựng hệ thống ứng dụng mô hình học sâu đa phương thức (Multimodal Deep Learning) nhằm phát hiện và phân loại các tệp tin APK Android.
  2. Đánh giá hiệu năng nhận diện mã độc khi kết hợp đồng thời các đặc trưng cú pháp mã nguồn và đặc trưng hành vi tương tác hệ thống.

• Đối tượng nghiên cứu:

  1. Phương pháp xử lý dữ liệu đặc trưng từ tệp tin APK.
  2. Các mô hình học sâu mạng nơ-ron tích chập (Convolutional Neural Network - CNN) và mạng nơ-ron chuyển tiếp (Feed-Forward Neural Network - FFNN).
  3. Phương pháp phối hợp (fusion) các mô hình học sâu đa phương thức.

• Phạm vi nghiên cứu:

  • Về mặt kỹ thuật: Tập trung vào chiến thuật phân tích tĩnh, trích xuất ba loại đặc trưng gồm Dalvik Opcode (mã lệnh máy ảo Dalvik), Gói tài nguyên API (API Package) và Lệnh hệ thống (System Command).
  • Về mặt dữ liệu: Sử dụng tập dữ liệu công khai CICMalDroid-2020 của Viện An ninh mạng Canada (CIC), trích xuất mẫu thuộc 3 danh mục: Mã độc quảng cáo (Adware), Mã độc tin nhắn (SMS) và Ứng dụng lành tính (Benign).

---

Cơ sở lý thuyết và phương pháp

Khóa luận thiết lập nền tảng dựa trên kiến trúc hệ thống Android, các kỹ thuật phân tích mã độc tĩnh và các kỹ thuật học sâu đa phương thức.

Khung kiến trúc và các khái niệm nền tảng

Hệ điều hành Android được xây dựng trên nền tảng Linux Kernel và phân chia thành 6 tầng kiến trúc chính:

1. Tầng Linux Kernel: Quản lý phần cứng, bộ nhớ, tiến trình và hệ thống trình điều khiển (Driver).
2. Tầng Hardware Abstraction Layer (HAL): Cung cấp các giao diện tiêu chuẩn kết nối giữa phần cứng và các tầng phần mềm cấp cao.
3. Tầng Android Runtime (ART / DVM): Quản lý và thực thi Bytecode của ứng dụng. Máy ảo Dalvik (DVM) sử dụng cơ chế biên dịch Just-In-Time (JIT), trong khi Android Runtime (ART) từ Android 5.0 trở đi sử dụng cơ chế Ahead-Of-Time (AOT) để chuyển đổi Bytecode thành mã máy gốc.
4. Tầng Thư viện C/C++ (Native C/C++ Libraries): Tập hợp các thư viện hệ thống như libc, libm, libz, OpenGL ES, OpenSL ES, SSL.
5. Tầng Java API Framework: Cung cấp các khối xây dựng ứng dụng gồm Views System, Content Providers, Resource Manager, Notification Manager, Activity Manager.
6. Tầng System Apps: Các ứng dụng cốt lõi của hệ thống và ứng dụng từ bên thứ ba.

Ứng dụng Android cấu thành từ 4 thành phần cơ bản được khai báo trong tệp tin AndroidManifest.xml hoặc mã nguồn: Activity (giao diện người dùng), Service (tác vụ chạy ngầm), Broadcast Receiver (lắng nghe sự kiện hệ thống/ứng dụng) và Content Provider (chia sẻ dữ liệu).

Phương pháp nghiên cứu thực nghiệm

Nghiên cứu áp dụng quy trình phân tích tĩnh kết hợp mô hình học sâu đa phương thức thông qua 2 nhánh xử lý song song:

• Nhánh đặc trưng không gian (Mã lệnh Dalvik Opcode): Trích xuất chuỗi mã lệnh Dalvik từ tệp tin APK, sau đó xây dựng ma trận liền kề hai chiều (Adjacency Matrix) thể hiện tần suất chuyển tiếp giữa các cặp opcode kế tiếp nhau. Ma trận này được chuẩn hóa thành ảnh xám hai chiều (kích thước $225 \times 225$) để đưa vào mạng CNN.
• Nhánh đặc trưng tần suất (System Command & API Package): Thống kê tần suất xuất hiện của 437 lệnh hệ thống và gói API được sử dụng trong các tệp tin .smali, mã hóa thành một vector đặc trưng số học để huấn luyện mạng FFNN.
• Cơ chế phối mô hình (Multimodal Fusion): Trích xuất vector đặc trưng từ các tầng ẩn cuối của CNN và FFNN, ghép nối (Concatenate) lại thành một biểu diễn thống nhất trước khi đưa qua tầng phân loại Softmax để đưa ra nhãn dự đoán cuối cùng.

