Sis ema de De ecci´on de
Malwa e en And oid
TRABAJO DE FIN DE GRADO
In´es He as C´ace es
Diego Sie a Li as
Di ec o es:
Luis Ja ie Ga c´ıa Villalba
Ana Lucila Sando al O ozco
G ado en Ingenie ´ıa In o m´a ica
Facul ad de In o m´a ica
Uni e sidad Complu ense de Mad id
Mad id, Junio de 2015
iii
Ag adecimien os
Quisi´e amos ag adece a Luis Ja ie Ga c´ıa Villalba y a Ana Lucila Sando al O ozco,
los Di ec o es de es e T abajo, el apoyo b indado.
Asimismo, quisi´e amos ag adece la dedicaci´on de Jo ge Maes e Vidal. Sin su ines i-
mable ayuda, es e T abajo no hab ´ıa sido posible.
Finalmen e, nues o m´as since o ag adecimien o al es o de miemb os del G upo GASS
(G upo de An´alisis, Segu idad y Sis emas, h p://gass.ucm.es), G upo de In es igaci´on
del Depa amen o de Ingenie ´ıa del So wa e e In eligencia A i icial de la Facul ad de
In o m´a ica de la Uni e sidad Complu ense de Mad id, po las acilidades o ecidas.
i
Resumen
El p esen e abajo a a de da espues a al p oblema de la de ecci´on del malwa e en
los disposi i os m´o iles. Los sis emas de p o ecci´on que ac ualmen e poseen los disposi i-
os m´o iles in eligen es se han mos ado ine icaces. Pa a asegu a los en e a una posible
in ecci´on de so wa e malicioso, debe comple a se la segu idad que o ecen las ca ac e ´ıs i-
cas del sis ema o la c iba de aplicaciones en los me cados de desca ga o iciales. Siendo un
´a ea de in es igaci´on ecien e, la mayo pa e de los abajos se han cen ado en la de-
ecci´on del malwa e es udiando su compo amien o en ejecuci´on, que iene de e minado
po las llamadas al sis ema que ealiza. La p incipal mo i aci´on de es e abajo p ocede
de la escasez de abajos que ealizan un es udio ´apido y desligado de la ac i idad del
usua io. Pa a ello el sis ema p opues o ex ae las llamadas al sis ema ealizadas du an-
e los p ime os segundos de ejecuci´on de una aplicaci´on en un en o no aislado. Adem´as
se iene en cuen a no s´olo la can idad de llamadas al sis ema sino ambi´en la in o ma-
ci´on que se puede ex ae de su secuencia empo al, g acias a la aplicaci´on de algo i mos
de alineamien o de secuencias. Los expe imen os ealizados demues an que la ac i idad
del malwa e iene p esencia al inicio de las ejecuciones, consigui´endose as´ı su de ecci´on
emp ana en la mayo ´ıa de los casos y minimiz´andose el impac o sob e el sis ema p o egido.
Palab as Cla e
Alineamien o de Secuencias, And oid, Aplicaci´on, De ecci´on, Disposi i os In eligen es,
Llamadas al Sis ema, Malicioso, Malwa e.

ii
Abs ac
This wo k seeks o sol e he p oblem o de ec ing malwa e on mobile de ices. P o-
ec ion sys ems cu en ly ha e sma mobile de ices ha e p o en ine ec i e. In o de o
insu e agains possible in ec ion o malicious so wa e, secu i y mus be comple ed ea u-
es o e ed by he sys em o he o icial ma ke s. Being an a ea o ecen esea ch, mos
o he wo k has ocused on he de ec ion o malwa e s udying hei beha io , which is
de e mined by he sys em calls du ing he execu ion. The main mo i a ion o his wo k
comes om he sca ci y o jobs pe o med quickly and de ached s udy o use ac i i y. Fo
his, he p oposed sys em ex ac s he sys em calls made du ing he i s seconds o un-
ning an applica ion in an isola ed en i onmen . Also i is aking in o accoun no only he
numbe o sys em calls bu also in o ma ion ha can be gleaned om hei iming, using
sequence alignmen algo i hms. The esul s ob ained om he expe imen s demons a e
he objec i es we e success ully comple ed. The p oposal has shown ha malwa e ac i i y
is p esen a he beginning o he execu ions. I has also go an ea ly de ec ion o malwa e
in mos cases, hus he impac on he p o ec ed sys em has been minimal.
Keywo ds
And oid, Applica ion, De ec ion, Malicious, Malwa e, Sequence Alignmen , Sma De-
ices, Sys em Calls.
Los abajo i man es au o izan a la Uni e sidad Complu ense de Mad id (UCM) a di undi
y u iliza con ines acad´emicos, no come ciales y mencionando exp esamen e a sus au o-
es el p esen e T abajo Fin de G ado: “Sis ema de De ecci´on de Malwa e en And oid”,
ealizado du an e el cu so acad´emico 2014-2015 bajo la di ecci´on de Luis Ja ie Ga c´ıa
Villalba y Ana Lucila Sando al O ozco en el Depa amen o de Ingenie ´ıa del So wa e e
In eligencia A i icial, y a la Biblio eca de la UCM a deposi a lo en el A chi o Ins i ucional
E-P in s Complu ense con el obje o de inc emen a la di usi´on, uso e impac o del abajo
en In e ne y ga an iza su p ese aci´on y acceso a la go plazo.
In´es He as C´ace es Diego Sie a Li as
2

Cap´ı ulo 1
In oducci´on
En los ´ul imos a˜nos se ha inc emen ado la apa ici´on de dis in os ipos de disposi i os
in eligen es. As´ı, en e un 60 y un 80 po cien o de la poblaci´on de los pa´ıses en los que
hay acceso a In e ne , lo hacen a a ´es de Sma phones o Table as [1], los cuales son u i-
lizados una media de dos ho as dia ias. Adem´as, se es ima que en 2017 hab ´a en el mundo
1,4 disposi i os m´o iles po habi an e y sus en as supe a ´an a las de las compu ado as
pe sonales. A la luz de es os da os, es e iden e que el in e ´es y la impo ancia de es os
disposi i os en la sociedad es cada ez m´as no able y, p esumiblemen e, segui ´a a anzando
a pasos agigan ados.
