DEX와 ELF 바이너리 역공학 기반 안드로이드 어플리케이션 호출 관계 분석에 대한 연구 = Android Application Call Relationship Analysis Based on DEX and ELF Binary Reverse Engineering

국문 초록 (Abstract)

DEX 파일과, SO 파일로 알려진 공유 라이브러리 파일은 안드로이드 어플리케이션의 행위를 결정짓는 중요한구성요소이다. DEX 파일은 Java 코드로 구현된 실행파일이며, SO 파일은 ELF 파일 형식을 따르며 C/C++와같은 네이티브 코드로 구현된다. Java 영역과 네이티브 코드 영역은 런타임에 상호작용할 수 있다. 오늘날 안드로이드 악성코드는 지속적으로 증가하고 있으며, 악성코드로 탐지되는 것을 회피하기 위한 다양한 우회 기법을 적용한다. 악성코드 분석을 회피하기 위하여 분석이 어려운 네이티브 코드에서 악성 행위를 수행하는 어플리케이션 또한존재한다. 기존 연구는 Java 코드와 네이티브 코드를 모두 포함하는 함수 호출 관계를 표시하지 못하거나, 여러 개의 DEX을 포함하는 어플리케이션을 분석하지 못하는 문제점을 지닌다. 본 논문에서는 안드로이드 어플리케이션의DEX 파일과 SO 파일을 분석하여 Java 코드 및 네이티브 코드에서 호출 관계를 추출하는 시스템을 설계 및 구현한다.

다국어 초록 (Multilingual Abstract)

DEX file and share objects (also known as the SO file) are important components that define the behaviors of anAndroid application. DEX file is implemented in Java code, whereas SO file under ELF file format is implemented innative code(C/C++). The two layers – Java and native can communicate with each other at runtime. Malicious applicationshave become more and more prevalent in mobile world, they are equipped with different evasion techniques to avoid beingdetected by anti-malware product. To avoid static analysis, some applications may perform malicious behavior in native codethat is difficult to analyze. Existing researches fail to extract the call relationship which includes both Java code and nativecode, or can not analyze multi-DEX application. In this study, we design and implement a system that effectively extractsthe call relationship between Java code and native code by analyzing DEX file and SO file of Android application.

참고문헌 (Reference)

1 Smalisca, "smalisca github"

2 McAfee Labs, "mcAfee mobile threat"

3 McAfee Labs, "mcAfee mobile threat"

4 dex2jar, "dex2jar github"

5 apktool, "apktool"

6 Patrik Lantz, "Wireless Communications and Mobile Computing Conference (IWCMC)" IEEE 587-593, 2015

7 Yan Shoshitaishvili, "Sok : (state of)the art of war : Offensive techniques in binary analysis" 138-157, 2016

8 StateCounter, "Mobile operation market"

9 Fengguo Wei, "JN-SAF: Precise and Efficient NDK/JNI-aware Inter-language Static Analysis Framework for Security Vetting of Android Applications with Native Code" 1137-1150, 2018

10 Michael I. Gordon, "Information Flow Analysis of Android Applications in DroidSafe" 15 : 110-, 2015

11 John Ellson, "Graphviz—open source graph drawing tools" 2265 : 483-484, 2002

12 Steven Arzt, "Flowdroid : precise context, flow, field, object-sensitive and lifecycle-aware taint analysis for android apps" 49 (49): 259-269, 2014

13 "Dalvik Executable format, DEX format"

14 "Dalvik Bytecode, dalvik bytecode"

15 "Capstone Project, disassembly framework"

16 Fengguo Wei, "Amandroid: a precise and general inter-component data flow analysis framework for security vetting of android apps" 1329-1341, 2014

17 Suman R Tiwari, "A survey of android malware detection technique" 8 (8): 332-334, 2018