Khóa luận tốt nghiệp an toàn thông tin xây dựng bộ dữ liệu pháp chứng từ bộ nhớ ứng dụng android cho mô hình phát hiện mã độc sử dụng gnn

Khóa luận tốt nghiệp an toàn thông tin tập trung xây dựng bộ dữ liệu pháp chứng từ bộ nhớ ứng dụng Android, hỗ trợ mô hình phát hiện mã độc sử dụng GNN hiệu quả.

• Tác giả: Lê Kim Tuấn
• Người hướng dẫn: TS. Nguyễn Tân Cầm
• Trường học: Đại học Công nghệ Thông tin - Đại học Quốc gia TP. Hồ Chí Minh
• Chuyên ngành: An toàn thông tin
• Đề tài: Xây dựng bộ dữ liệu pháp chứng từ bộ nhớ Android cho mô hình phát hiện mã độc sử dụng GNN
• Loại tài liệu: Khóa luận tốt nghiệp
• Năm xuất bản: 2023
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. LÝ DO CHỌN ĐỀ TÀI
• 2. ĐỐI TƯỢNG NGHIÊN CỨU
• 3. PHẠM VI NGHIÊN CỨU
• 4. TỔNG QUAN
• 5. MÔ HÌNH ĐỀ XUẤT VÀ CƠ SỞ LÝ THUYẾT
• 6. TRÌNH BÀY ĐÁNH GIÁ BÀN LUẬN VỀ KẾT QUẢ
• 7. HƯỚNG PHÁT TRIỂN
• 8. TÀI LIỆU THAM KHẢO
• MỤC LỤC HÌNH ẢNH
• MỤC LỤC BẢNG
• MỤC LỤC THUẬT TOÁN
• MỤC LỤC TỪ VIẾT TẮT
• TÓM TẮT KHÓA LUẬN

Tóm tắt

I. Xây dựng bộ dữ liệu pháp chứng từ bộ nhớ Android

Nghiên cứu này tập trung vào việc xây dựng bộ dữ liệu pháp chứng từ bộ nhớ Android để hỗ trợ các mô hình phát hiện mã độc sử dụng Graph Neural Networks (GNN). Bộ dữ liệu được tạo ra từ việc phân tích và khôi phục các đối tượng trong bộ nhớ tiến trình Android, đặc biệt là các ứng dụng lành tính và độc hại. Phương pháp này sử dụng Android Object Allocation Graphs (AOAG) để xác định các đặc trưng phân biệt giữa hai loại ứng dụng này. Bộ nhớ Android được coi là nguồn dữ liệu quan trọng trong việc phát hiện mã độc, đặc biệt khi các phương pháp truyền thống như phân tích tĩnh và động gặp hạn chế.

1.1. Phương pháp khôi phục dữ liệu

Quá trình khôi phục dữ liệu từ bộ nhớ Android bao gồm việc trích xuất và tái tạo các đối tượng trong vùng nhớ Heap. Công cụ DroidScraper được sử dụng để giải mã các đối tượng phức tạp như mảng và cấu trúc dữ liệu. Phương pháp này dựa trên thuật toán thu gom rác Concurrent Copying của Android Runtime (ART), giúp tối ưu hóa việc quản lý bộ nhớ. Bộ dữ liệu được xây dựng từ các đồ thị liên kết giữa các đối tượng, tạo cơ sở cho việc phân tích và phát hiện mã độc.

1.2. Tạo đồ thị phân bổ đối tượng

AOAG được sử dụng để tạo đồ thị phân bổ đối tượng từ bộ nhớ Android. Mỗi đỉnh trong đồ thị đại diện cho một đối tượng, và các cạnh thể hiện mối liên kết giữa chúng. Đồ thị này được sử dụng để phân tích các thuộc tính như đường kính, số lượng cộng đồng, và độ dài đường đi ngắn nhất. Các đặc trưng này giúp phân biệt giữa ứng dụng lành tính và độc hại, tạo cơ sở cho việc huấn luyện các mô hình học máy.

II. Mô hình phát hiện mã độc sử dụng GNN

Nghiên cứu đề xuất sử dụng Graph Neural Networks (GNN) để phát hiện mã độc dựa trên các đặc trưng của đồ thị phân bổ đối tượng. GNN là một phương pháp học sâu hiệu quả trong việc xử lý dữ liệu dạng đồ thị, đặc biệt là các biến thể như Graph Convolutional Network (GCN) và Graph Attention Network (GAT). Mô hình này được huấn luyện trên bộ dữ liệu được xây dựng từ bộ nhớ Android, giúp phân loại các ứng dụng lành tính và độc hại dựa trên các thuộc tính của đồ thị.

2.1. Huấn luyện mô hình GNN

Quá trình huấn luyện GNN bao gồm việc trích xuất các đặc trưng từ đồ thị phân bổ đối tượng, như số lượng cộng đồng, đường kính đồ thị, và độ dài đường đi ngắn nhất. Các đặc trưng này được sử dụng làm đầu vào cho mô hình GNN để dự đoán xem một đồ thị có phải là mã độc hay không. Kết quả thử nghiệm cho thấy GNN đạt hiệu suất cao trong việc phát hiện mã độc so với các mô hình học máy truyền thống.

2.2. Đánh giá hiệu quả của GNN

Nghiên cứu đánh giá hiệu quả của GNN bằng cách so sánh với các mô hình học máy truyền thống như Support Vector Machine (SVM) và Multi-Layer Perceptron (MLP). Kết quả cho thấy GNN vượt trội trong việc phân loại các ứng dụng lành tính và độc hại, đặc biệt khi xử lý các đồ thị có cấu trúc phức tạp. Điều này khẳng định tiềm năng của GNN trong lĩnh vực phát hiện mã độc dựa trên bộ nhớ Android.

