Caractérisation et détection de malware Android basées sur les flux d'information.

Characterization and detection of Android malware based on information flows

• Auteur / Autrice : Radoniaina Andriatsimandefitra Ratsisahanana
• Direction : Ludovic Mé
• Type : Thèse de doctorat
• Discipline(s) : Informatique (STIC)
• Date : Soutenance le 15/12/2014
• Etablissement(s) : Supélec
• Ecole(s) doctorale(s) : École doctorale Mathématiques, télécommunications, informatique, signal, systèmes, électronique (Rennes)
• Partenaire(s) de recherche : Laboratoire : CIDRE / INRIA - SUPELEC
• Jury : Président / Présidente : David Pichardie
• Jury : Examinateurs / Examinatrices : Pascal Caron, Valérie Viêt Triêm Tông
• Jury : Rapporteurs / Rapporteuses : Radu State, Jean-Yves Marion

Mots clés

Mots clés contrôlés

Google Android (système d'exploitation des ordinateurs)

Réseaux d'information

Mots clés libres

Malware Android

Analyse dynamique de malware

Sécurité Android

Suivi de flux d’information

Détection de malware

Android malware

Dynamic analysis of Android malware

Android security

Dynamic information flow tracking

Malware detection

Résumé

Les flux d’information sont des transferts d’information entre les objets d’un environnement donné. À l’échelle du système, pour toute information appartenant à une application donnée, les flux impliquant cette information décrivent comment l’application propage ses données dans le système et l’ensemble de ces flux peut ainsi être considéré comme un profil comportemental de l’application. À cause du nombre croissant d’applications malveillantes, il est devenu nécessaire d’explorer des nouvelles techniques permettant de faciliter voir automatiser l’analyse et la détection de malware. Dans cette thèse, nous proposons ainsi une méthode pour caractériser et détecter les malware Android en nous basant sur les flux d’information qu’ils causent dans le système. Cette méthode repose sur deux autres contributions de la thèse : AndroBlare, la version Android d’un moniteur de flux d’information du nom de Blare, et les graphes de flux système, une structure de donnée représentant de manière compacte et humainement compréhensible les flux d’information observés. Nous avons évalué avec succès notre approche en construisant le profil de 4 malware différents et avons montré que ces profils permettaient de détecter l’exécution d’applications infectées par les malware dont on a un profil.

: Information flows are information exchanges between objects in a given environment. At system level, information flows involving data belonging to a given application describe how this application disseminates its data in the system and can be considered as behaviour based profile of the application. Because of the increasing number of Android malware, there is an urgent need to explore new approaches to analyse and detect Android malware. In this thesis, we thus propose an approach to characterize and detect Android malware based on information flows they cause in the system. This approach leverages two other contributions of the thesis which are AndroBlare, the Android version of an information flow monitor named Blare, and the system flow graph, a data structure to represent in a compact and human readable way the information flows observed by AndroBlare. We successfully evaluated our approach by building the profile of 4 different malware and showed that these profiles permitted to detect the execution of applications infected by malware for which we have computed a profile.