De en e las ca ac e ´ıs icas de los disposi i os m´o iles des aca la p esencia de senso es
ales como gi oscopios, mic ´o onos, localizado es GPS, e c.; la capacidad de conexi´on a
alg´un ipo de ed ele ´onica, Blue oo h, Wi-Fi; o la posibilidad de adqui i y u iliza apli-
caciones desa olladas po e ce os [2]. Pe o a pesa de las e iden es en ajas que o ecen,
p esen an ambi´en cie os p oblemas que pueden llega a se c uciales pa a la segu idad
del usua io. Es o es debido a que es os disposi i os almacenan in o maci´on muy sensible
y a iada, que puede comp ome e la segu idad, la p i acidad e, incluso, la econom´ıa del
p opie a io o la de e ce os. Los senso es que inco po an es as ecnolog´ıas ambi´en pueden
ecoge da os sin que el usua io sea ealmen e conscien e de la can idad de in o maci´on
que el disposi i o es ´a manejando. Es po es o po lo que la c eaci´on de so wa e malicio-
so o malwa e, espec´ı ico pa a es e ´ambi o, se ha dispa ado a la misma elocidad que su uso.
Finalmen e, es impo an e des aca que en e los usua ios no exis e conciencia del peli-
g o al que es ´an expues os an e un posible a aque. La inmensa mayo ´ıa desconoce incluso
que el malwa e pa a m´o iles exis e, y que las aplicaciones que ins alan en sus disposi i os
pueden p esen a compo amien os malin encionados. Po ello, se hace necesa io plan ea
modelos de segu idad m´as all´a de la acci´on del usua io, con olando los me cados y los
disposi i os.
3
4Cap
´
ı ulo 1. In oducci´
on
1.1. Malwa e pa a M´o iles
Malwa e es cualquie ipo de so wa e o c´odigo de p og ama hos il, in usi o o dise˜nado
pa a usa un disposi i o sin el conocimien o del p opie a io. La e oluci´on y p oli e aci´on
del malwa e en disposi i os m´o iles es ´a ´ın imamen e ligada al aumen o de sus capacida-
des de ed y ecu sos in o m´a icos. As´ı, se ienen e idencias de que el p ime malwa e pa a
m´o iles ue desa ollado en 2004 pa a a aca a disposi i os Symbian [3]. Sin emba go, es a
pa i de 2010 cuando empieza a c ece signi ica i amen e [4], es ando dedicado p incipal-
men e a los sis emas And oid e iOs. S´olo pa a And oid en 2012 se es ima que exis ´ıan ce ca
de 35.000 p og amas maliciosos, siendo obje i o del 79 % del malwa e gene ado du an e
ese a˜no en e al 11,5 % del a˜no 2010 [5].
Pa a analiza los a aques y sus ipos, se deben ene en cuen a es pe spec i as: com-
po amien o y obje i os, o mas de dis ibuci´on del malwa e y m´e odos de adquisici´on de
p i ilegios.
1.1.1. Compo amien o y Obje i os del A aque
En la mayo ´ıa de los casos el malwa e pe sigue a ios obje i os y adem´as su p op´osi o y
compo amien o puede a ia po medio de una o den emo a emi ida po quienes lo con-
olan. El m´as com´un de sus obje i os es el bene icio econ´omico. En es e sen ido se pueden
encon a ejemplos a ios, como en el caso del aude u o e billing. Es e a aque consis e en
ca ga gas os a la cuen a de la ´ıc ima (que son ans e idos a la del a acan e) po medio
de llamadas o SMS en iados a n´ume os de a i icaci´on adicional sin el consen imien o del
usua io. Habi ualmen e, el usua io elaciona es e ipo de a aques con un con lic o con la
compa˜n´ıa p o eedo a del se icio, pasando po al o su e dade a na u aleza [6].
O o ipo de a aque es el de la denegaci´on de se icio o sabo aje, el llamado a aque
DoS (del ingl´es Denial o Se ice) que a a de consumi la ba e ´ıa del disposi i o limi an-
do su iempo de ope aci´on, o bien de nega le al usua io el acceso a de e minados ecu sos
o edes [7]. Cuando se ejecu a de o ma dis ibuida (DDoS), puede ocasiona pe juicios
no s´olo a uno o a ios usua ios, sino incluso a di e sas o ganizaciones [2]. Po ejemplo,
se puede llega a colapsa la conexi´on a In e ne de una zona o se ido si se empiezan a
en ia paque es masi os a una ed.
Po ´ul imo, se puede a a de comp ome e la p i acidad po medio de la ´ecnica
llamada sni ing [8], la cual ap o echa los da os que ecogen los senso es y las edes de las
que hace uso el disposi i o, pudiendo ob ene im´agenes [9], g abaciones ele ´onicas, con-
ase˜nas, mensajes de co eo elec ´onico, da os banca ios o cualquie ipo de in o maci´on
que maneje, en ´ıe o eciba el disposi i o. Es a es una de las amenazas m´as p eocupan es
1.1. Malwa e pa a M´
o iles 5
pa a los usua ios u o ganizaciones, pues o que en los disposi i os m´o iles se almacenan y
se a an da os p i ados y clasi icados, an o pe sonales como emp esa iales.
En la Figu a 1.1 se de alla la ocu encia de cada ipo de obje i o po cada sis ema
ope a i o.
Hoja1
Robo Mal uso Sabo aje SPAM F aude
Symbian 50.00% 0 50.00% 0 0
BB 66.00% 33.00% 0 0 0
And oid 65.00% 30.00% 0 10.00% 20.00%
Iphone 23.00% 0.00% 0 0 23.00%
Windows 0 60.00% 0 0 0
% en as de aplicaciones
2011 2012 2013
And oid 49.00% 69.00% 78.00%
iOs 18.00% 18.00% 15.00%
Windows 2.00% 3.00% 4.00%
BB 11.00% 4.00% 2.00%
O he s 20.00% 6.00% 1.00%
1281
1281
1281
1282
1282
1283
1283
1283
1283
1283
1283
1284
1284
1285
1285
1285
1285
1287
1287
1288
1288
1288
1288
1295
Obje i os
0.00%
10.00%
20.00%
30.00%
40.00%
50.00%
60.00%
70.00%
Symbian BB And oid Iphone Windows
Obje i os
Robo
Mal uso
Sabo aje
SPAM
F aude
0.00%
20.00%
40.00%
60.00%
80.00%
100.00%
120.00%
Symbian BB And oid Iphone Windows
Dis ibución
M2D
A2D
W2D
N2D
U2D
S2D
Página 1
Figu a 1.1: Tipos de a aques
1.1.2. M´e odos de Dis ibuci´on
Es impo an e conoce los medios po los que se dis ibuyen los p og amas maliciosos,
pa a as´ı a aja el con agio. Hay dos g andes ap oximaciones [10]: la au op opagaci´on y la
ingenie ´ıa social. Den o del p ime ipo se ag upan los siguien es m´e odos: Aplicaci´on a
Disposi i o (Applica ion o De ice, A2D, el c´odigo malicioso se encuen a en una aplica-
ci´on que luego in ec a al disposi i o), SMS a Disposi i o (SMS o De ice, S2D, se con agia
el disposi i o po medio de un SMS), USB a Disposi i o (USB o De ice, U2D), Red a
Disposi i o (Ne wo k o De ice, N2D), Disposi i o a Disposi i o (De ice o De ice, D2D)
y Nube a Disposi i o (Cloud o De ice, C2D). En es os casos el malwa e es ´a p og amado
pa a con amina el disposi i o cuando se pone en con ac o con ´el.
