[논문]DEX와 ELF 바이너리 역공학 기반 안드로이드 어플리케이션 호출 관계 분석에 대한 연구

안진웅; 박정수; 응웬부렁; 정수환

doi:10.13089/jkiisc.2019.29.1.45

초록
AI-Helper

DEX 파일과, SO 파일로 알려진 공유 라이브러리 파일은 안드로이드 어플리케이션의 행위를 결정짓는 중요한 구성요소이다. DEX 파일은 Java 코드로 구현된 실행파일이며, SO 파일은 ELF 파일 형식을 따르며 C/C++와 같은 네이티브 코드로 구현된다. Java 영역과 네이티브 코드 영역은 런타임에 상호작용할 수 있다. 오늘날 안드로이드 악성코드는 지속적으로 증가하고 있으며, 악성코드로 탐지되는 것을 회피하기 위한 다양한 우회 기법을 적용한다. 악성코드 분석을 회피하기 위하여 분석이 어려운 네이티브 코드에서 악성 행위를 수행하는 어플리케이션 또한 존재한다. 기존 연구는 Java 코드와 네이티브 코드를 모두 포함하는 함수 호출 관계를 표시하지 못하거나, 여러 개의 DEX을 포함하는 어플리케이션을 분석하지 못하는 문제점을 지닌다. 본 논문에서는 안드로이드 어플리케이션의 DEX 파일과 SO 파일을 분석하여 Java 코드 및 네이티브 코드에서 호출 관계를 추출하는 시스템을 설계 및 구현한다.

Abstract ▼ AI-Helper

DEX file and share objects (also known as the SO file) are important components that define the behaviors of an Android application. DEX file is implemented in Java code, whereas SO file under ELF file format is implemented in native code(C/C++). The two layers - Java and native can communicate with...

DEX file and share objects (also known as the SO file) are important components that define the behaviors of an Android application. DEX file is implemented in Java code, whereas SO file under ELF file format is implemented in native code(C/C++). The two layers - Java and native can communicate with each other at runtime. Malicious applications have become more and more prevalent in mobile world, they are equipped with different evasion techniques to avoid being detected by anti-malware product. To avoid static analysis, some applications may perform malicious behavior in native code that is difficult to analyze. Existing researches fail to extract the call relationship which includes both Java code and native code, or can not analyze multi-DEX application. In this study, we design and implement a system that effectively extracts the call relationship between Java code and native code by analyzing DEX file and SO file of Android application.

주제어

표/그림 (7)

그림 Fig. 1. Disassemble example using IDA Pro
그림 Fig. 2. Part of Function Call Graph using Smalisca[7]
그림 Fig. 3. Call relationship Extraction from DEX file
표 Table 1. Dex File Structure
표 Table 2. A set of Dalvik instructions that invoke method.
그림 Fig. 4. Part of Function Call Graph Analysisresult
표 Table 3. Comparison with previous research

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문에서는 안드로이드 어플리케이션의 DEX(Dalvik EXecutable) 파일과 ELF(Executable and Linkable Format) 파일 구조 및 어플리케이션을 분석하기 위한 리버스 엔지니어링 툴과 기존 연구에 대해 소개하고, 기존 연구의 한계점을 보완하고 자바 코드와 네이티브 코드를 포함하는 정적 분석을 통해 함수의 호출관계를 추출하는 시스템을 제안 및 구현한다.
본 논문에서는 자바 코드로 구현된 DEX 파일과 네이티브 코드로 구현되는 SO 파일에 대해서 정적 분석을 수행하여 자바 코드와 네이티브 코드 모두를 포함하여 함수 호출 관계를 추출할 수 있는 시스템을 제안 및 구현하였다. 기존 연구에서는 악성 앱 분석 시 자바 코드 혹은 네이티브 코드를 개별로 분석한다는 문제점을 지녀, 자바 코드와 네이티브 코드에서 상호간 민감 정보가 전달되는 경우 분석에 어려움이 존재하였다.
2장에서 기존 연구에선 안드로이드 어플리케이션의 네이티브 코드에 대한 분석이 불가능하거나 DEX 파일이 다수인 경우, 분석이 불가능한 한계를 설명하였다. 본 논문에서는 자바 코드로 구현된 DEX 파일에 대한 정적 분석을 진행할 수 있는 분석 프로그램을 설계하고, 네이티브 코드로 구현된 ELF 파일 형식의 SO 파일에 대한 정적 분석을 진행하여 자바 코드와 네이티브 코드를 모두 포함한 함수 호출 관계를 분석하는 프로그램을 설계한다.
스마트폰에서 사용하는 안드로이드 운영체제는 대부분 ARM 아키텍처를 채택하였으므로 네이티브 코드는 일반적으로 ELF 파일 형식의 Arm instruction 기반 SO 파일로 저장된다. 본 절에서는 안드로이드 DEX 파일과 SO 파일을 정적 분석할 수 있는 툴과 기존 연구에 대해 소개한다.
DroidSafe[9]는 안드로이드 어플리케이션에서 악성 코드를 확인하고 제거하는 기술에 대한 연구이다. 안드로이드 어플리케이션의 소스코드 혹은 자바 바이트코드를 통해 앱의 흐름을 분석하는 정적 분석에 대한 연구이다. AndroidManifest.

