Luận văn thạc sĩ công nghệ thông tin: Phân loại Android Malware dựa vào giá trị thanh ghi

• Tác giả: Nguyễn Vĩnh Tân
• Người hướng dẫn: Phạm Văn Hậu
• Trường học: Đại học Công nghệ Thông tin - Đại học Quốc gia Thành phố Hồ Chí Minh
• Chuyên ngành: Công nghệ Thông tin
• Đề tài: Phân loại Android Malware bằng giá trị thanh ghi
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2022
• Địa điểm: Thành phố Hồ Chí Minh

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• CÁC TỪ VIẾT TẮT
• DANH MỤC HÌNH
• DANH MỤC BẢNG
• 1. CHƯƠNG I: GIỚI THIỆU TỔNG QUAN
• 1.1. Đặt vấn đề
• 1.2. Mục đích nghiên cứu
• 1.3. Tìm hiểu các phương pháp phân tích mã độc
• 1.3.1. Phân tích tĩnh
• 1.3.2. Phân tích động
• 1.3.3. Phân tích kết hợp
• 1.4. Đối tượng, phạm vi nghiên cứu
• 1.5. Phương pháp dự định nghiên cứu
• 1.6. Tính khoa học và tính mới của đề tài
• 1.6.1. Tính khoa học
• 1.6.2. Tính mới
• 2. CHƯƠNG II: CÁC NGHIÊN CỨU LIÊN QUAN
• 2.1. Nghiên cứu trong nước
• 2.2. Nghiên cứu ngoài nước
• 3. CHƯƠNG III: PHÂN LOẠI MÃ ĐỘC ANDROID DỰA TRÊN GIÁ TRỊ THANH GHI
• 3.1. Công cụ hợp dịch ngược Radare2
• 3.1.1. Giới thiệu về Radare2
• 3.1.2. Định dạng và một số lệnh cơ bản của Radare2
• 3.1.3. Định dạng lệnh và khái quát lệnh của Radare2
• 3.1.4. Một số lệnh cơ bản thường dùng phục vụ cho việc phân tích của Radare
• 3.1.5. Thiết lập kiến trúc hợp ngữ cho Radare2
• 3.1.6. Hợp dịch ngược file.apk với Radare2
• 3.1.7. Chế độ visual mode của Radare2
• 3.1.8. Thư viện r2pipe
• 3.2. Hệ điều hành Android và các loại Android malware
• 3.2.1. Giới thiệu về hệ điều hành Android
• 3.2.2. Các tính năng của hệ điều hành Android
• 3.2.3. Các phiên bản hệ điều hành Android
• 3.2.4. Kiến trúc của hệ điều hành Android
• 3.2.4.1. Tầng hạt nhân Linux (Linux Kernel layer)
• 3.2.4.2. Tầng Library và Android Runtime
• 3.2.4.3. Tầng Application Framework
• 3.3. Các loại Android Malware
• 3.3.1. Thuật toán xác định
• 3.3.2. Giám sát hành vi
• 3.3.3. Ma trận chỉ số tương đồng
• 3.3.4. Phần kết luận
• 4. CHƯƠNG IV: MÔ HÌNH THỰC NGHIỆM
• 4.1. Mô hình đề xuất thực hiện gồm các bước sau
• 4.1.1. Hệ thống gồm các khối như sau
• 4.2. Các bước thực hiện hệ thống
• 4.2.1. Chọn mẫu thử đầu vào dùng cho việc phân tích
• 4.3. Phân tích động với Radare2 và trích xuất giá trị thanh ghi RAX
• 4.4. Rút gọn mảng thanh ghi trích xuất
• 4.5. Phân tích filetest
• 4.5.1. Dữ liệu thực nghiệm
• 4.5.2. Chương trình thực nghiệm
• 4.5.3. Kết quả thực nghiệm
• 5. CHƯƠNG V: KẾT LUẬN
• TÀI LIỆU THAM KHẢO

I. Giới thiệu tổng quan về đề tài

Luận văn thạc sĩ CNTT tập trung vào phân loại Android Malware bằng cách sử dụng giá trị thanh ghi. Với sự phát triển mạnh mẽ của công nghệ thông tin, các mối đe dọa từ phần mềm độc hại ngày càng tăng. Android, nền tảng di động phổ biến, trở thành mục tiêu chính của các cuộc tấn công. Luận văn đề xuất phương pháp phân tích malware dựa trên hệ thống thanh ghi, cụ thể là thanh ghi RAX, để xác định và phân loại malware một cách hiệu quả.