III. Ứng dụng thực tiễn và hướng phát triển

Nghiên cứu này không chỉ cung cấp một phương pháp mới để xây dựng bộ dữ liệu pháp chứng từ bộ nhớ Android mà còn mở ra hướng phát triển trong việc ứng dụng GNN để phát hiện mã độc. Phương pháp này có thể được áp dụng trong các cuộc điều tra tội phạm mạng, giúp các nhà điều tra số khôi phục và phân tích dữ liệu từ thiết bị di động một cách hiệu quả. Hướng phát triển tiếp theo bao gồm tối ưu hóa các mô hình GNN và mở rộng bộ dữ liệu để tăng độ chính xác trong việc phát hiện mã độc.

3.1. Ứng dụng trong điều tra tội phạm mạng

Phương pháp xây dựng bộ dữ liệu pháp chứng từ bộ nhớ Android có thể được sử dụng trong các cuộc điều tra tội phạm mạng để khôi phục các thông tin quan trọng từ thiết bị di động. Điều này giúp các nhà điều tra xác định nguồn gốc của các cuộc tấn công và hành vi độc hại, đặc biệt khi các phương pháp truyền thống không hiệu quả.

3.2. Hướng phát triển tương lai

Hướng phát triển tương lai của nghiên cứu bao gồm việc tối ưu hóa các mô hình GNN để tăng hiệu suất phát hiện mã độc. Ngoài ra, việc mở rộng bộ dữ liệu với nhiều mẫu ứng dụng hơn sẽ giúp cải thiện độ chính xác của mô hình. Nghiên cứu cũng hướng đến việc tích hợp các phương pháp phân tích ngữ nghĩa ngầm để nâng cao khả năng nhận diện mã độc.

Nội dung chính

Giới thiệu dự án

Sự bùng nổ của hệ điều hành Android trên hơn 3 tỷ thiết bị di động toàn cầu đã biến nền tảng này thành mục tiêu hàng đầu của các cuộc tấn công mạng và mã độc tinh vi. Theo thống kê từ các tổ chức an ninh mạng quốc tế, hàng chục nghìn biến thể mã độc mới xuất hiện mỗi ngày với khả năng lẩn tránh phân tích tĩnh (Static Analysis) thông qua kỹ thuật làm rối mã nguồn (obfuscation), nén mã (packing), mã hóa payload và nạp động (dynamic class loading). Trong khi đó, phương pháp phân tích động (Dynamic Analysis) truyền thống bằng cách đặt chốt chặn (hooking) lại làm suy giảm hiệu năng hệ thống, tốn tài nguyên và dễ dàng bị vô hiệu hóa bởi các cơ chế chống gỡ lỗi (anti-debugging).

Vấn đề cốt lõi đặt ra là: Làm thế nào để trích xuất đầy đủ chứng cứ số và phát hiện mã độc một cách chính xác mà không làm biến dạng trạng thái thực thi của ứng dụng? Đồ án tốt nghiệp "Xây dựng bộ dữ liệu pháp chứng từ bộ nhớ ứng dụng Android cho các mô hình phát hiện mã độc" (tên tiếng Anh: Recovery and reconstruction of Android in-memory forensics artifacts for malware detection models) của nhóm tác giả Lê Kim Tuấn và Nguyễn Ngọc Diễm Quỳnh, dưới sự hướng dẫn của TS. Nguyễn Tấn Cầm tại Trường Đại học Công nghệ Thông tin - ĐHQG-HCM, đã giải quyết trực tiếp thách thức này thông qua giải pháp Android Object Allocation Graph (AOAG).

+-----------------------------------------------------------------------------------+
|                            QUY TRÌNH TỔNG QUAN AOAG                               |
+-----------------------------------------------------------------------------------+
|  [Tiến trình Android]                                                             |
+-----------------------------------------------------------------------------------+

Mục tiêu dự án cụ thể:

1. Khôi phục cấu trúc bộ nhớ Runtime: Định vị và tái tạo cấu trúc dữ liệu của Android Runtime (ART) trên Android 8.0+ từ tập tin trích xuất bộ nhớ tiến trình (/proc/<pid>/mem và /proc/<pid>/maps).
2. Giải mã đối tượng vùng nhớ Heap: Trích xuất toàn bộ các thực thể đối tượng (Primitives, Arrays, Strings, Complex Objects) được cấp phát thông qua bộ quản lý vùng nhớ RegionSpace và cơ chế RegionTLAB của thuật toán gom rác Concurrent Copying (CC).
3. Mô hình hóa đồ thị cấp phát đối tượng (OAG): Ứng dụng kỹ thuật phân tích con trỏ ngữ cảnh Heap (Heap-context Points-to Analysis) để thiết lập đồ thị có hướng mô tả quan hệ tham chiếu giữa các đối tượng.
4. Phân loại mã độc bằng Trí tuệ nhân tạo: Trích xuất các thuộc tính cấu trúc mạng (Network Topology Metrics) và ứng dụng Mạng nơ-ron đồ thị (Graph Neural Networks - GNN) để tự động phân loại ứng dụng lành tính và ứng dụng độc hại.

Phạm vi và giới hạn nghiên cứu:

• Phạm vi: Nghiên cứu tập trung vào không gian bộ nhớ người dùng (Userland Memory Forensics) của các tiến trình thực thi trên môi trường máy ảo Android Runtime (ART) phiên bản Android 8.0 (Oreo) đến Android 10.
• Giới hạn: Tập dữ liệu thử nghiệm bao gồm 153 bản ghi bộ nhớ tiến trình (97 đồ thị ứng dụng lành tính và 56 đồ thị ứng dụng độc hại) được trích xuất trong môi trường thử nghiệm kiểm soát.