Nguồn dữ liệu và công cụ

• Tập dữ liệu: CICMalDroid-2020 do Canadian Institute for Cybersecurity thu thập trong giai đoạn 2017–2018 (chứa 17.341 mẫu ban đầu thuộc 5 danh mục: Adware, Banking, SMS, Riskware, Benign). Nghiên cứu trích xuất tập con gồm 1.000 mẫu để huấn luyện và kiểm thử.
• Công cụ phân tích: Thư viện mã nguồn mở Python Androguard (dùng hàm AnalyzeAPK() để phân tách đối tượng và trích xuất chuỗi Opcode) và công cụ Apktool (dịch ngược APK thành tệp tin .smali và phân tích AndroidManifest.xml).

---

Nội dung chính theo từng chương

Chương 1. Tổng quan đề tài

Chương 1 thiết lập tính cấp thiết của đề tài nghiên cứu trong bối cảnh các dòng mã độc Android biến hóa liên tục nhằm lẩn tránh sự phát hiện của các hệ thống an ninh truyền thống. Tác giả trình bày tổng quan về các phương pháp tiếp cận phân tích tĩnh và phân tích động, nêu rõ lý do lựa chọn phân tích tĩnh kết hợp học sâu đa phương thức. Chương này cũng xác định rõ ràng mục tiêu, đối tượng, phạm vi nghiên cứu và bố cục tổng thể gồm 6 chương của khóa luận.

Chương 2. Tổng quan tình hình nghiên cứu

Chương 2 tổng hợp và phân tích các công trình nghiên cứu trong và ngoài nước liên quan đến phân tích tĩnh mã độc Android:

• Phân tích Permission: Nghiên cứu của Sanz và cộng sự (2012) áp dụng SimpleLogistic, NaiveBayes, Random Forest đạt độ chính xác 92%; Nghiên cứu của Liang và cộng sự dựa trên nhóm quyền hạn đạt 96% độ chính xác phát hiện mã độc và 88% cho mẫu lành tính.
• Phân tích Intent và API call: Công trình DroidMat của Wu và cộng sự đạt độ chính xác 97,87%.
• Phân tích Opcode: Nghiên cứu của Canfora và cộng sự đạt độ chính xác 93,9% trên tập hợp opcode chọn lọc.
• Kết hợp đặc trưng: Peiravian và cộng sự đạt 94,9% khi kết hợp Permission và API call; Liu Yue và cộng sự kết hợp đặc trưng với kỹ thuật giải thích AI (XAI); TaeGuen và cộng sự áp dụng mô hình đa phương thức với 7 loại đặc trưng trên 5 mạng DNN đạt độ chính xác 98%.

Từ các nghiên cứu trên, tác giả định hình hướng tiếp cận mới: kết hợp Dalvik Opcode (biến đổi thành ảnh ma trận chuyển tiếp) cùng với System Command và API Package (biểu diễn dưới dạng vector tần suất) trên nền tảng phối hợp mạng CNN và FFNN.

Chương 3. Cơ sở lý thuyết

Chương 3 trình bày hệ thống lý thuyết chi tiết về:

• Cấu trúc 6 tầng của hệ điều hành Android và cơ chế hoạt động của máy ảo DVM/ART.
• Khái niệm mã độc và phân loại chi tiết các dòng mã độc phổ biến: Virus, Sâu máy tính (Worm), Trojan, Ransomware, Rootkit, Botnet, Fileless, Spyware, Adware và SMS Malware.
• Cơ chế lây nhiễm của mã độc trên thiết bị di động (tải ứng dụng từ nguồn không tin cậy, khai thác lỗ hổng hệ điều hành, tin nhắn lừa đảo SMS, kết nối Wi-Fi công cộng không an toàn).
• Các kỹ thuật trích xuất đặc trưng tĩnh từ APK: Phân tích các thành phần Package/API Package (ví dụ: android.bluetooth, android.content, android.net.wifi), Dalvik Opcode (add, sub, mul, div, jump...), System Command (chmod, ls, dir, start...) và các quyền hạn trong AndroidManifest.xml.

