A comparison of classification algorithms for mobile malware detection: Market metadata as input source

Abstract

Kullanıcı merkezli güvenlik politikası ve resmi uygulama marketi için açık uygulama geliştirme stratejisi nedeniyle Android işletim sistemi destekli cihazlar başta olmak üzere, mobil cihazların yaygınlaşması kötü amaçlı yazılım geliştiricilerin dikkatini çekmektedir. Bu çalışmada, Android cihazlardaki kötü amaçlı mobil uygulamaların tespiti için otomatik, özellik-tabanlı bir statik analiz yöntemi uygulanmıştır. Çalışmanın esas amacı, uygulama tarafından talep edilen izinlerin yanı sıra diğer market bilgilerinin zararlı yazılımların tespitine olan katkısını araştırmaktır. Dolayısıyla, uygulamalar kullanıcılar tarafından resmi marketten indirilirken uygulamalarla ilgili sunulan bilgiler özellik kümesi olarak güdümlü sınıflandırma algoritmalarının eğitilmesinde kullanılmak kullanılmıştır. Bu özellik kümesi, uygulamanın kurulması anında kullanıcıdan talep edilen izinleri ve uygulama kategorisi, indirilme sayısı kategorisi, geliştirici adı vb. gibi uygulamayla ilgili diğer meta verileri kapsamaktadır. Ek olarak, çeşitli sınıflandırma algoritmaları tahminlerinin doğruluğu açısından kıyaslanmış ve özellikle seçme algoritmalarının sınıflandırma görevinin iyileştirilmesi üzerine etkisi araştırılmıştır. Sınıflandırma algoritmaları olarak Naive Bayes, k- nearest neighbor, J48 ve random forest seçilmiştir. Birer filtre-tabanlı algoritma olan Chi-Square, Information Gain ve ReliefF özellik seçme yöntemlerinden ise bahsi geçen sınıflandırma algoritmalarının eğitilmesinde kullanılan niteliklerin sayısını azaltmak üzere faydalanılmıştır.

The prevalence of mobile devices has been catching the attention of malware authors especially for Android OS supported devices due to its user-centric security policy and open application development strategy for its official application market. In this study, an automated feature-based static analysis method was applied to detect malicious mobile applications on Android devices. The main purpose of the study is to investigate the contribution of other application market metadata to the detection of malicious applications in addition to requested permissions. Hence, the information of applications presented on the official market when a user wants to download them was used as the feature set for training supervised classification algorithms. This feature set includes permissions requested from the user at the installation time, and other metadata about an application including but not limited to application category, download number category, and developer name. Additionally, different classification algorithms were compared in terms of their predictive accuracy and the effect of feature selection algorithms on the improvement of classification task was investigated. Naïve Bayes, k-nearest neighbor, J48 and random forest were chosen as classification algorithms. As filter-based algorithms, Chi-Square, Information Gain and ReliefF feature selection methods were utilized to reduce the number of attributes used to train those classification algorithms.