Po o o lado, la ingenie ´ıa social, ag upa m´e odos como Me cado a Disposi i o (Ma -
ke o De ice, M2D, el usua io desca ga desde el me cado un p og ama malicioso) o el de
Na egado Web a Disposi i o (Web-b owse o De ice, W2D).
Como se mues a en la Figu a 1.2, la ingenie ´ıa social es el p incipal m´e odo de dis-
ibuci´on de malwa e. Posiblemen e es o se deba a la poca conciencia an e el pelig o que
mues an los usua ios; habi ualmen e son los que desca gan las aplicaciones in ec adas
desde los me cados. Tambi´en es ecuen e la combinaci´on de ambas es a egias.
6Cap
´
ı ulo 1. In oducci´
on
Hoja1
Robo Mal uso Sabo aje SPAM F aude
Symbian 50.00% 0 50.00% 0 0
BB 66.00% 33.00% 0 0 0
And oid 65.00% 30.00% 0 10.00% 20.00%
Iphone 23.00% 0.00% 0 0 23.00%
Windows 0 60.00% 0 0 0
% en as de aplicaciones
2011 2012 2013
And oid 49.00% 69.00% 78.00%
iOs 18.00% 18.00% 15.00%
Windows 2.00% 3.00% 4.00%
BB 11.00% 4.00% 2.00%
O he s 20.00% 6.00% 1.00%
1281
1281
1281
1282
1282
1283
1283
1283
1283
1283
1283
1284
1284
1285
1285
1285
1285
1287
1287
1288
1288
1288
1288
1295
Obje i os
0.00%
10.00%
20.00%
30.00%
40.00%
50.00%
60.00%
70.00%
Symbian BB And oid Iphone Windows
Obje i os
Robo
Mal uso
Sabo aje
SPAM
F aude
0.00%
20.00%
40.00%
60.00%
80.00%
100.00%
120.00%
Symbian BB And oid Iphone Windows
Dis ibución
M2D
A2D
W2D
N2D
U2D
S2D
Página 1
Figu a 1.2: Tipos de dis ibuciones
1.1.3. Adquisici´on de P i ilegios
Pa a que el malwa e sea e ec i o no es su icien e con que se p opague al disposi i o,
ambi´en iene que consegui una se ie de p i ilegios pa a pode accede a las pa es c ´ı i-
cas del sis ema y ealiza las acciones necesa ias pa a ejecu a su labo . Habi ualmen e,
es os p i ilegios son di ec amen e concedidos po los usua ios [10] al ins ala aplicaciones
en apa iencia leg´ı imas pe o que esconden alg´un compo amien o malicioso. Los usua ios
no son conscien es de la epe cusi´on de ans e i de e minados pe misos a p og amas
desconocidos y, en ocasiones, ni an siquie a p es an a enci´on a las pe iciones pa a su
au o izaci´on. Po lo an o, es e m´e odo es al amen e e icaz, al y como se mues a en la
Figu a 1.3.
O o p ocedimien o basado en la ecnolog´ıa consis e en la explo aci´on de las ulne-
abilidades o e o es en la con igu aci´on de la pla a o ma [11]. Se u ilizan oo ki s pa a
de ec a de qu´e o ma se pueden ap o echa dichos e o es. Es e ipo de malwa e in ec a
el sis ema ope a i o, po lo que puede se conside ablemen e pelig oso y, adem´as, dejan la
pue a abie a a u u as in ecciones.
1.2. Modelos de Segu idad
Hoy en d´ıa, los me cados o iciales de dis ibuci´on de aplicaciones cuen an con dis in os
mecanismos pa a in en a ga an iza la segu idad de las mismas. P incipalmen e, u ilizan
p uebas de e i icaci´on pa a comp oba la legi imidad del c´odigo de la aplicaci´on. Sin
emba go, de ec a el malwa e es demasiado complejo; no se conoce en de alle el unciona-
mien o in e no de es as p uebas y la p esencia de un conside able n´ume o de aplicaciones
maliciosas e idencia que es un m´e odo insu icien e. Adem´as se deben ene en cuen a las
1.2. Modelos de Segu idad 7
Hoja1
The Misuse Sabo age SPAM F audulence
Symbian 50.00% 0 50.00% 0 0
BB 66.00% 33.00% 0 0 0
And oid 65.00% 30.00% 0 10.00% 20.00%
Iphone 23.00% 0.00% 0 0 23.00%
Windows 0 60.00% 0 0 0
% en as de aplicaciones
2011 2012 2013
And oid 49.00% 69.00% 78.00%
iOs 18.00% 18.00% 15.00%
Windows 2.00% 3.00% 4.00%
BB 11.00% 4.00% 2.00%
O he s 20.00% 6.00% 1.00%
1281
1281
1281
1282
1282
1283
1283
1283
1283
1283
1283
1284
1284
1285
1285
1285
1285
1287
1287
1288
1288
1288
1288
1295
Obje i os
0.00%
20.00%
40.00%
60.00%
80.00%
100.00%
120.00%
Symbian And oid
Dis ibu ion
0
0.2
0.4
0.6
0.8
1
1.2
Symbian BB And oid Iphone Windows
Adquisición de p i ilegios
Usua ios
E o es
0.00%
10.00%
20.00%
30.00%
40.00%
50.00%
60.00%
70.00%
80.00%
90.00%
And oid Windows O he s
% aplica ion sales
2011
2012
2013
Página 1
Figu a 1.3: Fo mas de adquisici´on de p i ilegios
Hoja1
Robo Mal uso Sabo aje SPAM F aude
Symbian 50.00% 0 50.00% 0 0
BB 66.00% 33.00% 0 0 0
And oid 65.00% 30.00% 0 10.00% 20.00%
Iphone 23.00% 0.00% 0 0 23.00%
Windows 0 60.00% 0 0 0
% en as de aplicaciones
2011 2012 2013
And oid 49.00% 69.00% 78.00%
iOs 18.00% 18.00% 15.00%
Windows 2.00% 3.00% 4.00%
BB 11.00% 4.00% 2.00%
O he s 20.00% 6.00% 1.00%
1281
1281
1281
1282
1282
1283
1283
1283
1283
1283
1283
1284
1284
1285
1285
1285
1285
1287
1287
1288
1288
1288
1288
1295
Obje i os
0.00%
20.00%
40.00%
60.00%
80.00%
100.00%
120.00%
Symbian BB And oid Iphone Windows
Dis ibución
M2D
A2D
W2D
N2D
U2D
S2D
0.00%
10.00%
20.00%
30.00%
40.00%
50.00%
60.00%
70.00%
80.00%
90.00%
And oid iOs Windows BB O he s
% de en as de aplicaciones
2011
2012
2013
Página 1
Figu a 1.4: Ven as de aplicaciones
desca gas desde me cados no o iciales que no poseen ning´un ipo de il o de segu idad y
son al amen e pelig osas.