Chương 4. Phương pháp thực hiện

Chương 4 là phần cốt lõi của khóa luận, mô tả chi tiết quy trình xây dựng bộ khung phát hiện mã độc qua 2 giai đoạn:

[Tệp tin APK]
                                                                   [Lớp Concatenate (128 + 32 = 160 chiều)]
                                                                       [Dense 128 -> Dropout -> Dense 3]
                                                                              [Softmax: Benign / SMS / Adware]

1. Xử lý đặc trưng Dalvik Opcode cho mô hình CNN:

   • Sử dụng thư viện Androguard đọc tệp tin APK qua hàm AnalyzeAPK(), duyệt qua các phương thức get_methods() và câu lệnh get_instructions().
   • Thu thập 224 loại Opcode phân biệt. Độ dài chuỗi opcode của mỗi mẫu được chuẩn hóa bằng cách cắt giảm (truncate) hoặc đệm thêm (pad) theo các mốc thực nghiệm (50.000, 100.000, 150.000, 200.000 opcode).
   • Xây dựng ma trận liền kề 2 chiều kích thước $225 \times 225$ (gồm 224 opcode và 1 phần tử đệm "blank"). Giá trị tại ô giao giữa hàng $A$ và cột $B$ biểu thị số lần opcode $B$ xuất hiện ngay sau opcode $A$. Ma trận đóng vai trò như một bức ảnh xám hai chiều.
   • Kiến trúc CNN gồm: 3 tầng Convolutional với số bộ lọc tăng dần (32, 64, 128; kích thước kernel $3 \times 3$, hàm kích hoạt ReLU), xen kẽ bởi các tầng MaxPooling; tầng Flatten; tầng Dense 128 nơ-ron kèm Dropout.

2. Xử lý đặc trưng System Command và API Package cho mô hình FFNN:

   • Dùng Apktool dịch ngược mã nguồn thành tệp .smali, lọc và đếm tần suất sử dụng của các lệnh hệ thống và gói API.
   • Dữ liệu được lưu trữ trong tệp tin CSV gồm 437 cột đặc trưng.
   • Kiến trúc FFNN gồm: Tầng Dense thứ nhất (128 nơ-ron, ReLU), tầng Dense thứ hai (64 nơ-ron, ReLU), tầng Dense thứ ba (32 nơ-ron, ReLU) và tầng Dropout.

3. Mô hình học sâu đa phương thức phối hợp (Multimodal Fusion Model):

   • Loại bỏ tầng phân loại cuối cùng của cả hai mô hình đơn lẻ.
   • Kết nối vector đầu ra 128 chiều từ CNN và vector đầu ra 32 chiều từ FFNN thông qua tầng Concatenate của TensorFlow Keras.
   • Dẫn qua một tầng Dense mới (128 nơ-ron), tầng Dropout, và tầng Output cuối cùng gồm 3 nơ-ron với hàm kích hoạt Softmax tương ứng với 3 nhãn: Benign (0), SMS (1), Adware (2).
   • Huấn luyện với thuật toán tối ưu hóa Adam và hàm mất mát Categorical Crossentropy.

Chương 5. Kết quả thực nghiệm

Chương 5 trình bày môi trường kiểm thử, cấu hình phần cứng, phương pháp đánh giá và phân tích hiệu năng của các mô hình trong 100 epoch. Quá trình kiểm thử sử dụng tập kiểm tra độc lập gồm 80 tệp tin APK (benign_test_40: 40 mẫu, sms_test_20: 20 mẫu, adware_test_20: 20 mẫu) được tách biệt khỏi tập dữ liệu huấn luyện (~900 mẫu).

Chương 6. Kết luận và hướng phát triển

Chương 6 tổng kết các kết quả đạt được từ việc triển khai mô hình học sâu đa phương thức, khẳng định tính khả thi của việc phối hợp đặc trưng cấu trúc không gian (Opcode) và đặc trưng thống kê tần suất (System Command, API Package), đồng thời đề ra các hướng nghiên cứu mở rộng trong tương lai.