제안 방법

Data영역의 insns 리스트에서 다른 메소드를 호출하는 특정 Dalvik 명령어를 필터링한다. 메소드를 호출하는 Dalvik 명령어는 총 10개로 Table 2.
최근 지능화된 안드로이드 악성 어플리케이션은 정적 분석되는 것을 막기 위하여 정적 및 동적 분석이 어려운 네이티브 코드로 구현된 SO 파일을 활용하여 악성 행위를 숨긴다. ELF 파일 형식의 Arm Instruction 기반 SO 파일을 분석하여 네이티브 코드에 대해 분석할 수 있으며, 어플리케이션의 DEX 파일을 추출하여 정적으로 Dalvik Instruction을 이용하여 자바 코드에 대해 정적 분석을 수행할 수 있다.
서론에 이어 본 논문의 2절에서는 관련 연구로 안드로이드 어플리케이션의 DEX와 ELF 파일 구조를 분석하기 위한 리버스 엔지니어링 툴과 기존 연구 및 한계점을 소개한다. 다음으로 3절에서는 안드로이드 SDK(Standard Development Kit)를 이용한 자바 코드로 구현된 실행파일인 DEX 파일의 구조와, NDK(Native Development Kit)를 이용하여 네이티브 코드로 구현된 실행파일인 ELF 파일의 구조 및 본 논문에서 제안하는 어플리케이션 분석 시스템에 대해 기술한다. 4절에서는 제안하는 시스템의 구현 및 결과와 기존 연구에 대해 비교하여 기술한다.
본 논문에서 제안하는 시스템은 DEX 파일의 헤더를 검사하여 bytecode 로 저장된 모든 DEX 파일을 읽은 후 정적 바이너리 분석하여 자바 코드 분석이 가능하며, 자바 reflection 기법이 적용된 Multi-Dex 어플리케이션을 분석할 수 있다. 또한, 네이티브 코드 분석을 위해 어플리케이션 내에 저장된 파일의 헤더를 검사하여 SO 파일인지 확인하고, SO 파일을 분석하여 네이티브 코드 내에서의 함수 호출 관계를 분석한다. 네이티브 코드 분석에는 symbolic execution 기법을 사용하지 않고 경우의 수에 상관없이 코드 내에 존재하는 모든 호출 관계를 추출하기 때문에 symbolic execution으로 인해 발생하는 path explosion 문제가 발생하지 않는다.
정적 분석은 안드로이드 어플리케이션 파일을 실제로 실행하지 않고 분석하는 방식으로, 바이트코드 혹은 디컴파일 된 소스코드를 이용하여 분석을 진행한다. 바이트코드를 이용한 분석 시, apk 파일을 디컴파일하여 AndroidManifest.xml 파일과 classes.dex 파일을 분석하여 악성 행위를 탐지한다. 그러나 최근 지능화된 일부 악성 어플리케이션은 분석이 어려운 네이티브(native) 코드로 구현된 SO (Shared Object)파일에서 악성행위를 수행하여 정적 분석을 우회하는 기법이 적용되고 있다.
본 논문에서 제안하는 시스템은 DEX 파일의 헤더를 검사하여 bytecode 로 저장된 모든 DEX 파일을 읽은 후 정적 바이너리 분석하여 자바 코드 분석이 가능하며, 자바 reflection 기법이 적용된 Multi-Dex 어플리케이션을 분석할 수 있다. 또한, 네이티브 코드 분석을 위해 어플리케이션 내에 저장된 파일의 헤더를 검사하여 SO 파일인지 확인하고, SO 파일을 분석하여 네이티브 코드 내에서의 함수 호출 관계를 분석한다.
load() 함수가 호출되어야하며, 접근 제한자에 native 로 정의된 네이티브 메소드를 호출하게 된다. 본 논문에서 제안하는 시스템은 네이티브 메소드 호출시 ELF 파일 내의 Dynamic Symbol Table을 참조하여 Java_className_methodName 형식의 호출 대상 함수를 검색 후, 해당 함수의 코드 영역인 .text 섹션을 참조하여 자바 코드와 네이티브 코드의 호출 관계 그래프를 연결한다.