Desde el pun o de is a de la pla a o ma, una mane a de a a de ga an iza la segu-
idad es la de es ingi la comunicaci´on en e aplicaciones y las acciones que ´es as pueden
ealiza , incluyendo el acceso a da os y se icios. Tambi´en se p opone la ´ecnica de aisla
la ejecuci´on de la aplicaci´on en en o nos con olados, llamada sandboxing.
En la Figu a 1.4 se mues a que And oid es el sis ema ope a i o m´o il que p edomina,
as´ı como una endencia a que con in´ue c eciendo [5]. iOS es el segundo m´as endido, aun-
que a cie a dis ancia de And oid, y el es o cada ez iene menos impo ancia en cuan o
a en as de disposi i os y aplicaciones.

8Cap
´
ı ulo 1. In oducci´
on
A con inuaci´on, se analizan los m´e odos y decisiones adop ados po los cinco p incipales
sis emas ope a i os que dominan ac ualmen e.
1.2.1. Symbian
El modelo de segu idad de Symbian se basa en un sis ema b´asico de pe misos pa a
con ola los ecu sos del disposi i o. Las aplicaciones se ejecu an en el espacio de usua io
mien as que el sis ema ope a i o lo hace en el espacio del n´ucleo.
Las aplicaciones que equie en acceso a biblio ecas p o egidas y, po lo an o, son m´as
ulne ables, deben es a i madas con un ce i icado expedido po Symbian [12], mien as
que odas las dem´as pueden es a au o i madas, no eniendo acceso a es as lib e ´ıas peli-
g osas. De es a o ma las aplicaciones ya es ´an con oladas y la segu idad de los me cados
se hace innecesa ia, siendo casi inexis en e. Pa a la mejo a de la segu idad de Symbian se
ha p opues o el uso de algo i mos de ap endizaje au om´a ico que analicen el compo a-
mien o de las aplicaciones [13]. A pesa de su al a iabilidad, Symbian es de los sis emas
ope a i os menos u ilizados.
1.2.2. BlackBe y
La segu idad de BlackBe y se basa en un esquema amplio de pe misos que ha demos-
ado se muy segu o [14]. Inicialmen e, las aplicaciones ienen un acceso muy limi ado a
los ecu sos y, pos e io men e, pueden ecibi au o izaci´on pa a escala sus p i ilegios. Es
necesa ia la i ma del ab ican e pa a accede a las biblio ecas, o eciendo un sis ema de
p o ecci´on b´asico pa a p ocesos y memo ia. Es e es p obablemen e el sis ema m´as segu o
de los que se han analizado, pe o p esen a el incon enien e de se ambi´en muy ce ado,
con un me cado muy limi ado.
1.2.3. Windows Mobile
Mic oso [15] basa su modelo de segu idad en la alidaci´on de los desa ollado es y
la epu aci´on y alo aci´on de cada aplicaci´on. En las ´ul imas e siones, cada aplicaci´on se
ejecu a en su p opio sandbox, en el que se conceden los pe misos a los que se ha dado au-
o izaci´on, de o ma simila a como se elaciona en el sis ema And oid. Sin emba go, es os
pe misos se piden en la ins alaci´on y deben se concedidos po los usua ios, los cuales no
suelen ene en cuen a la impo ancia de los mismos. Adem´as, es muy di ´ıcil modi ica los
en iempo de ejecuci´on [16].
1.3. Es uc u a de la Memo ia 9
1.2.4. And oid
El esquema de segu idad de And oid se cen a p incipalmen e en el p opio disposi i o,
ya que los usua ios es ´an au o izados a desca ga aplicaciones desde cualquie pla a o ma
de dis ibuci´on o me cado. El o ma o de pe misos se aduce en un mani ies o que debe
se au o izado po el usua io du an e la ins alaci´on y adjudicado en iempo de ejecuci´on.
Sin emba go, debido a la ole ancia del usua io espec o a la concesi´on de pe misos, es a
´ecnica es poco e ec i a.
And oid ambi´en u iliza la ´ecnica del sandboxing [17] [18], aislando cada aplicaci´on en
su p opia m´aquina Dal ik. ´
Es a gene a un c´odigo de by es y o o ga a cada una un iden-
i icado de usua io dis in o, a excepci´on de las aplicaciones de un mismo desa ollado ,
las cuales compa en iden i icado , lo que les pe mi e compa i ecu sos. Sin emba go, las
aplicaciones pueden compa i in o maci´on en e ellas expl´ıci amen e median e una in e -
az pa a la comunicaci´on.
Es in e esan e cen a se en es e sis ema en conc e o pues o que es el m´as u ilizado, y
ambi´en el que m´as in ecciones su e.
1.2.5. iOS
A di e encia de And oid, Apple di ige su segu idad hacia el me cado debido a que
limi a la capacidad de desca ga al suyo p opio [19]. Po lo an o, las aplicaciones y los
desa ollado es necesi an pa a su e i icaci´on una i ma median e un ce i icado expedido
po Apple. Sin emba go, los de alles de las p uebas de e i icaci´on no son de dominio
p´ublico, po lo que su e icacia es di ´ıcil de e alua .
Po lo gene al, su segu idad a ni el de pla a o ma es m´as d´ebil que en And oid, o
p ´ac icamen e inexis en e, ya que las aplicaciones se ejecu an en un ´unico en o no aislado,
com´un pa a odas ellas, eniendo adem´as acceso a la mayo ´ıa de los ecu sos del disposi i o.
Po ello, en los ´ul imos modelos se es ´a a ando de amplia es e sis ema, con olando el
´a ico de da os pe sonales.
1.3. Es uc u a de la Memo ia
Es a memo ia se es uc u a en 5 Cap´ı ulos, siendo el p ime o la p esen e in oducci´on.
