Preventing the release of illegitimate applications on mobile markets
Lutte contre la publication d'applications illégitimes sur les marchés mobiles
Résumé
The popularity of mobile applications has been growing worldwide over the last few decades. This popularity is attracting more and more authors of malicious applications called malwares. To detect those malwares, mobile markets have implemented analysis methods that suffer from several limitations. Those we have identified and which we propose to solve in the scope of this thesis are mainly two . The first is the inability to cope with a new method of malware publication consisting in anticipating the mobile version of a company that does not yet have one. The second limitation is the difficulty, due to app tracing, encountered by dynamic analysis solutions to be able to scale. To solve the first limitation we designed and implemented a security check system called IMAD (Illegitimate Mobile App Detector), which is based mainly on online search engines and machine learning techniques. To solve the second problem, we introduced a scalable tracing approach, that we call delegated instrumentation. It leverages Android's instrumentation module and mainly relies on ART (Android RunTime) reverse engineering and hacking. The evaluation results show that IMAD can protect companies from anticipation attacks with an acceptable error rate and at a low cost for MMPs. And we demonstrated the effectiveness of the delegated instrumentation with a prototype named ODILE that traces various app types (including benign apps and malwares) on Samsung Galaxy A7 2017. In particular, we show how much ODILE outperforms Frida, the state-of-the-art tool in the domain.
La popularité des applications mobiles grandit depuis ces dernières décennies dans le monde entier. cette popularité attire de plus en plus d'auteurs d'applications malvaillantes ou malwares. Pour détecter ces malwares, les marchés mobiles ont mis en place des méthodes d'analyse qui souffrent de plusieurs limitations. Celles que nous avons identifiées et que nous nous proposons de résoudre dans le cadre de cette thèse sont au nombre de deux. La première est l'impossibilité de faire face à une nouvelle méthode de plublication de malwares consisant à anticiper la version mobile d'une entreprise qui n'en a pas encore une. La seconde est la difficulté liée au trancing d’applications que rencontrent les solutions d'analyse dynamiques actuelles à pouvoir passser à l'échelle. Pour résoudre le premier problème, nous avons conçu et implémenté un système nommé IMAD (Illegitimate Mobile App Detector), qui se base principalement sur les moteurs de recherche en ligne et les techniques de machine learning afin d’identifier les malwares coupable d’anticipation. Pour résoudre le second problème, nous introduisons une approche de tracing scalable, que nous avons nommé l’instrumentation déléguée. Cette approche exploite le module d’instrumentation du système Android et se base principalement sur les techniques de hacking ainsi que sur le reverse engineering de l’Android Runtime (ART). Un prototype implémentant l’instrumentation déléguée et nommé ODILE a aussi été développé. Les résutats de l’évaluation montrent qu’IMAD peut protéger les entreprises des attaques par anticipation avec un taux d’erreur acceptable et un coût réduit pour les marchés mobiles d’applications. Aussi nous avons démontré l’effectivité de ODILE pour le tracing de plusieurs types d’applications (incluant les applications bénignes et les malwares) sur un Samsung Galaxy A7 2017. En particulier nous avons montré que ODILE outrepasse Frida l’outil actuellement utilisé dans le domaine.
| Origine | Version validée par le jury (STAR) |
|---|