이론/모형

text 섹션은 ARM 어셈블리 명령어로 구성되어 있으며 전체 코드를 나타낸다. ARM 아키텍처를 포함한 다양한 아키텍처의 디컴파일을 지원하는 디스어셈블러 프로젝트인 capstone 엔진[16]을 적용하여 .text 섹션을 디컴파일한다.
text 섹션을 참조하여 자바 코드와 네이티브 코드의 호출 관계 그래프를 연결한다. 시각화에는 그래프를 그리는데 사용되는 오픈소스인 Graphviz 모듈[17]을 사용하였으며, 안드로이드 어플리케이션의 caller-callee 관계를 표현하였다. Fig.
JN-SAF는 안드로이드 앱의 콜 그래프를 생성하는 기존 연구를 통합하여 자바 코드와 네이티브 코드를 통합한 콜 그래프를 생성하는 연구이다[11]. 자바 코드의 콜 그래프 생성에는 Amandroid[12] 등 기존 도구를 사용하였으며, 네이티브 코드의 콜 그래프 생성에는 angr 도구를 사용하였다[13]. JN-SAF는 콜 그래프 생성에 이용한 기존 연구의 단점을 그대로 가진다.

성능/효과

DEX 파일은 필드별로 클래스와 메소드 정보를 저장하고 있고, DEX 헤더에서 필드별 offset과 크기를 지정하고 있다. 따라서 DEX 파일의 헤더 정보를 바이너리 값으로 읽어 들인 후 분석하여 각 클래스와 메소드 정보를 획득하고, 메소드별 Dalvik bytecode 형태의 실행코드를 확인할 수 있다. 메소드를 호출하는 Dalvik 명령어는 Table 2.
네이티브 코드 분석에는 symbolic execution 기법을 사용하지 않고 경우의 수에 상관없이 코드 내에 존재하는 모든 호출 관계를 추출하기 때문에 symbolic execution으로 인해 발생하는 path explosion 문제가 발생하지 않는다. 또한, 자바 코드와 네이티브 코드가 상호간 호출하는 관계를 추출하고 이를 결합하여 자바 코드와 네이티브 코드까지 모두 포함된 함수 호출 관계를 추출할 수 있다. 지능화된 악성 앱의 경우, 자바 코드에서 민감 정보를 획득하고 네이티브 코드에서 민감 정보를 전송하는 등 자바 코드 혹은 네이티브 코드를 개별로 분석 시 파악할 수 없는 악성행위 사례가 존재한다.
기존 연구에서는 악성 앱 분석 시 자바 코드 혹은 네이티브 코드를 개별로 분석한다는 문제점을 지녀, 자바 코드와 네이티브 코드에서 상호간 민감 정보가 전달되는 경우 분석에 어려움이 존재하였다. 본 논문에서 제안 및 구현한 시스템에서는 자바 코드와 네이티브 코드에서 수행되는 앱의 호출 관계를 추출하여 악성행위 동작 시퀀스를 획득하는 것이 용이해진다. 이에 따라 코드상에서 실제로 전달되는 민감 정보 컨텐츠의 흐름을 파악하여 데이터 추적 시 자바 코드와 네이티브 코드 모두에서 사용되는 데이터에 대해 분석할 수 있도록 활용할 수 있다.
지능화된 악성 앱의 경우, 자바 코드에서 민감 정보를 획득하고 네이티브 코드에서 민감 정보를 전송하는 등 자바 코드 혹은 네이티브 코드를 개별로 분석 시 파악할 수 없는 악성행위 사례가 존재한다. 이러한 사례에서 본 논문의 연구를 이용하여 자바 코드와 네이티브 코드의 상호간 연결되는 호출 관계를 추출하여 행위를 파악하는 것이 가능하다.