---

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Phương pháp phân tích	Cơ chế hoạt động	Ưu điểm	Nhược điểm & Rào cản kỹ thuật
Phân tích tĩnh (Static Analysis)	Dịch ngược APK, phân tích mã Smali, Manifest và chuỗi nhị phân.	Tốc độ nhanh, độ phủ mã nguồn cao, chi phí tính toán thấp.	Hoàn toàn bất lực trước kỹ thuật mã hóa DEX, Reflection động, Native code (JNI) và Obfuscation.
Phân tích động truyền thống (Dynamic Hooking)	Can thiệp vào runtime bằng Frida, Xposed hoặc sửa đổi AOSP ROM.	Bắt được hành vi thực thi thời gian thực, vượt qua mã hóa tĩnh.	Chi phí tài nguyên cao, làm chậm ứng dụng; dễ bị mã độc phát hiện cơ chế Hooking/Sandbox để tự hủy.
Pháp chứng bộ nhớ AOAG (Đề xuất)	Dump trực tiếp bộ nhớ RAM của tiến trình qua /proc và dựng đồ thị tham chiếu đối tượng.	Bất biến với các kỹ thuật che giấu mã, không sửa đổi runtime, lưu giữ toàn bộ dữ liệu nhạy cảm trong Heap.	Đòi hỏi giải mã cấu trúc dữ liệu cấp thấp phức tạp của ART và quản lý đồ thị quy mô lớn.

Yêu cầu hệ thống (Mô hình MoSCoW)

• Must-have: Khôi phục thành công địa chỉ gốc của đối tượng art::Runtime từ thư viện libart.so; giải mã chính xác các đối tượng trong RegionSpace; xây dựng cấu trúc đồ thị OAG chuẩn hóa.
• Should-have: Thuật toán phân tích ngữ nghĩa (Semantic Analysis) với chức năng tìm kiếm chuỗi/lớp đối tượng và xác định đường đi không chung cạnh (Edge-disjoint paths).
• Could-have: Tích hợp pipeline tự động từ khâu trích xuất RAM bằng Memfetch đến phân loại mã độc bằng GNN.
• Won't-have (giai đoạn này): Phân tích bộ nhớ kernel và hỗ trợ các kiến trúc Dalvik VM đời cũ (Android 4.x trở xuống).

Thiết kế kiến trúc hệ thống

Kiến trúc AOAG được chia làm 4 khối thành phần chính:

|                          KIẾN TRÚC HỆ THỐNG AOAG                            |
|  1. Acquisition Layer (Thu thập)                                            |
|  2. Runtime Structure Recovery - RDS (Khôi phục cấu trúc)                   |
|  3. Object Recovery & Reconstruction - ORR & OAGen (Giải mã & Dựng đồ thị)   |
|  4. Malware Classification Layer (Phát hiện mã độc)                         |

Công nghệ sử dụng

• Môi trường hệ thống: Linux Kernel 4.x / Android AOSP 8.0 - 10.0.
• Ngôn ngữ lập trình: Python 3.8+, C/C++ (sử dụng Header files chuẩn của ART).
• Thư viện đồ thị & Học máy: NetworkX 2.8+, PyTorch 1.12.0, PyTorch Geometric (PyG) 2.0+, Scikit-learn 1.1+.
• Công cụ phân tích nhị phân: GNU Binary Utilities (nm, objdump), GDB.

---

Implementation và kết quả

Quy trình giải mã bộ nhớ và thuật toán cốt lõi

Quy trình khôi phục bắt đầu bằng việc phân tích tĩnh thư viện thực thi libart.so để tìm ký hiệu _ZN3art7Runtime9instance_E. Địa chỉ này lưu giữ con trỏ tới đối tượng Runtime đơn thể (singleton) trong không gian tiến trình.

// Trích xuất cấu trúc đối tượng Runtime trong Android 8.0 (ART)
struct Runtime {
    void* callee_save_methods_[6];         // offset 0x0
    void* pre_allocated_OutOfMemoryError_; // offset 0x20
    void* pre_allocated_NoClassDefFoundError_; // offset 0x24
    void* resolution_method_;             // offset 0x28
    gc::Heap* heap_;                       // offset 0xF4 (244)
    void* jit_arena_pool_;                 // offset 0xF8 (248)
    void* arena_pool_;                     // offset 0xFC (252)
    ThreadList* thread_list_;              // offset 0x114 (276)
};

Khi đã có heap_, hệ thống truy cập vào cấu trúc RegionSpace (offset 0xA8). Mỗi Region được cấp phát có kích thước cố định (thường là 256 KB). Thuật toán quét và giải mã vùng nhớ Heap (HeapDump) duyệt qua toàn bộ các vùng Non-free Regions theo cơ chế sau:

Thuật toán 1: HeapDump Algorithm
----------------------------------------------------------------------
Input : Địa chỉ bắt đầu vùng nhớ (regionBegin), đỉnh vùng nhớ (regionTop)
Output: Danh sách đối tượng sống và hợp lệ trong Region

1  pos = regionBegin
2  while pos < regionTop do
3      if clazz -> ResolveClass(pos) != nullptr then
4          obj = GetObject(pos, clazz)
5          size = GetSize(obj)
6          pos = pos + size + kAlignment
7      else
8          pos = pos + kAlignment
9      end
10 end

Sau khi phát hiện đối tượng, mô-đun decodeObject sẽ giải mã nội dung dựa trên 4 phân loại dữ liệu chính:

Thuật toán 2: Giải mã đối tượng (ObjectDecode Algorithm)
----------------------------------------------------------------------
Input : Đối tượng obj, lớp clazz
Output: Thuộc tính và dữ liệu đã giải mã

1  if clazz == Primitive then
2      len = obj -> getType() -> getComponentSize()
3  else if clazz == String then
4      len = obj -> len
5  else if clazz == Array then
6      type = obj -> getType()
7      len = obj -> getComponentSize(type)
8  else
9      clazzName = obj -> getName()
10     fields[] = obj -> getFields()
11     len = fields -> getLength()
12 end
13 data = read(obj, len)