En el Cap´ı ulo 2se exponen los abajos que p e iamen e han a ado de da espues a
al p oblema del malwa e en disposi i os m´o iles. En el Cap´ı ulo 3se explican las p inci-
pales he amien as que se han enido en cuen a a la ho a de oma la decisi´on de si los
da os obse ados se conside a leg´ı imos o maliciosos. En el Cap´ı ulo 4queda de allada la
p opues a que expone el p oyec o. El Cap´ı ulo 5mues a las conclusiones de es e abajo.
10 Cap
´
ı ulo 1. In oducci´
on
Cap´ı ulo 2
T abajos Relacionados
Pa a la ealizaci´on de es e abajo se han analizado los es udios y p oyec os que p e-
iamen e han a ado de da soluci´on al p oblema del malwa e en disposi i os m´o iles.
As´ı, se puede da una isi´on gene al de las u ilidades necesa ias pa a lle a a cabo es a
labo y conoce de o ma concisa c´omo se puede implemen a el p oceso de de ecci´on de
malwa e pa a disposi i os m´o iles.
En es e cap´ı ulo se es udian los modos de a a los da os una ez han sido ecopila-
dos y ex a´ıdos del disposi i o que se a a es udia , as´ı como los ipos de es a egias de
de ecci´on de malwa e en disposi i os m´o iles desde cua o pe spec i as, dependiendo de
la na u aleza de los da os. ´
Es as son: an´alisis es ´a ico, an´alisis din´amico, an´alisis mix o y
an´alisis de me ada os. Tambi´en se de allan los conjun os de malwa e m´as u ilizados pa ece
ealiza p uebas.
2.1. T a amien o de Da os
Los disposi i os m´o iles cuen an con ecu sos bas an e limi ados, sob e odo en cuan o
a la ba e ´ıa y elocidad de p ocesamien o, po lo que es impo an e de e mina de o ma
co ec a el luga en el cual se an a analiza los da os ex a´ıdos del mismo y la o ma en
la que se a a ealiza dicho an´alisis [20].
Una p ime a ap oximaci´on consis e en ealiza el an´alisis en el p opio disposi i o. Re-
sul a una en aja pues o que, al no se necesa ia una conexi´on con el ex e io , no exis e
dependencia de o os se ido es o de la elocidad de la conexi´on a In e ne . Adem´as, se
e i an las b echas de segu idad de i adas de la ansmisi´on de da os a a ´es de la ed, ya
que pueden se in e cep ados y modi icados.
Sin emba go, la mayo ´ıa de los p oyec os es udiados ealizan el an´alisis en se ido es
emo os o en la nube. Se iene en cuen a que la mayo ´ıa de los disposi i os m´o iles es ´an
11
18 Cap
´
ı ulo 2. T abajos Relacionados

Cap´ı ulo 3
M´e odos de An´alisis
Pa a lle a a cabo es e p oyec o se han es udiado dis in os m´e odos de an´alisis y clasi-
icaci´on de da os. En es e cap´ı ulo se explican los algo i mos que se han enido en cuen a
pa a p ocesa y compa a los da os u ilizados como e e encia con aquellos de o igen des-
conocido, con el in de de e mina su na u aleza. ´
Es os son: edes bayesianas, m´aquinas
de ec o sopo e y alineamien o de secuencias.
Adem´as, se desc iben las p uebas es ad´ıs icas es udiadas que pe mi en, a pa i de las
pun uaciones ob enidas de los algo i mos, calcula el es ad´ıs ico que e ela a qu´e pobla-
ci´on pe enece una mues a. Po ´ul imo, se de alla el uncionamien o de m´e odos pa a la
c eaci´on de modelos que de inan las poblaciones de mues as que se oman pa a el es udio.
3.1. P ocesamien o de Da os
Pa a p ocesa los da os es necesa ia la aplicaci´on de algo i mos que con ie an la in o -
maci´on ex a´ıda en in o maci´on ´u il con la que iden i ica los pun os m´as ele an es pa a
la iden i icaci´on del malwa e. A con inuaci´on se explican los algo i mos cuyo uso es ´a m´as
ex endido en es e ´ambi o.
3.1.1. Red Bayesiana
Las edes bayesianas [36] consis en en un ipo de modelo de p obabilidad en el que se
elacionan una se ie de hechos alea o ios que pueden ocu i y la elaci´on de p obabilidad
en e ellos. Se ep esen a como un g a o en el que cada nodo supone un suceso y las a is as
implican dependencia condicional. Cada nodo iene una dis ibuci´on de p obabilidad que
depende de los da os de en ada y iene como salida la p obabilidad de que ese suceso
ocu a. Las edes bayesianas pueden en ende se como la elaci´on de causa-e ec o en e
hechos que pueden ocu i . As´ı, en la Figu a 3.1 se ep esen a que si el suceso B ocu e,
19
20 Cap
´
ı ulo 3. M´
e odos de An´
alisis
exis e una cie a p obabilidad de que ocu a A y, a su ez, C. Adem´as, la p obabilidad de
que ocu a C se ´a:
P(C) = P(B)P(A)
Es e ipo de edes son u ilizadas en muy di e sos campos, como bioin o m´a ica, p o-
cesamien o de im´agenes y ex os o sis emas de oma de decisiones. En es e ´ul imo caso,
las edes bayesianas esul an muy ´u iles cuando no se ienen muchos pa ´ame os de en-
ada. Sin emba go, no ienen en cuen a la secuencia de hechos, simplemen e se necesi a
conoce el es ado an e io , lo cual puede supone un p oblema en el caso de los p og amas
in o m´a icos, en los que el o den en el que ocu en los sucesos suele se ele an e.
C
A B
Figu a 3.1: Esquema de decisi´on de las edes bayesianas
Hoja1
5
9
8
7
10
8
5
4
8
9
6
7
8
10
5
6
9
8
7
6
15
19
18
17
20
18
15
14
18
19
16
17
18
20
15
16
19
18
17
16
0
5
10
15
20
25
14710 13 16 19 22 25 28 31 34 37 40
Página 1
Figu a 3.2: Plano de ep esen aci´on de da os en SVM
3.1.2. Cadenas de Ma ko
Pa a soluciona el incon enien e de no ene en cuen a la secuencia empo al de hechos
p esen e en las edes bayesianas, se pueden u iliza las cadenas o modelos de Ma ko [37].