후속연구

Patrik Lantz가 제안한 기법[10]은 네이티브 라이브러리를 사용하여 정적 분석을 우회하는 앱을 분석하기 위해, JNI(Java Native Interface)를 통해 자바 코드가 네이티브 코드를 호출하거나 네이티브 코드가 자바 코드를 호출하는 방법에 대해 소개하고 데이터 흐름 분석을 위한 콜 그래프 생성 기법이다. 그러나 해당 기법을 제안한 저자는 네이티브 코드를 분석 시 네이티브 함수에서 자바 코드를 호출하는 관계를 추출하는 것은 가능하지만, 네이티브 함수에서 또 다른 네이티브 함수를 호출하는 경우는 분석하지 못한다는 점을 한계점으로 제시하였다. 또한, DEX 파일이 다수로 구성된 앱이 수행하는 기법인 DEX 동적 로딩에 대해서는 다루지 않는 문제점이 있다.

질의응답

핵심어	질문	논문에서 추출한 답변
	정적 분석이란?	악성 어플리케이션을 분석하는 방법으로 정적 분석과 동적 분석 두 가지 방법이 있다. 정적 분석은 안드로이드 어플리케이션 파일을 실제로 실행하지 않고 분석하는 방식으로, 바이트코드 혹은 디컴파일 된 소스코드를 이용하여 분석을 진행한다. 바이트코드를 이용한 분석 시, apk 파일을 디컴파일하여 AndroidManifest.
	악성 어플리케이션을 분석하는 방법으로 어떤 방법이 있는가?	이에 따라 안드로이드 악성 어플리케이션의 분석에 대한 중요성이 높아지고 있다. 악성 어플리케이션을 분석하는 방법으로 정적 분석과 동적 분석 두 가지 방법이 있다. 정적 분석은 안드로이드 어플리케이션 파일을 실제로 실행하지 않고 분석하는 방식으로, 바이트코드 혹은 디컴파일 된 소스코드를 이용하여 분석을 진행한다.
	바이트코드만으로 악성 어플리케이션을 분석하면 한계는?	dex 파일을 분석하여 악성 행위를 탐지한다. 그러나 최근 지능화된 일부 악성 어플리케이션은 분석이 어려운 네이티브(native) 코드로 구현된 SO (Shared Object)파일에서 악성행위를 수행하여 정적 분석을 우회하는 기법이 적용되고 있다. 이에 따라 자바 코드와 네이티브 코드를 모두 분석할 수 있는 시스템이 필요하다.

참고문헌 (17)

Suman R Tiwari, "A survey of android malware detection technique," Journal of Network Communications and Emerging Technologies (JNCET), vol. 8, no. 4, pp. 332-334, Apr. 2018.
StateCounter, "Mobile operation market" http://gs.statcounter.com/os-market-share/mobile/worldwide, 2018-09-05.
McAfee Labs, "mcAfee mobile threat" https://www.mcafee.com/enterprise/en-us/assets/reports/rp-mobile-threat-report-2018.pdf, 2018-09-06.
McAfee Labs, "mcAfee mobile threat" https://www.mcafee.com/enterprise/en-us/assets/reports/rp-mobile-threat-report-2017.pdf, 2018-09-06.
dex2jar, "dex2jar github" https://github.com/pxb1988/dex2jar, 2018-09-10.
apktool, "apktool" https://ibotpeaches.github.io/Apktool, 2018-09-10.
Smalisca, "smalisca github" https://github.com/dorneanu/smalisca, 2018-09-10.
Steven Arzt, Siegfried Rasthofer, Christian Fritz, Eric Bodden, Alexandre Bartel, Jacques Klein, Yves Le Traon, Damien Octeau, and Patrick McDaniel, "Flowdroid: precise context, flow, field, object-sensitive and lifecycle-aware taint analysis for android apps," Acm Sigplan Notices, vol.49, no.6, pp. 259-269, Jun. 2014.