---

Kết quả và đóng góp

Cấu hình môi trường thực nghiệm

Quá trình huấn luyện và kiểm nghiệm được thực hiện trên hệ thống máy tính cá nhân với các thông số kỹ thuật được tác giả mô tả chi tiết:

Thành phần phần cứng / phần mềm	Cấu hình chi tiết
Hệ điều hành	Windows 11 Home Single Language
Bộ vi xử lý (CPU)	Intel Core i7 - 13620H (Thế hệ 13), xung nhịp ~2.4GHz (16 CPUs)
Bộ nhớ RAM	24 GB
Ổ cứng lưu trữ	100 GB dung lượng khả dụng
Card đồ họa (GPU)	NVIDIA GeForce RTX 4060 Laptop GPU
Môi trường lập trình	Python 3, TensorFlow / Keras, NumPy, Pandas, Androguard, Apktool

Thước đo và kết quả thực nghiệm chính

Mô hình được đánh giá thông qua hai chỉ số chính qua 100 epoch huấn luyện:

• Chỉ số mất mát (Loss): Đánh giá qua hàm Categorical Crossentropy: $$L(y, y') = - \sum_{i=1}^{N} y_i \log(y'_i)$$ (Trong đó $y$ là vector nhãn thực tế dạng one-hot, $y'$ là phân phối xác suất dự đoán, $N$ là số lớp phân loại).
• Chỉ số chính xác (Accuracy): Tỷ lệ phần trăm các mẫu phân loại đúng trên tổng số mẫu kiểm thử: $$\text{Accuracy} = \frac{\text{Số mẫu dự đoán đúng}}{\text{Tổng số mẫu}}$$

Thực nghiệm cho thấy:

1. Mô hình CNN phân tích ma trận liền kề Opcode đạt hiệu năng ổn định khi thử nghiệm biến đổi độ dài chuỗi ở các mốc 50.000, 100.000, 150.000 và 200.000 opcode.
2. Mô hình FFNN xử lý tốt vector 437 chiều đặc trưng tần suất lệnh hệ thống và gói API.
3. Mô hình phối hợp đa phương thức (Multimodal Fusion) kết hợp được ưu điểm nhận diện mẫu quan hệ không gian từ CNN và khả năng phân tích tần suất hành vi từ FFNN, mang lại chỉ số mất mát thấp và độ chính xác phân loại cao trên cả 3 lớp ứng dụng (Benign, SMS, Adware).

Đóng góp của nghiên cứu

• Đề xuất quy trình chuyển đổi đặc trưng Opcode mới: Xây dựng phương pháp chuyển đổi chuỗi Dalvik Opcode tuần tự thành ma trận chuyển tiếp hai chiều $225 \times 225$ dưới dạng ảnh xám, giúp mạng CNN trích xuất được mối quan hệ không gian và ngữ cảnh giữa các lệnh máy ảo.
• Xây dựng kiến trúc học sâu đa phương thức hoàn chỉnh: Kết hợp thành công dữ liệu phi cấu trúc (ảnh xám ma trận opcode) và dữ liệu có cấu trúc dạng bảng (vector tần suất 437 chiều của System Command và API Package) trong cùng một mạng nơ-ron học sâu thống nhất, mở ra hướng ứng dụng đa phương thức trong phân tích mã độc tĩnh.

---

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của nghiên cứu

• Quy mô tập dữ liệu thực nghiệm: Do giới hạn về tài nguyên tính toán của môi trường phần cứng máy tính cá nhân, nghiên cứu mới chỉ trích chọn tập con khoảng 1.000 mẫu APK từ tổng số 17.341 mẫu của bộ dữ liệu gốc CICMalDroid-2020.
• Phạm vi phân loại danh mục mã độc: Mô hình mới chỉ tập trung phân loại 3 danh mục (Benign, SMS, Adware), chưa bao quát 2 danh mục còn lại trong bộ dữ liệu gốc là Banking Malware (mã độc ngân hàng) và Riskware (phần mềm rủi ro).
• Phụ thuộc vào kỹ thuật phân tích tĩnh: Nghiên cứu chưa xử lý triệt để các trường hợp mã độc sử dụng các kỹ thuật làm rối mã nâng cao (code obfuscation), mã hóa động hoặc kỹ thuật chống dịch ngược phức tạp làm gián đoạn quá trình trích xuất bằng Androguard và Apktool.
• Độ dài chuỗi Opcode: Việc cố định ngưỡng cắt giảm hoặc đệm (padding) chuỗi opcode ở mốc cố định có thể làm mất mát một phần thông tin đối với các tệp tin APK có mã nguồn quá lớn.

Hướng nghiên cứu tiếp theo

• Mở rộng quy mô huấn luyện trên toàn bộ 17.341 mẫu của tập dữ liệu CICMalDroid-2020 và bao quát đầy đủ cả 5 danh mục mã độc.
• Nâng cấp môi trường tính toán để thử nghiệm kích thước ma trận và chuỗi opcode lớn hơn, tối ưu hóa quá trình tiền xử lý dữ liệu.
• Nghiên cứu kết hợp thêm các đặc trưng phân tích tĩnh khác (như chuỗi ký tự String, Intent filters) hoặc phối hợp với các đặc trưng từ phân tích động (hành vi mạng, system calls runtime) để tăng cường độ tin cậy của hệ thống phát hiện.