3.1. P ocesamien o de Da os 21
Se a a de un ipo de p oceso en el que la p obabilidad de que un e en o llegue a ocu i
depende ´unica y exclusi amen e del suceso an e io , cumpliendo as´ı la llamada p opiedad
de Ma ko . Sin emba go, aunque un es ado dependa solamen e del an e io , el his o ial de
e en os ocu idos queda ep esen ado en cada es ado, de o ma que se dispone de oda la in-
o maci´on necesa ia pa a de e mina la p obabilidad de que ocu an los es ados siguien es.
La cadena de Ma ko se compone de una secuencia de e en os alea o ios X1, X2, . . . ,
Xn, Xn+1. Po la p opiedad de Ma ko , la p obabilidad de Xn+1 depende ´unicamen e de
Xn:
P(Xn+1 =xn+1|xn, Xn−1=xn−1, . . . , X2=x2, X1=x1) = P(Xn+1 =xn+1|Xn=xn)
A pesa de que de es e m´e odo es u ilizado en muy di e sos campos como medicina,
´ısica o juegos de aza y, aunque ya se ha u ilizado en o os p oyec os de de ecci´on de
malwa e, pueden alcanza una complejidad conside able cuando se a a de cadenas con
una al a can idad de posibles e en os alea o ios.
3.1.3. M´aquinas de Vec o Sopo e
Las m´aquinas de ec o sopo e (o SVM, del ingl´es Suppo Vec o Machines) son un
conjun o de algo i mos supe isados que pe enecen a la amilia de los clasi icado es li-
neales. Es os algo i mos ep esen an los da os como pun os en un plano, lo cual pe mi e
c ea clasi icaciones dependiendo de las ag upaciones de pun os. Pa a c ea un co ec o
modelo de clases, debe exis i una ase de en enamien o que pe mi a de ini median e la
gene aci´on de un hipe plano una sepa aci´on ´op ima en e conjun os de pun os [38], al y
como se mues a en la Figu a 3.2. Una ez ob enido el modelo, dada una mues a desco-
nocida pe mi e di e encia de o ma cla a los da os analizados pa a de e mina a qu´e clase
pe enecen.
Es e ipo de algo i mo ya ha sido u ilizado en o os p oyec os de de ecci´on de malwa e
[13], lo cual supone una en aja pues o que ya han sido p obados. Sin emba go, en la ase
de en enamien o es complicado de e mina cu´al debe se la di e encia pa a conside a un
da o como pe enecien e a un g upo o a o o, lo cual puede da luga a e o es. Adem´as,
como en el caso de edes bayesianas, solamen e se ienen en cuen a los hechos ocu idos,
y no la secuencia empo al de los mismos, lo cual es impo an e a la ho a de analiza la
ejecuci´on de p og amas.
22 Cap
´
ı ulo 3. M´
e odos de An´
alisis
3.1.4. Alineamien o de Secuencias
Los algo i mos de alineamien o de secuencias [39] a an de compa a dos cadenas de
elemen os pa a esal a sus zonas de simili ud, ellenando con huecos las pa es no coinci-
den es. Habi ualmen e, son u ilizados en bioin o m´a ica pa a compa a cadenas de ADN
y ARN. Sin emba go, son pe ec amen e aplicables en o os ´ambi os.
Las cadenas a compa a se colocan de al o ma que se hagan coincidi las zonas de
mayo simili ud. Finalmen e, esul a una pun uaci´on que de e mina el g ado de semejanza
en e ambas. Es o se consigue a˜nadiendo huecos o espacios, que se ´an los que se penalizan
nega i amen e. Adem´as, exis en a ios ipos de alineamien os de secuencias, en e los que
des acan el alineamien o global y el local. Aunque pa a cadenas su icien emen e simila es,
los esul ados en e ellos no se di e encian. En la Figu a 3.3 se mues an ambos, isua-
liz´andose el sis ema de adici´on de huecos en cada caso.
Global Local
A
B
A
B
C
D
E
D
D
C
F
C
F
A
B
A
B
C
D
E
D
D
C
F
C
F
A
-
-
B
C
D
-
D
D
C
-
C
F
-
-
A
B
C
D
-
D
D
-
C
F
-
FIGURA 7
-
A
B
C
D
A
2
-3
4
1
B
-3
5
0
1
C
4
0
8
-7
D
1
1
-7
-5
d=-1
A
B
A
B
C
D
A
-
-
B
C
C
S(A,A) + 2*d + S(B,B) + S(C,C) + S(D,C)=
2 + (-2) + 5 + 8 + (-7) = 6
FIGURA 8
ma ch = -1 misma ch = -1 gap = -1
G
C
A
T
G
C
U
0
-1
-2
-3
-4
-5
-6
-7
G
-1
1
0
-1
-2
-3
-4
-5
A
-2
0
0
1
0
-2
-2
-3
T
-3
-1
-1
0
2
1
0
-1
T
-4
-2
-2
-1
1
1
0
-1
A
-5
-3
-3
-1
0
0
0
-1
C
-6
-4
-2
-2
-1
-1
1
0
A
-7
-5
-3
-1
-2
-2
0
0
FIGURA9
Figu a 3.3: Alineamien o Global e sus Alineamien o Local
Habi ualmen e, las secuencias es ´an o madas po los elemen os de un al abe o ini o
de s´ımbolos. En un p incipio, es necesa io es ablece un g ado de semejanza en e es os
s´ımbolos, lo que se puede consegui median e una ma iz cuad ada de simili ud. En es a
ma iz de simili ud (S) se encuen a en cada celda S(i, j) el alo indicado pa a los s´ımbo-
los iyjdel al abe o.
Adicionalmen e, se equie e de un pa ´ame o (d) que indique la penalizaci´on po hueco
o gap. En la Figu a 3.4 se mues a un ejemplo de alineamien o y los pa ´ame os u ilizados.
3.1.4.1. Alineamien o Global
El alineamien o global si e pa a co eja cadenas en su conjun o o zando la compa a-
ci´on desde su inicio has a ocupa la longi ud o al. Po es e mo i o, unciona especialmen e
bien cuando las secuencias iniciales son simila es y globalmen e son de ama˜no pa ecido.
Un algo i mo habi ual pa a su implemen aci´on y que consigue la o denaci´on de las
secuencias es el algo i mo Needleman-Wunsch [40], basado en p og amaci´on din´amica.