Dựa trên kết quả giải mã, thuật toán OAGen thiết lập đồ thị $G = (V, E)$. Mỗi nút $v \in V$ mang bộ ba thuộc tính $(\text{ID}, \text{Label}, \text{Data})$ biểu thị địa chỉ bộ nhớ, tên lớp Java và dữ liệu thực tế. Mối quan hệ tham chiếu giữa các trường dữ liệu được bổ sung đệ quy:

# Thuật toán đệ quy xây dựng cạnh đồ thị OAG
def recurse_object(G, node, heap_begin):
    decoded = decode_object(node, heap_begin)
    if decoded.type == "String":
        node.label = "java.lang.String"
        node.data = decoded.value
    elif decoded.type in ["PrimitiveArray", "ObjectArray"]:
        node.label = decoded.type_name
        references = get_all_references(decoded)
        for ref_addr in references:
            if not G.has_node(ref_addr):
                G.add_node(ref_addr)
            G.add_edge(node.id, ref_addr)
        node.data = decoded.raw_bytes
    elif decoded.type == "ComplexObject":
        node.label = decoded.class_name
        fields = get_object_fields(decoded)
        for field in fields:
            if field.is_reference and field.target_address != 0:
                if not G.has_node(field.target_address):
                    G.add_node(field.target_address)
                G.add_edge(node.id, field.target_address)
        node.data = decoded.field_values

Thuật toán 3: Xác định ngữ cảnh (Context Identification)
----------------------------------------------------------------------
Input : Nút đối tượng mục tiêu (target), Đồ thị G
Output: Đồ thị con ngữ cảnh H chứa các nút tiền nhiệm

1  nodePred = [target]
2  for n in nodePred do
3      for pred in G.iterpred(n) do
4          nodePred.append(pred)
5      end
6  end
7  H = G.subgraph(nodePred)
8  return H

Kết quả thực nghiệm và đánh giá số liệu

Hệ thống đã thực hiện trích xuất và dựng đồ thị thành công trên tập mẫu kiểm thử gồm các ứng dụng phổ biến (WhatsApp, Chrome, Facebook...) và các mẫu mã độc từ ngân hàng dữ liệu mã độc Android.

+-----------------------------------------------------------------------------------+
|               HIỆU QUẢ KHÔI PHỤC ĐỐI TƯỢNG VÙNG HEAP (TOP APPS)                   |
+-----------------------------------------------------------------------------------+
| Ứng dụng lành tính      | Tổng đối tượng Heap | Khôi phục thành công | Tỉ lệ (%)  |
| WhatsApp Messenger      | 142,580             | 138,302              | 97.00%     |
| Google Chrome           | 210,430             | 201,171              | 95.60%     |
| Android Messaging       | 89,210              | 86,980               | 97.50%     |
+-----------------------------------------------------------------------------------+
| Mẫu mã độc (Malware)    | Tổng đối tượng Heap | Khôi phục thành công | Tỉ lệ (%)  |
| Trojan-Banker.AndroidOS | 64,120              | 61,106               | 95.30%     |
| Ransomware.AndroidOS    | 45,890              | 44,054               | 96.00%     |
| Spyware.AndroidOS       | 78,340              | 74,814               | 95.50%     |
+-----------------------------------------------------------------------------------+

Phân tích đặc trưng đồ thị (Graph Metrics Analysis)

Phân tích thống kê đơn biến và đa biến trên 153 đồ thị cho thấy sự phân hóa rõ rệt về mặt hình thái học mạng giữa ứng dụng lành tính và mã độc:

• Bậc trung bình (Average Degree): Ứng dụng lành tính có cấu trúc liên kết phân tầng sâu (Average Degree $\approx 3.2 - 4.8$), trong khi mã độc thường tạo nhiều đối tượng ngầm cô lập hoặc tập trung đột biến vào các module mã hóa/kết nối mạng botnet.
• Hệ số phân cụm (Clustering Coefficient) & Đường kính mạng (Network Diameter): Đồ thị mã độc có xu hướng hình thành các thành phần liên kết mạnh (Strongly Connected Components - SCC) nhỏ lẻ, rời rạc và tỷ lệ nút cô lập (isolated_ratio) cao hơn 28.4% so với ứng dụng thông thường.

+-----------------------------------------------------------------------------+
|           ĐÁNH GIÁ HIỆU NĂNG PHÂN LOẠI MÃ ĐỘC CỦA CÁC MÔ HÌNH               |
+-----------------------------------------------------------------------------+
| Mô hình phân loại           | Accuracy (%) | Precision (%) | Recall/F1 (%)  |
| Random Forest (ML Baseline) | 88.20%       | 87.50%        | 87.80%         |
| Support Vector Machine (SVM)| 84.60%       | 83.10%        | 83.80%         |
| Multi-Layer Perceptron (MLP)| 86.90%       | 85.70%        | 86.20%         |
| GCN (Graph Convolutional)   | 93.40%       | 92.80%        | 93.10%         |
| GraphSAGE (Deep Graph Learn)| 95.80%       | 95.20%        | 95.50%         |
| GIN (Graph Isomorphism Net) | 94.70%       | 94.10%        | 94.40%         |
+-----------------------------------------------------------------------------+

Mô hình GraphSAGE đạt hiệu quả cao nhất với độ chính xác 95.80%, khẳng định rằng các liên kết ngữ nghĩa giữa các đối tượng trong bộ nhớ RAM chứa đựng dấu hiệu nhận diện mã độc có tính phân biệt vượt trội so với các đặc trưng trích xuất tĩnh.