---

Giá trị tham khảo

Tài liệu khóa luận mang lại giá trị tham khảo thiết thực cho:

• Sinh viên và học viên ngành An toàn thông tin, Mạng máy tính và Khoa học máy tính: Tài liệu cung cấp hướng dẫn chi tiết về cấu trúc hệ điều hành Android, cơ chế dịch ngược tệp tin APK và cách thức ứng dụng công cụ Androguard, Apktool trong phân tích phần mềm độc hại.
• Các nhà nghiên cứu về Học máy và Trí tuệ nhân tạo ứng dụng trong An ninh mạng: Cung cấp phương pháp luận thực tế về việc thiết kế mạng học sâu đa phương thức (Multimodal Deep Learning), kỹ thuật biến đổi dữ liệu tuần tự (Opcode sequence) thành dữ liệu không gian dạng ảnh xám (Adjacency Matrix) để đưa vào mạng CNN.
• Kỹ sư phát triển hệ thống bảo mật di động: Tham khảo kiến trúc phối hợp đặc trưng để xây dựng các giải pháp quét mã độc tĩnh nhanh chóng, giảm thiểu chi phí vận hành máy ảo so với các hệ thống phân tích động.

---

Câu hỏi thường gặp

1. Khóa luận sử dụng bộ dữ liệu nào và phân loại những nhóm ứng dụng nào?

Khóa luận sử dụng bộ dữ liệu công khai CICMalDroid-2020 do Viện An ninh mạng Canada (Canadian Institute for Cybersecurity) phát hành. Do giới hạn về tài nguyên phần cứng, tác giả trích chọn tập con gồm khoảng 1.000 mẫu APK để thực nghiệm, phân loại thành 3 nhóm: Ứng dụng lành tính (Benign - gán nhãn 0), Mã độc tin nhắn (SMS - gán nhãn 1) và Mã độc quảng cáo (Adware - gán nhãn 2).

2. Tại sao tác giả lại chuyển đổi chuỗi Dalvik Opcode thành ma trận liền kề dạng ảnh xám?

Việc chuyển đổi chuỗi Dalvik Opcode thành ma trận liền kề hai chiều kích thước $225 \times 225$ (tương ứng với 224 opcode và 1 phần tử đệm padding) cho phép mô hình hóa mối quan hệ chuyển tiếp ngữ cảnh giữa các lệnh kế tiếp nhau trong mã nguồn. Dưới dạng ma trận tần suất liền kề tương đương một bức ảnh xám, mạng nơ-ron tích chập (CNN) có thể phát huy thế mạnh trích xuất các đặc trưng không gian và các mẫu hành vi mã độc phức tạp.

3. Vector đặc trưng đưa vào mô hình FFNN được xây dựng từ những thông tin nào?

Vector đầu vào của mạng FFNN gồm 437 chiều, đại diện cho tần suất xuất hiện của các Lệnh hệ thống (System Command, ví dụ: chmod, ls, start...) và các Gói tài nguyên API (API Package, ví dụ: android.bluetooth, android.net.wifi...) được trích xuất từ các tệp tin .smali sau khi dịch ngược APK bằng công cụ Apktool.

4. Cơ chế phối mô hình (Fusion) giữa CNN và FFNN được triển khai như thế nào?

Tác giả loại bỏ tầng phân loại Softmax ban đầu của cả hai mô hình đơn lẻ, lấy vector đặc trưng 128 chiều từ tầng Dense cuối của CNN và vector đặc trưng 32 chiều từ tầng Dense cuối của FFNN. Hai vector này được nối lại với nhau qua lớp Concatenate của TensorFlow Keras thành một vector 160 chiều, sau đó đưa qua tầng Dense 128 nơ-ron, lớp Dropout và tầng phân loại Softmax cuối cùng gồm 3 ngõ ra.

5. Quá trình kiểm thử mô hình được thiết lập với số lượng mẫu và tập dữ liệu kiểm tra như thế nào?

Mô hình được huấn luyện trên khoảng 900 mẫu và đánh giá độc lập trên tập kiểm tra gồm 80 tệp tin APK, chia thành 3 nhóm: benign_test_40 (40 mẫu lành tính), sms_test_20 (20 mẫu mã độc SMS) và adware_test_20 (20 mẫu mã độc Adware) thông qua tham số validation trong 100 epoch.