1.1. Đặt vấn đề

Sự gia tăng của Android Malware đặt ra yêu cầu cấp thiết về các phương pháp phân loại malware hiệu quả. Phân tích malware truyền thống dựa trên cơ sở dữ liệu mẫu không thể đáp ứng được các biến thể mới. Luận văn đề xuất sử dụng giá trị thanh ghi để phân loại malware, đặc biệt là thanh ghi RAX, nhằm nâng cao độ chính xác và tự động hóa quá trình phân tích.

1.2. Mục đích nghiên cứu

Mục tiêu chính của luận văn là phát triển một phương pháp phân loại malware dựa trên giá trị thanh ghi. Sử dụng công cụ Radare2 để hợp dịch ngược và trích xuất giá trị thanh ghi RAX. Phương pháp phân tích động được áp dụng để giám sát hành vi của malware trong quá trình thực thi. Kết quả được sử dụng để huấn luyện mô hình học máy, mở rộng khả năng phát hiện malware mới.

II. Phương pháp phân tích malware

Luận văn đề cập đến ba phương pháp chính trong phân tích malware: phân tích tĩnh, phân tích động và phân tích kết hợp. Mỗi phương pháp có ưu nhược điểm riêng, phù hợp với các tình huống khác nhau. Phân tích tĩnh nhanh và rẻ nhưng không hiệu quả với malware mã hóa. Phân tích động giám sát hành vi thời gian thực nhưng tốn thời gian. Phân tích kết hợp kết hợp cả hai phương pháp nhưng đòi hỏi nhiều tài nguyên.

2.1. Phân tích tĩnh

Phân tích tĩnh được thực hiện khi ứng dụng không chạy. Phương pháp này thu thập thông tin từ mã nguồn, tệp tin và các quyền truy cập. Ưu điểm là nhanh chóng và không yêu cầu thực thi ứng dụng. Tuy nhiên, nó không hiệu quả với malware sử dụng kỹ thuật mã hóa hoặc làm rối mã.

2.2. Phân tích động

Phân tích động giám sát hành vi của ứng dụng trong quá trình thực thi. Phương pháp này phát hiện được các malware phức tạp và biến thể mới. Tuy nhiên, nó đòi hỏi thời gian và kiến thức chuyên sâu về malware. Luận văn sử dụng phân tích động để trích xuất giá trị thanh ghi và phân loại malware.

III. Phân loại malware dựa trên giá trị thanh ghi

Luận văn đề xuất phương pháp phân loại malware dựa trên giá trị thanh ghi, đặc biệt là thanh ghi RAX. Sử dụng công cụ Radare2 để hợp dịch ngược và trích xuất giá trị thanh ghi. Chỉ số tương đồng Jaccard được tính toán để xác định mẫu thử có phải là malware hay không. Kết quả được sử dụng để huấn luyện mô hình học máy, nâng cao khả năng phát hiện malware mới.

3.1. Công cụ Radare2

Radare2 là công cụ hợp dịch ngược mạnh mẽ, được sử dụng để phân tích và trích xuất giá trị thanh ghi. Luận văn sử dụng Radare2 để hợp dịch ngược tệp APK và giám sát giá trị thanh ghi RAX trong quá trình thực thi. Các lệnh cơ bản của Radare2 được sử dụng để phân tích động và trích xuất dữ liệu.

3.2. Thuật toán học máy

Luận văn áp dụng các thuật toán học máy như SVM, Random Forest và KNN để phân loại malware. Chỉ số tương đồng Jaccard được tính toán giữa mẫu thử và cơ sở dữ liệu để xác định loại malware. Kết quả phân loại được sử dụng để huấn luyện mô hình, nâng cao khả năng phát hiện malware mới.

IV. Mô hình thực nghiệm và kết quả

Luận văn trình bày mô hình thực nghiệm để phân loại malware dựa trên giá trị thanh ghi. Mô hình bao gồm các bước: trích xuất giá trị thanh ghi, tính toán chỉ số tương đồng Jaccard, và huấn luyện mô hình học máy. Kết quả thực nghiệm cho thấy phương pháp này đạt độ chính xác cao trong việc phân loại malware.

4.1. Mô hình đề xuất

Mô hình đề xuất bao gồm các bước: hợp dịch ngược tệp APK, trích xuất giá trị thanh ghi, tính toán chỉ số tương đồng Jaccard, và huấn luyện mô hình học máy. Mô hình được thực hiện trong môi trường máy ảo để đảm bảo an toàn và hiệu quả.

4.2. Kết quả thực nghiệm

Kết quả thực nghiệm cho thấy phương pháp phân loại malware dựa trên giá trị thanh ghi đạt độ chính xác cao. Mô hình học máy được huấn luyện trên cơ sở dữ liệu CIC-AndMal2017 cho kết quả phân loại chính xác các mẫu malware mới.