3.1. P ocesamien o de Da os 23
Global Local
A
B
A
B
C
D
E
D
D
C
F
C
F
A
B
A
B
C
D
E
D
D
C
F
C
F
A
-
-
B
C
D
-
D
D
C
-
C
F
-
-
A
B
C
D
-
D
D
-
C
F
-
FIGURA 7
-
A
B
C
D
A
2
-3
4
1
B
-3
5
0
1
C
4
0
8
-7
D
1
1
-7
-5
d=-1
A
B
A
B
C
D
A
-
-
B
C
C
S(A,A) + 2*d + S(B,B) + S(C,C) + S(D,C)=
2 + (-2) + 5 + 8 + (-7) = 6
FIGURA 8
ma ch = -1 misma ch = -1 gap = -1
G
C
A
T
G
C
U
0
-1
-2
-3
-4
-5
-6
-7
G
-1
1
0
-1
-2
-3
-4
-5
A
-2
0
0
1
0
-2
-2
-3
T
-3
-1
-1
0
2
1
0
-1
T
-4
-2
-2
-1
1
1
0
-1
A
-5
-3
-3
-1
0
0
0
-1
C
-6
-4
-2
-2
-1
-1
1
0
A
-7
-5
-3
-1
-2
-2
0
0
FIGURA9
Figu a 3.4: Tabla de g ado de semejanza y penalizaci´on po hueco
Resul a iable po que siemp e e mina, unciona de o ma independien e a las secuencias
de en ada y adem´as asegu a la mejo soluci´on.
El algo i mo o dena ambas secuencias median e una ma iz (F), de ama˜no la longi ud
de la p ime a secuencia |A|=my la longi ud de la segunda secuencia |B|=n, es o es,
(|A|×|B|). En es a ma iz el alo de la celda F(i, j) co esponde a la pun uaci´on del
mejo alineamien o en e los subsegmen os de los p ime os ielemen os de la secuencia A
y los jp ime os elemen os de la secuencia B. Es deci , la ma iz Fgua da el alo de los
alineamien os pa ciales. De es a o ma el alo de F(m, n) es el ´op imo pa a el alineamien-
o de ambas secuencias en su o alidad.
La p ime a ila y columna de (F) ienen de e minadas po los elemen os de las secuen-
cias y la penalizaci´on po hueco de la siguien e o ma:
F(0, j) = d∗j;F(i, 0) = d∗j
A pa i de esos da os es posible comple a el es o de la ma iz. El alo de una celda
F(i,j) iene de e minado po el de la ila, columna o diagonal an e io es de la siguien e
o ma:
m´ax [F(i−1, j) + d, F (i, j −1) + d, F (i−1, j −1) + S(Ai, Bj)]

24 Cap
´
ı ulo 3. M´
e odos de An´
alisis
Una ez comple ada la ma iz (F), pa a o dena las secuencias y a˜nadi los huecos
pe inen es se pa e de la posici´on F(m, n), como se ap ecia en la Figu a 3.5. En es e caso
se debe e ocede en la ma iz, eligiendo como siguien e posici´on el mayo alo de en e
F(i−1, j), F(i, j −1) y F(i−1, j −1). De es a o ma se comp ueba cu´al ue la soluci´on
´op ima usada a la ho a de cons ui la celda F(i, j). Si el alo elegido es F(i−1, j), debe
alinea se A(i) con un hueco, si ue F(i, j −1) es B(i) el que debe alinea se con un hueco
y, inalmen e, si se eligi´o F(i−1, j −1), AiyBies ´an alineados en e s´ı. El p oceso se
epi e has a acaba en un alo de la p ime a ila o columna [41].
Global Local
A
B
A
B
C
D
E
D
D
C
F
C
F
A
B
A
B
C
D
E
D
D
C
F
C
F
A
-
-
B
C
D
-
D
D
C
-
C
F
-
-
A
B
C
D
-
D
D
-
C
F
-
FIGURA 7
-
A
B
C
D
A
2
-3
4
1
B
-3
5
0
1
C
4
0
8
-7
D
1
1
-7
-5
d=-1
A
B
A
B
C
D
A
-
-
B
C
C
S(A,A) + 2*d + S(B,B) + S(C,C) + S(D,C)=
2 + (-2) + 5 + 8 + (-7) = 6
FIGURA 8
ma ch = -1 misma ch = -1 gap = -1
G
C
A
T
G
C
U
0
-1
-2
-3
-4
-5
-6
-7
G
-1
1
0
-1
-2
-3
-4
-5
A
-2
0
0
1
0
-2
-2
-3
T
-3
-1
-1
0
2
1
0
-1
T
-4
-2
-2
-1
1
1
0
-1
A
-5
-3
-3
-1
0
0
0
-1
C
-6
-4
-2
-2
-1
-1
1
0
A
-7
-5
-3
-1
-2
-2
0
0
FIGURA9
Figu a 3.5: Ma iz de decisi´on en el algo i mo de Needleman-Wunsch
3.1.4.2. Alineamien o Local
El alineamien o local es m´as ap opiado pa a encon a subsecuencias simila es den o
de un con ex o mayo , al con a io que el global que compa a las secuencias en su conjun-
o. En es e caso, al in en a busca secciones dispe sas de g an simili ud, la di e encia de
longi ud en e las cadenas no pe judica excesi amen e el esul ado inal.
Pa a lle a lo a cabo se u iliza habi ualmen e el algo i mo ecu si o de Smi h-Wa e man
[42]. El o denamien o de las secuencias se consigue eco iendo la ma iz (F) de la misma
o ma en la que se eco ´ıa en el algo i mo Needleman-Wunsch. Sin emba go, las ca ac-
e ´ıs icas de (F) son dis in as. La p ime a di e encia es la o ma de comple a la p ime a
columna y ila que, en es e caso, alen 0, es o es:
F(0, j) = 0; F(i, 0) = 0
Adem´as, el alo ´op imo pa a el alineamien o se puede encon a en cualquie celda de
3.2. P uebas Es ad
´
ıs icas 25
la ma iz y se empieza a eco e a pa i de ella en ez de F(m, n) has a que se encuen a
un 0, como se expone en la Figu a 3.6.
G
G
A
T
T
C
A
G
T
T
A
0
0
0
0
0
0
0
0
0
0
0
0
G
0
5
1
0
0
0
0
0
5
1
0
0
G
0
5
2
0
0
0
0
0
5
2
0
0
A
0
1
10
7
3
0
0
5
1
2
0
5
T
0
0
6
7
12
8
4
1
2
-6
7
3
C
0
0
2
3
8
9
13
9
5
2
3
4
G
0
5
1
0
4
5
9
10
14
10
6
2
A
0
1
10
6
2
1
4
14
10
11
4
11
No hay huecos G G A T T C- A G T T A
Hueco en la segunda secuencia G G A T - C G A
Hueco en la secuencia supe io
FIGURA 10
Figu a 3.6: Ma iz de decisi´on en el algo i mo de Smi h-Wa e man
3.2. P uebas Es ad´ıs icas
Una ez se dispone de una o a ias poblaciones de da os, se lle a a cabo un con as e
pa a calcula el es ad´ıs ico que pe mi a decidi si los esul ados de una mues a desco-
nocida analizada pe enecen a alguna de ellas o, si po el con a io, no se ienen da os
su icien es pa a decidi lo.