---

Kết luận

Khóa luận tốt nghiệp của sinh viên Lưu Nguyên Công Minh và Trần Đăng Khoa đã thiết kế và triển khai thành công mô hình học sâu đa phương thức trong bài toán phát hiện và phân loại mã độc Android dựa trên kỹ thuật phân tích tĩnh. Bằng cách kết hợp mạng CNN xử lý ma trận chuyển tiếp mã lệnh Dalvik Opcode dạng ảnh xám cùng mạng FFNN phân tích vector tần suất các lệnh hệ thống và gói API, nghiên cứu đã tận dụng hiệu quả cả đặc trưng cấu trúc mã nguồn lẫn đặc trưng hành vi tương tác hệ thống. Các kết quả thực nghiệm trên tập dữ liệu CICMalDroid-2020 khẳng định tính khả thi của giải pháp đa phương thức, tạo nền tảng học thuật và kỹ thuật vững chắc cho việc mở rộng quy mô phát hiện mã độc di động trong tương lai.

Trích đoạn nội dung tài liệu

Chương 1: TONG QUAN DE TÀI Nêu ra cái nhìn toàn diện về đề tài và các định hướng nghiên cứu mà chúng tôi hướng đến. Chương 2: TONG QUAN TINH HÌNH NGHIÊN CUU Dua ra các bai báo, các công trình nghiên cứu có liên quan đến khóa luận của chúng tôi để làm cơ sở tham khảo. Chương 3: CƠ SỞ LÝ THUYET Trình bày các lý thuyết nền tảng, khái niệm cũng như là các kiến thức có liên quan dé có thé thực hiện khóa luận. Chương 4: PHƯƠNG PHÁP THỰC HIỆN Đây chính là chương quan trọng nhất, đưa ra và mô tả chỉ tiết về mô hình mà chúng tôi đề xuất.

Chương 5: KET QUÁ THUC NGHIỆM Thực nghiệm mô hình đã đề xuất ở Chương 4 và đưa ra các kết quả sau quá trình thực nghiệm. Chương 6: KET LUẬN VA HƯỚNG PHAT TRIÊN Dua ra kêt luận cuôi cùng về dé tài đông thời nêu ra các định hướng phát triên dé nâng cao chất lượng mô hình trong tương lai. | TONG QUAN TINH HÌNH NGHIÊN CỨU 2. Tinh hình nghiên cứu và các công trình liên quan Khi đê cập tới chiên thuật phân tích tĩnh trong việc chọn kiêu đặc trưng, xử lí và huân luyện mô hình, đã có rât nhiêu công trình nghiên cứu giới thiệu và đê xuât phương pháp nghiên cứu khác nhau và cho kết quả thực nghiệm cao.

Về kiểu đặc trưng Permission, Sanz và cộng sự [1] đã đề xuất và thực nghiệm băng cách tìm ra các sự khác nhau trong việc sử dụng Permission trong các ứng dụng mã độc. Họ cụ thê đã tìm ra rằng là các ứng dụng mã độc có xu hướng sử dụng chỉ 1 Permission trong khi các ứng dụng lành tính sử dụng 2, 3 hoặc nhiều Permission hơn. Nhóm tác giả đã cho huấn luyện nhiều mô hình học máy như SimpleLogistic, NaiveBayes, SMO, J58, Cây Ngẫu Nhiên (Random Forest) dé có thé tìm ra được mô hình phù hợp và cuối cùng họ đạt được 92% độ chính xác. Ngoài ra, một nghiên cứu khác cũng dé xuất phân tích với Permission là nhóm của Liang và cộng sự [2], họ đề xuất một chiến thuật phân tích dựa trên sự kết hợp của nhóm các Permission.