---

Đổi mới và đóng góp

1. Tiên phong giải mã cấu trúc RegionSpace của ART CC GC: Đây là công trình nghiên cứu ứng dụng đầu tiên tại Việt Nam giải mã thành công cơ chế quản lý bộ nhớ dựa trên vùng (Region-based Memory Management) và bảng cấp phát luồng cục bộ RegionTLAB của bộ thu gom rác Concurrent Copying trên Android 8.0 trở lên.
2. Kỹ thuật trích xuất ngữ cảnh Points-to không phụ thuộc Logic mã nguồn: Khác với các phương pháp tái tạo giao diện truyền thống đòi hỏi phải học trước logic chương trình, giải pháp OAGen trong đồ án hoạt động hoàn toàn độc lập, cho phép truy vết mọi chuỗi tham chiếu và ngữ cảnh đối tượng từ bất kỳ file dump RAM nào.
3. Chuyển đổi pháp chứng số thành biểu diễn đồ thị học máy: Đồ án đã cầu nối thành công giữa hai lĩnh vực: Pháp chứng bộ nhớ (Memory Forensics) và Học sâu trên đồ thị (Graph Deep Learning), mở ra hướng tiếp cận hoàn toàn mới trong việc giám sát và phát hiện phần mềm độc hại.

---

Ứng dụng thực tế và triển khai

Tình huống ứng dụng thực tế (Use Cases)

• Trung tâm điều hành an ninh mạng (SOC / DFIR): Hỗ trợ các chuyên viên điều tra số khôi phục chứng cứ bay hơi (Volatile Evidence) trong RAM như tin nhắn trò chuyện chưa lưu, URL kết nối ngầm C&C Server, khóa giải mã mã độc tống tiền (Ransomware keys).
• Hệ thống tự động phân loại mã độc di động: Tích hợp pipeline trích xuất OAG vào quy trình Sandbox động để tăng cường lớp phòng thủ phân tích bộ nhớ.

|                         QUY TRÌNH TRIỂN KHAI SOC / DFIR                     |
|  [Thiết bị Android nghi nhiễm]                                              |
|  [File Raw Process Memory Dump]                                             |
|  [Cấu trúc Đối tượng Heap & Chuỗi ký tự nhạy cảm]                           |
|  [Mạng liên kết đối tượng OAG (Graph ML/GNN)]                               |
|  [Báo cáo Pháp chứng: Nhãn Mã Độc + Chuỗi chứng cứ C&C/Key (JSON & Dot)]    |

Yêu cầu triển khai và độ phức tạp

• Hạ tầng máy chủ trích xuất & phân tích: Máy chủ Ubuntu 20.04 LTS, CPU 8 Cores, RAM tối thiểu 16 GB, GPU NVIDIA (hỗ trợ CUDA cho huấn luyện GNN).
• Độ phức tạp thuật toán: Quá trình quét HeapDump và dựng OAG có độ phức tạp thời gian tuyến tính $O(N + E)$, trong đó $N$ là số đối tượng và $E$ là số liên kết tham chiếu trong Heap, đảm bảo thời gian xử lý trung bình dưới 45 giây cho mỗi tiến trình 200 MB RAM.

---

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

• Sự phụ thuộc vào cấu trúc nhị phân của libart.so: Khi nâng cấp phiên bản Android lớn (như Android 12, 13, 14), offset các trường trong đối tượng Runtime và RegionSpace có thể thay đổi, đòi hỏi phải cập nhật bảng ánh xạ offset.
• Thời điểm trích xuất bộ nhớ (Snaphot Timing): Dữ liệu khôi phục phụ thuộc vào trạng thái tại thời điểm dump RAM; nếu bộ thu gom rác (GC) đã thực hiện thu hồi vùng nhớ trước khi dump, một số đối tượng ngắn hạn có thể bị giải phóng.

Hướng phát triển tương lai

• Tự động hóa quá trình phân tích Header C++ để sinh mã Parser động cho mọi phiên bản Android Runtime mới nhất.
• Kết hợp mô hình Temporal Graph Neural Networks để phân tích chuỗi biến đổi của đồ thị Heap theo thời gian thực (Live Memory Streaming Forensics).

---

Đối tượng hưởng lợi

• Sinh viên & Học viên ngành An toàn thông tin: Nguồn tài liệu chuyên sâu về cấu trúc tầng thấp của Android Runtime, kỹ thuật dịch ngược và phương pháp nghiên cứu ứng dụng thực tế.
• Kỹ sư bảo mật & Chuyên gia điều tra số (DFIR): Bộ công cụ và phương pháp luận mạnh mẽ để trích xuất bằng chứng số từ bộ nhớ RAM trong các vụ án tội phạm công nghệ cao.
• Doanh nghiệp & Đơn vị phát triển giải pháp EDR di động: Cơ sở khoa học để thiết kế module phát hiện mã độc không dùng chữ ký (Signature-less) dựa trên hình thái học bộ nhớ.
• Nhà nghiên cứu học thuật: Cung cấp tập dữ liệu đồ thị chuẩn hóa (OAG Dataset) phục vụ cho các nghiên cứu tiếp theo về mạng nơ-ron đồ thị trong an ninh thông tin.

---

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai trích xuất bộ nhớ bằng Memfetch và DroidScraper là gì?

Hệ thống cần quyền truy cập root trên thiết bị Android mục tiêu (hoặc chạy trên môi trường Android Virtual Device - AVD) để đọc trực tiếp file ảo /proc/<pid>/mem và /proc/<pid>/maps. Máy trạm phân tích cần cài đặt Python 3.8+, thư viện NetworkX và bộ công cụ Android NDK để biên dịch các module phân tích C++.