상세보기
Michael I. Gordon, Deokhwan Kim, Jeff Perkins, Limei Gilham, Nguyen Nguyen, and Martin Rinard, "Information Flow Analysis of Android Applications in DroidSafe," NDSS, vol.15, pp. 110, Feb. 2015.
Patrik Lantz and Bjorn Johansson, "Towards bridging the gap between dalvik bytecode and native code during static analysis of android applications," Wireless Communications and Mobile Computing Conference (IWCMC), IEEE, pp. 587-593, Aug. 2015.
Fengguo Wei, Xingwei Lin, Xinming Ou, Ting Chen, and Xiaosong Zhang, "JN-SAF: Precise and Efficient NDK/JNI-aware Inter-language Static Analysis Framework for Security Vetting of Android Applications with Native Code," Proceedings of the 2018 ACM SIGSAC Conference on Computer and Communications Security, pp. 1137-1150, Oct. 2018.
Yan Shoshitaishvili, Ruoyu Wang, Christopher Salls, Nick Stephens, Mario Polino, Andrew Dutcher, John Grosen, Siji Feng, Christophe Hauser, Christopher Kruegel and Giovanni Vigna, "Sok:(state of) the art of war: Offensive techniques in binary analysis," 2016 IEEE Symposium on Security and Privacy, pp 138-157, May. 2016.
Dalvik Executable format, "DEX format" https://source.android.com/devices/tech/dalvik/dex-format, 2018-09-15.
Fengguo Wei, Sankardas Roy, and Xinming Ou, "Amandroid: a precise and general inter-component data flow analysis framework for security vetting of android apps," Proceedings of the 2014 ACM SIGSAC Conference on Computer and Communications Security, pp. 1329-1341, Nov. 2014.
Dalvik Bytecode, "dalvik bytecode" https://source.android.com/devices/tech/dalvik/dalvik-bytecode, 2018-09-15.
Capstone Project, "disassembly framework" https://www.capstone-engine.org, 2018-09-23.
John Ellson, Emden Gansner, Lefteris Koutsofios, North Stephen C, and Gordon Woodhull, "Graphviz-open source graph drawing tools," In International Symposium on Graph Drawing, Springer Berlin Heidelberg, vol.2265, pp. 483-484, Feb. 2002.

이 논문을 인용한 문헌

저자의 다른 논문 :

LOADING...

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

DEX와 ELF 바이너리 역공학 기반 안드로이드 어플리케이션 호출 관계 분석에 대한 연구
Android Application Call Relationship Analysis Based on DEX and ELF Binary Reverse Engineering 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

주제어

표/그림 (7)

표/그림 (7)

AI 본문요약
AI-Helper

문제 정의

제안 방법

이론/모형

성능/효과

후속연구

질의응답

참고문헌 (17)

이 논문을 인용한 문헌

저자의 다른 논문 :

연구과제 타임라인

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

DEX와 ELF 바이너리 역공학 기반 안드로이드 어플리케이션 호출 관계 분석에 대한 연구 Android Application Call Relationship Analysis Based on DEX and ELF Binary Reverse Engineering 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

주제어

표/그림 (7) 모든 표/그림 보기

표/그림 (7) 슬라이드로 보기

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

제안 방법

이론/모형

성능/효과

후속연구

질의응답

참고문헌 (17)

이 논문을 인용한 문헌

저자의 다른 논문 :

박정수 (8) 응웬부렁 (4) 정수환 (93)

연구과제 타임라인

전체(0) 논문(0) 특허(0) 보고서(0)

전체(0) 논문(0) 특허(0) 보고서(0)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

DEX와 ELF 바이너리 역공학 기반 안드로이드 어플리케이션 호출 관계 분석에 대한 연구
Android Application Call Relationship Analysis Based on DEX and ELF Binary Reverse Engineering 원문보기

초록
AI-Helper

표/그림 (7)

표/그림 (7)

AI 본문요약
AI-Helper