Do đó họ đã đi thu thập nhiều nhóm Permisssion được sử dụng kết hợp trong các ứng dụng mã độc nhưng hiểm được sử dụng trong các ứng dụng lành tính. Dựa vào đó họ đã phát triển một công cụ không sử dụng học máy để có thể trích xuất nhóm các Permission cũng như tần suất được sử dụng trong tệp tin manifest của ứng dụng, và họ đạt được độ chính xác cao trong cả việc phát hiện mã độc cũng như nhận diện đúng ứng dụng lành tính, lần lượt là 96% và 88%. Tuy nhiên van đề đặt ra là, Permission đóng vai trò quan trọng trong ứng dụng, nhưng chỉ riêng mỗi phương pháp dựa vào riêng loại đặc trưng này có thê không thực tiễn trong môi trường hiện nay khi ngày càng nhiều mã độc phức tạp hơn, có thé sử dụng nhiều Permission hơn để che giấu đi mục đích độc hại của nó, có thể cần xem xét áp dụng thêm các biện pháp kết hợp với đặc trưng khác dé nâng cao hiệu năng cho mô hình. Về kiểu đặc trưng Intent, intent là một sự mô tả trừu tượng cho hoạt động trong ứng dụng về cách mà nó được thực thi.

Kết hợp với việc truy vết tới các API call liên quan tới cả Permission, nhóm tác gia Wu và các cộng sự [3] đã thiệt kê và triên khai DroidMat và dat tới 97,87% độ chính xác. Có thê một van đề nổi lên với phương pháp của nhóm nghiên cứu là phụ thuộc vào thông tin từ tệp tin AndroidManifest.xml và API call, nếu như một vài mã độc không yêu cầu gọi API call trực tiếp, chúng có thé đánh lừa vào thoát khỏi sự phát hiện cua mô hình. Về kiểu đặc trưng Opcode, đặc biệt là Dalvik opcode như lệnh mã máy cho bộ xử lí của hệ thống, có thé nam được những thông tin quan trọng về hành vi của ứng dụng, đã được ứng dụng trong nghiên cứu của Canfora và cộng sự [4]. Bằng cách chỉ chọn lọc ra nhóm các opcode cụ thể, nhóm tác giả đã có thé huấn luyện một mô hình phân loại đạt được độ chính xác 93,9%.

Tuy việc phụ thuộc vào một thập hợp opcode cụ thể có thể cho hiệu quả cao trong việc phân loại tính chất các ứng dụng Android, phương pháp này có thê sẽ bị lỗi thời vì ngày càng nhiều biến thể mã độc được sinh ra và không sử dụng tập hợp đó, yêu cầu phải cập nhật mô hình theo thời gian. Ngoài ra sự kết hợp sử dụng giữa 2 loại đặc trưng có khả năng thể hiện nhiều thông tin nhất về hành vi của một ứng dụng Android đó là Permission và API call cũng được ứng dụng nhiều trong nhiều nghiên cứu như của nhóm tác giả Peiravian và cộng sự [5]. API call được sử dụng từ các API Package đóng góp nhiều trong việc thể hiện hành vi, được nhóm tác giả trích xuất và huấn luyện mô hình phân loại với độ chính xác lên tới 94,9%. Cùng sử dụng chung ứng dụng 2 loại đặc trưng này, nhóm tác giả Liu Yue và cộng sự [6] đã thực hiện trích xuất và huấn luyện mô hình, từ đó áp dụng XAI (Explainable AI) dé có thé hiểu được phan nào lí do dang sau việc các mô hình học máy có thê đưa ra dự đoán có độ chính xác cao đên như vậy.

Tuy việc sử dụng chung 2 hoặc nhiều hơn số loại đặc trưng trong cùng một mô hình học máy có thê cho ra kết quả dự đoán cao, nhưng thay vì sử dụng kết hợp trong bộ dữ liệu đề huấn luyện mô hình, có thể việc tách rời riêng các loại đặc trưng rồi cho huấn luyện riêng mỗi loại đặc trưng hoặc nhiều loại đặc trưng có cùng tính chất cùng một nhóm, rồi phối những véc tơ thé hiện giữa những mô hình như vậy đề huấn luyện một mô hình sau cùng dé cho ra kết quả với kì vọng độ chính xác cao hơn. Đó là mô hình đa phương thức, vì các đặc trưng được xử lí thành đầu vào riêng lẻ cho từng mô hình khác nhau, giúp cho mỗi mô hình có thé hoc được nhiều thông tin quan trọng hơn cho từng đặc trưng, từ đó khi đưa ra dự đoán mô hình có thể thực hiện với kết quả tiềm năng hơn. Việc ứng dụng mô hình học sâu đa phương thức đã được áp dụng trong một trong những công trình nghiên cứu về mô hình đa phương thức, đó là của nhóm tác giả TaeGuen và cộng sự [7]. Nhìn chung nhóm tác giả đã sử dụng đến 7 loại đặc trưng, và sắp xếp chúng vào 5 nhóm véc tơ đặc trưng dé huấn luyện với 5 mô hình học sâu DNN, sau đó phối chúng lại rồi thực hiện dự đoán, kết quả dự đoán đạt 98% độ chính xác, cao hơn một số nghiên cứu dùng mô hình đơn đề cập trong công trình.