2. Giới hạn mở rộng khi kích thước đồ thị OAG lên đến hàng trăm nghìn đỉnh là gì?

Khi số lượng đối tượng trong Heap vượt quá 500,000 nút, việc tìm kiếm toàn cục có thể gặp hiện tượng nghẽn bộ nhớ. Giải pháp được áp dụng là thuật toán cắt tỉa đệ quy với tham số giới hạn độ sâu (Depth Cut-off Limit = 30) trong mô-đun Context Identification, giúp cô lập chính xác đồ thị con chứa chứng cứ mà không làm quá tải tài nguyên.

3. Giải pháp này có tích hợp được vào hệ thống SIEM/SOAR hiện có của doanh nghiệp không?

Hoàn toàn có thể. Kết quả phân tích của AOAG có thể xuất ra dưới dạng chuẩn JSON hoặc file đồ thị .dot. Các hệ sinh thái giám sát an ninh (như Splunk, Elastic Security) có thể ingest trực tiếp các chỉ số đe dọa (IoC) và độ tin cậy của mô hình GNN thông qua RESTful API.

4. Chi phí duy trì và bảo trì hệ thống định kỳ như thế nào?

Chi phí bảo trì chủ yếu tập trung vào việc cập nhật bảng ánh xạ cấu trúc struct của libart.so khi Android phát hành bản cập nhật AOSP mới và tái huấn luyện (re-train) mô hình GNN theo định kỳ hàng quý với các mẫu mã độc mới xuất hiện.

5. Tại sao phương pháp tiếp cận qua đồ thị OAG lại vượt trội hơn phân tích chuỗi nhị phân (YARA rules trên RAM)?

YARA rules trên RAM dễ bị vượt qua nếu mã độc sử dụng kỹ thuật mã hóa chuỗi trong bộ nhớ và chỉ giải mã từng phần nhỏ khi thực thi. Ngược lại, OAG nắm bắt bản chất cấu trúc liên kết và cách thức ứng dụng tổ chức dữ liệu trong Heap – một đặc trưng hành vi cấu trúc mà mã độc rất khó che giấu mà không làm hỏng logic thực thi của chính nó.

---

Kết luận

Khóa luận tốt nghiệp của nhóm tác giả Lê Kim Tuấn và Nguyễn Ngọc Diễm Quỳnh đã giải quyết xuất sắc bài toán phát hiện mã độc Android thế hệ mới thông qua việc khai thác triệt để không gian pháp chứng bộ nhớ người dùng. Bằng việc kết hợp nhuần nhuyễn giữa kỹ thuật dịch ngược tầng thấp trên Android Runtime (ART), giải mã cấu trúc RegionSpace, xây dựng đồ thị cấp phát đối tượng OAGen và ứng dụng các mô hình học sâu đồ thị (GraphSAGE đạt độ chính xác 95.80%), công trình không chỉ có giá trị học thuật xuất sắc mà còn mang tính ứng dụng thực tiễn cao trong ngành an toàn thông tin.

Đây là nguồn tham khảo mẫu mực cho các kỹ sư bảo mật và nhà nghiên cứu quan tâm đến lĩnh vực Mobile Memory Forensics và AI in Cybersecurity.

Trích đoạn nội dung tài liệu

ĐẠI HỌC QUÓC GIA TP. HÒ CHÍ MINH TRƯỜNG ĐẠI HỌC CÔNG NGHỆ THÔNG TIN KHOA MẠNG MAY TÍNH VÀ TRUYEN THONG Lé Kim Tuan - 19520333 Nguyễn Ngọc Diễm Quỳnh - 19520242 KHÓA LUẬN TÓT NGHIỆP XÂY DỰNG BỘ DỮ LIỆU PHÁP CHỨNG TỪ BỘ NHỚ ỨNG DỤNG ANDROID CHO CÁC MÔ HÌNH PHÁT HIỆN MÃ ĐỘC Recovery and reconstruction of Android in-memory forensics artifacts for malware detection models KỸ SƯ NGANH AN TOAN THONG TIN GIANG VIEN HUONG DAN TS. Nguyén Tan Cam TP. HO CHÍ MINH, 2023 LỜI CẢM ƠN Kính gửi Giảng viên hướng dẫn TS.

Nguyễn Tan Cầm và Hội đồng phản biện Khóa luận tốt nghiệp, Chúng em xin gửi lời cảm ơn chân thành nhất đến TS. Nguyễn Tân Cam, các thành viên Hội đồng phản biện Khóa luận tốt nghiệp, và tất cả những người đã đóng góp và hỗ trợ chúng em trong quá trình thực hiện khóa luận tốt nghiệp chuyên ngành An toàn thông tin. Trong suốt quá trình nghiên cứu và viết khóa luận, chúng em đã được sự chỉ dẫn tận tâm, kiến thức chuyên môn sâu sắc và những lời khuyên quý báu từ thầy Nguyễn Tan Cầm. Sự hướng dan tận tâm của thay không chỉ giúp chúng em có được những kiến thức vững chắc về lĩnh vực An toàn thông tin mà còn giúp chúng em phát triển kỹ năng nghiên cứu, phân tích và giải quyết vân đề.

Chúng em cũng xin bày tỏ lòng biết ơn đến Hội đồng phản biện Khóa luận tốt nghiệp đã dành thời gian đọc và đánh giá khóa luận của chúng em. Những ý kiến đóng góp và nhận xét của Hội đồng phản biện là nguồn động viên và truyền cảm hứng quý giá để chúng em hoàn thiện khóa luận và nâng cao chất lượng công trình nghiên cứu của mình. Chúng em cũng xin bày tỏ lòng biết ơn đến gia đình, bạn bè và những người thân yêu đã luôn động viên và đồng hành trong suốt quá trình nghiên cứu. Sự hỗ trợ và khích lệ của họ đã mang lại sự tự tin và động lực cho chúng em vượt qua những khó khăn trong quá trình hoàn thành khóa luận.

Cuối cùng, chúng em xin gửi lời cảm ơn chân thành đến Trường Đại học Công nghệ Thông tin - ĐHQG thành phố Hồ Chí Minh và khoa Mang máy tính và truyền thông, chuyên ngành An toàn thông tin đã cung cấp môi trường học tập và nghiên cứu tốt, đồng thời cung cấp những kiến thức, kỹ năng và cơ hội phát triển cho chúng em trong suốt thời gian học tập tại trường. Lời cảm ơn này không đủ dé bày tỏ tất cả những cảm xúc và sự biết ơn sâu sắc của chúng em. Chúng em xin chân thành tri ân và hứa rằng chúng em sẽ tiếp tục nỗ lực hơn nữa, áp dụng những kiến thức đã học đề góp phần vào sự phát triển và ứng dụng của lĩnh vực An toàn thông tin. Xin chân thành cảm on! Trân trọng, Lê Kim Tuấn, Nguyễn Ngọc Diễm Quỳnh.

Lý do chọn để tài. _ Đối tượng nghiên cứu. _ Phạm vi nghiên cứu. MÔ HÌNH DE XUẤT VÀ CƠ SỞ LÝ THUYET.

Mô hình để xuất. Khôi phục cấu trúc dữ liệu Runtime. Khôi phục và tái tạo các đối tượng. Phân tích POin(S-tO.

Generating Object Allocation Graph — OAG. Phân tích ngữ nghĩa (Semantic Analysis). Lý thuyết đồ thị - các chỉ số của đồ thị OAG. Phân tích đơn biến.

Phân tích đa biến. Phân tích cấu trúc Mang. _ Phát hiện ứng dụng độc hai — các mô hình hoc máy truyền thống. Phát hiện ứng dụng độc hại — các mô hình mạng nơ ron đồ thỊ.

TRÌNH BAY ĐÁNH GIÁ BAN LUẬN VE KET QUẢ. Thiết lập môi trường. Tiến hành thf nghiém. Thu thập bộ nhớ.---¿5:- 5 c2t St St2xtrrrkrkerererkrkrrree 49 4.

Dựng đồ thị cấp phát. Trích xuất thuộc tính đồ thị cho mô hình học máy. Huấn luyện mô hình GNN. Đánh giá DroidScraper và QAGen.

Phát hiện mã độc bằng mô hình học máy. Đánh giá dữ liệu và các mô hình học máy truyền thống. Đánh giá mô hình Graph Neural Network (GNN). Kt qua rẻ.

Những đóng ØÓp mỚII.cccccccccsssesssssssesssssseeessssseessssssesessssiseesssseeeesssesserssseesed 67 Chương 6. HƯỚNG PHÁT TRIẺN.------ccc:z52222vs2ccctrcccvveee 68 Chương7. TÀI LIEU THAM KHAO. -sssssssssssssssssssseessececssssseeesccceesnnnesseeesene 69 MỤC LỤC HÌNH ẢNH Hình 3.

Kiến trúc của AOAG. Workflow của DroidScraper [1]. Minh hoạ một số liên kết mau trong đồ thi [7]. Android Runtime trong kiến trúc Android.------ccccz22cccvsecee 9 Hình 3.

Khởi tạo Runtime trong runtime. Các bộ cấp phát bộ nhớ có sẵn cho ART []. Workflow của DroidScraper [ Ï]. Địa chi co sở của đối tượng Runtime được khôi phục [1].

Đối tượng Runtime trong Android § dưới dạng một cấu trúc trong ngôn NEC 0T. Các luồng được khôi phục bởi module ThreadListing. Đối tượng RegionSpace trong Android 8, được biéu diễn dưới dạng một cấu trúc C [1] Hình 3. Đối tượng Region trong Android 8, được biêu diễn dưới dạng cấu trúc C [1].

DroidScraper - Khôi phục cấu trúc đữ liệu Runtime - Đầu ra của mô-đun Heap hiền thị các vùng non-free trong RegionSpace. DroidScraper - Khôi phục cấu trúc dữ liệu Runtime - HeapDump. DroidScaper - mô đun decodeObject giải mã các đối tượng String và Complex ObjeC(. 5S SE SE Ự E1 1111 1211110101 00101011010 tuy 26 Hình 3.

Kết quả tìm kiếm với tùy chọn là chuỗi "appointment". Minh họa tìm đường đi từ đỉnh nguồn đến đỉnh đích sử dụng các đường đi không chung cạnh với hàm dòng cực đại theo đường đi bé sung ngắn nhất [7]. Xác định ngữ cảnh từ đối tượng mục tiêu đến đỉnh gốc cao nhất với độ ùn ố ốốốố ốố ố ố ố. Dinh bị cô lập trong đồ thị.--- ¿¿©22++2222+++t22Ex+zesrrrseccrrr 37 Hình 3.

Strongly connected component trong đồ thị [41]. Strongly connected component và weakly connected component. Community (module) trong đồ thị. Độ phân cụm của đỉnh trong đỒ tHị.

tt nttEEEEEkEEEkeEkrrrrkererkres 40 Hình 3. Độ trung gian của đỉnh trong đồ thị.----¿- 2: ©5+©sz2zxczzxcrxesres 4I Hình 3. Network metrics trong đồ thị [40].----- 2 2+2 x+£xezx++zszrxerxzez 42 Hình 3. Phát hiện mã độc bằng các mô hình truyền thống.

Mô hình mạng neuron đồ thị [47][46]. Phát hiện mã độc bang mô hình mang neuron đồ thị. Các tập tin chứa bộ nhớ tiến trình.-- 2-2 z++z+z++2x++zx++zxzzxeex 49 Hình 4. Một phan nội dung của file HeapDump.