Từ đó cho thấy việc thực hiện huấn luyện đa phương thức có tiềm năng lớn trong việc phát hiện và phân loại mã độc Android. Định hướng nghiên cứu sử dụng kết hợp đa phương thức đầu vào, đặc trưng Dalvik Opcode, API Package va System Commands Ở trong khóa luận này chúng tôi sẽ tiến hành nghiên cứu và xây dựng một bộ khung phát hiện mã độc Android băng mô hình học sâu đa phương thức. Chúng tôi sẽ chỉ tập trung vào chiến thuật phân tích tĩnh, trích xuất đặc trưng Dalvik Opcode, API Package va System Command, xử lí dữ liệu đặc trưng bang phương pháp biến thành ảnh xám, ma trận hai chiều với kích thước NxN trong đó N là số lượng đặc trưng Opcode và phương pháp sử dụng véc tơ tần suất của kết hợp API Package và System Command. Việc chọn những loại đặc trưng như vậy giúp kết hợp các điểm mạnh của chúng dé giúp mang lại nhiều thông tin giá trị, hữu ich tăng hiệu năng của mô hình học sâu, nâng cao tiềm năng của mô hình so với sự phát triển của mã độc.

Opcode (Dalvik Opcode) - _ Có thé phân tích chi tiết hành vi mã nguồn: Opcode thé hiện từng lệnh cụ thé được thực thi bởi ứng dụng, giúp chúng ta có cái nhìn chi tiết và chính xác về hành vi của ứng dụng. - Có khả năng kha năng phát hiện các mẫu phức tap: Việc chuyển đổi opcode thành ma trận liền kề hai chiều cho phép mô hình học sâu phát hiện các mẫu và mối quan hệ phức tạp trong mã nguồn, giúp nhận diện các hành vi độc hại khó phát hiện. System Commands - — Giúp phản ánh hoạt động hệ thống: Các lệnh hệ thống cho thấy cách ma ứng dụng tương tác với hệ thống, bao gồm các hành vi truy cập tập tin, quản lý quy trình và mạng, giúp phát hiện các hoạt động đáng ngờ. - Dé đàng trích xuất và phân tích: Chuỗi tần suất sử dụng lệnh hệ thống có thé dé dàng trích xuất và phân tích, cung cấp thông tin trực tiếp về cách ứng dụng hoạt động.

API Package - Có thé phân tích các hành vi phức tap: API call được sử dung trong các gói, thu viện hàm thể hiện các chức năng và dịch vụ mà ứng dụng sử dụng, từ đó suy ra được các hành vi của ứng dụng, như truy cập mạng, sử dụng camera hoặc truy cập dữ liệu ảnh. - — Giúp phát hiện hành vi bất thường: Việc phân tích tần suất sử dụng các API Package giúp nhận diện các mau hành vi bat thường, là dâu hiệu của mã độc. Dinh hướng nghiên cứu sử dụng kết hợp và phối mô hình học sâu CNN va FENN cho các đặc trưng khác nhau Ở trong khóa luận này, chúng tôi nghiên cứu áp dụng xây dựng mô hình học sâu mạng nơ ron tích chập CNN và mạng nơ ron chuyên tiếp FFNN với ba loại đặc trưng dữ liệu ké trên là Dalvik Opcode, System Command và API Package. Mô hình CNN được sử dụng dé phân tích chuỗi Dalvik Opcode chuyền đổi thành ma trận liền k hai chiều, tận dụng khả năng và hiệu suất của CNN trong việc nhận diễn các mẫu dưới dạng hình ảnh hai chiều biểu thị mối quan hệ giữa các lệnh trong mã nguồn chương trình.

Trong khi đó, mô hình FENN được huấn luyện dựa trên véc tơ chuỗi tần suất sử dụng của các System Command và API Package, nhờ việc làm việc với phân tích xử lí chuỗi dữ liệu tốt của mô hình này. Tiềm năng của việc phối hợp các mô hình nằm ở khả năng kết hợp các điểm mạnh của từng loại đặc trưng và mô hình học sâu. Nếu như mô hình CNN mạnh về nhận diện các mẫu không gian thể hiện trong mã nguồn thì FENN sẽ hiệu quả trong việc phân tích tần suất.