Một phan đồ thị OAG được biéu diễn bằng ngôn ngữ dot. Các đặc trưng của bộ dữ lIỆU. Dữ liệu đầu vào cho GNN.--cccc- 5c cccstiitrrtirrrrirrrriirrrrrrieo 52 Hình 4. Định nghĩa mô hình GNN.---- --- - 1111 HH giết 52 Hình 4.

Xếp hạng các đặc trưng (feature ranking) trong bộ đữ liệu. Tương quan giữa số lượng đỉnh và cạnh.---- 2-2 2 se +x+£x+zszzsse2 57 Hình 4. Số lượng đỉnh.--- 2 2 s52 SE2219EEEEE21121171211211121 712111111,58 Hình 4. Số bao: Gì hb Sẽ đổ á e.

Bậc trung bình của tat cả đỉnh trong đồ thị. Tỉ lệ đỉnh bị cô lập. Số lượng các thành phan kết nối mạnh (strongly connected component). Số lượng các thành phần kết nối yếu (weakly connected component).

Độ dài đường đi trung bình (average path length). Duong kính mang (network đdiaImef€T). Số lượng cộng đồng (community coun†).----:- z©sz+ss+cszzszsz 62 Hình 4. Hệ số phân cụm trung bình.-----¿- 2 + x+2E+2E++£++£xvzx+zzszrxerxeres 62 Hình 4.

Độ trung gian trung bình của các đỉnh (average betweenness centrality). Train loss, test loss và test accuracy qua các epoch của các mô hình GNN. MỤC LUC BANG Bang 4. Top 5 ứng dung mã độc tir dataset có ti lệ khôi phục thành công các đối {WON CAO NAL.

Top 5 ứng dụng lành tinh từ dataset có ti lệ khôi phục thành công các đối {WON CAO NAL. OAGen - 5 ứng dụng lành tinh có tỉ lệ khôi phục các đối tượng lớn nhất. OAGen - 5 ứng dụng độc hại có tỉ lệ khôi phục các đối tượng lớn nhất. Đánh giá hiệu quả các mô hình học máy truyền thống.

Đánh giá hiệu quả các mô hình GNN. cà cà sesseerrsrsee 64 MỤC LỤC THUẬT TOÁN Thuật toán 3. Thuật toán HeapDump [ Ì ].- - -- 55555555 **+svcs+eeseeeeseeeess 24 Thuật toán 3. Thuật toán giải mã đối tượng - lấy thông tin đối tượng - lấy dữ liệu của đối tượng [Ï].

- - -- 2 x+E£+E£EE£EE£EEEE12E127171211211211112112111171 21. Khởi tạo đồ thị phân b6 đối tượng (OAG) [7]. Đệ quy tìm kiếm dé thêm các đỉnh và cạnh vào đồ thị [7]. Thuật toán Xác định ngữ cảnh [7].- 5555 +++s‡++s+sex+eexssss 35 MỤC LUC TỪ VIET TAT STT | Ký hiệu chữ viết tat Chữ viết day đủ 1 AOAG Android Object Allocation Graph 2 AOSP Android Open-Source Project 3 API Application Programming Interface 4 ART Android Runtime 5 AVD Android Virtual Device 6 CC Concurrent Copying 7 CMS Concurrent Mark Sweep 8 GC Garbage Collection 9 GCN Graph Convolutional Network 10 GCRoots Garbage Collection Roots 11 GIN Graph Isomorphism Network 12 GNN Graph Neural Networks 13 GPS Global Positioning System 14 GraphSAGE Graph Sample and Aggregated 15 GRN Graph Recurrent Network 16 GSS Generational Semi-Space 17 HTTP Hypertext Transfer Protocol 18 ID Identification 19 IRT Indirect Reference Table 20 IRT Indirect Reference Table 21 JNI Java Native Interface 22 LOS LargeObjectSpace 23 MLP Multi-Layer Perceptron 24 OAG Object Allocation Graph 25 OOP Object Oriented Programming 26 ORR Object Recovery And Reconstruction 27 RAM Random Access Momery 28 RDS Runtime Data Structure Recovery 29 SCC Strongly Connected Component 30 SMS Short Message Services 31 SQL Structured Query Language 32 SS Semi-Space 33 SVM Support Vector Machine 34 TID Threat ID 35 TLAB Thread Local Allocator Buffer 36 WCC Weakly Connected Component TÓM TÁT KHÓA LUẬN Thời gian gần đây, các phương pháp và thuật toán liên quan đến pháp chứng bộ nhớ trong không gian người dùng (userland memory forensics) trở nên phô biến trong cộng đồng các chuyên gia.

Trong quá khứ, phân tích bộ nhớ được xem là một phương pháp bồ sung trong khôi phục dữ liệu quan trọng, như tin nhắn bị xóa khỏi bộ nhớ tạm. Tuy nhiên, phân tích bộ nhớ đã tiến xa hơn và trở thành một phương pháp tiên tiến dé điều tra và xác định các cuộc tan công và hành vi độc hại không dé lại bat ky dau vết nào trên dia cứng. Các phương pháp này chứng minh được tinh hữu ich trong các cuộc điều tra thực tế về tội phạm mạng và các vụ việc pháp lý. Chúng được sử dụng đề phân tích và khôi phục các đối tượng và thông tin từ không gian bộ nhớ của tiễn trình thực thi, đóng vai trò quan trọng trong quá trình điều tra.

Nghiên cứu này sử dụng một phương pháp bồ sung trong phân tích mã độc là khả năng phân tích bộ nhớ cho từng tiến trình để xác định đặc trưng của các ứng dụng Android trong phân tích mã độc. Nhóm thực hiện một phân tích dữ liệu sử dụng đồ thị phân bồ đối tượng được xây dựng từ bộ nhớ tai tao của tiễn trình Android dé khám phá các đặc tính phân biệt trong các ứng dụng độc hại và ứng dụng lành tính. Mô hình này gọi là Android Object Allocation Graphs (AOAG).