Como se mues a en la Figu a 3.7, exis en mul i ud de p uebas es ad´ıs icas indicadas
pa a dis in os ipos de dis ibuciones y da os. En el caso de los da os que amos a analiza
ela i os a las llamadas al sis ema, no se puede asumi que su dis ibuci´on aya a se
no mal, po lo an o se a an como da os no no malizados.
Po ello, se han es udiado dos p uebas popula es pa a a iables con inuas como son
la p ueba de los angos con signo de Wilcoxon y la p ueba U de Mann-Whi ney. Al no
supone ninguna dis ibuci´on, u ilizan la mediana de las mues as pa a compa a ; adem´as
ambi´en abajan con angos de o den.
26 Cap
´
ı ulo 3. M´
e odos de An´
alisis
Tipo de
Dis ibución
No males
No no males
Independien es
Apa eados
T-S uden po
pa es
Tamaño mues al g ande
No mal
Tamaño mues al pequeño
T-S uden
Independien es
U- es
Apa eados
Wilcoxon
Figu a 3.7: Esquema de p uebas es ad´ıs icas seg´un sus ca ac e ´ıs icas
3.2.1. P ueba de los Rangos con Signo de Wilcoxon
La p ueba de Wilcoxon [43] abaja sob e ec o es con da os apa eados, es deci , se
compa an en e s´ı los da os con el mismo ´ındice. Es o supone que el ama˜no de los ec o es
(n) debe se muy simila pa a las dos mues as.
La hip´o esis nula iene de inida como que la mediana de las di e encias de los elemen-
os del ec o sea igual a 0. El p oceso que sigue pe mi e ob ene un alo ppa a decidi
si no se cumple la hip´o esis nula, es o es, que dicha di e encia no se deba al aza y, po lo
an o, se pueda de e mina que ambas poblaciones son la misma.
1. P ime o se ob ienen las di e encias de los pa es de elemen os que se es ´an compa ando
uno a uno
Tabla 3.1: Di e encia en e elemen os en la p ueba de Wilcoxon
A 4 3 6 7 9 4 2 5
B 3 4 6 6 5 4 7 3
Di e encia 1 -1 6 1 4 0 -5 2
3.2. P uebas Es ad
´
ıs icas 27
2. Las di e encias se o denan sin ene en cuen a los signos.
Tabla 3.2: Di e encias o denadas en la p ueba de Wilcoxon
Di e encias o denadas sin signo 0 0 1 1 1 2 4 5
3. Una ez o denadas, se les asigna un ango. Si exis en elemen os epe idos, el ango
se de e mina en la media de los angos co espondien es.
Tabla 3.3: Asignaci´on de angos de o den en la p ueba de Wilcoxon
Di e encias o denadas sin signo 0 0 1 1 1 2 4 5
Rangos - - 2 2 2 4 5 6
4. Se suman po un lado los angos de las di e encias posi i as (T+) y po o o lado
los angos de las di e encias nega i as (T−) y se calcula el es ad´ıs ico con as e T
como el m´ınimo de ambos: T= m´ın[T+, T −].
Tabla 3.4: Resul ado de T+, T- y T
A 4 3 6 7 9 4 2 5
B 3 4 6 6 5 4 7 3
Di e encia 1 -1 6 1 4 0 -5 2
Rangos 2 2 - 2 5 - 6 4
T+ = 13 T−= 8 T= 8
5. Una ez ob enidos es os 3 pa ´ame os, a pa i del es ad´ıs ico Tse ob iene un p
alo . Pa a ama˜nos mues ales peque˜nos (n < 20) el p alo se calcula g acias a la
abla es ad´ıs ica de la dis ibuci´on de Wilcoxon. Pa a ama˜nos mues ales mayo es
se consigue median e Zque es una ap oximaci´on no mal del alo Tpo la siguien e
´o mula:
Z=
T−n(n+1)
4
qn(n+1)(2n+1)
24
En unci´on del in e alo de con ianza u ilizado, no malmen e 0,05 o 0,01, y de la p
ob enida, se puede de e mina si ambos ec o es son simila es o si la di e encia es signi i-
ca i a. Si p <in e alo, se deduce que la di e encia en e poblaciones no se debe al aza y,
34 Cap
´
ı ulo 4. De ecci´
on de Malwa e en And oid
llamadas al sis ema que han ocu ido y en el o den que han sucedido, ep esen adas po
n´ume os, de o ma que esul a ´a m´as sencillo de p ocesa .
T as es a simpli icaci´on, se ha op ado po una es a egia de iden i icaci´on basada en
anomal´ıa. Se compa an los da os desconocidos con los conocidos como leg´ı imos median e
un algo i mo de alineamien o de secuencias global desc i o en el apa ado 3.1.4.
Como esul ado del algo i mo se ob iene una pun uaci´on de simili ud en e ec o es.
A con inuaci´on, las pun uaciones que se conocen como leg´ı imas y las desconocidas son
some idas a una p ueba no pa am´e ica de Wilcoxon (desc i a en el apa ado 3.2.1), y
en unci´on de la p ob enida y de la di e encia de medias, se de e mina si la mues a es
leg´ı ima o maliciosa.
4.3. Expe imen aci´on
La ase de expe imen aci´on se ha ealizado u ilizando una m´aquina i ual de And oid
4.4 Ki Ka . Se han ealizado las p uebas con 19 aplicaciones dis in as de las que se dis-
ponen de una e si´on leg´ı ima y o a con aminada, que se han ob enido del eposi o io
And oid Malwa e Genome yD ebin da ase . En conc e o las aplicaciones son Dine Dash
2, Ja o, Mash, Plumbe , F ui s Maching, Sc ambled Ne , Soli ai e, Tap and Fu ious, Ro-
bo ic Space Rock, Baske ball sho , Monkey Jump 2, Whi es ou , Supe ouch down, Til
Mazes, Helix, DailyMoney, Sani y, Bes Voice Change y Z- es . Las e siones maliciosas
es ´an con aminadas po los siguien es ipos de malwa e
D oidKungFu: inhibe la ac i idad de los p og amas an i i us, y adem´as c ea una
pue a ase a que pe mi e a los a acan es hace se con el con ol del disposi i o.
Plank on: en ´ıa da os del el´e ono a un se ido emo o el cual, a lo la go del iempo,
ansmi e ´o denes pa a ob ene in o maci´on p i ada del usua io
Geinimi: lee, en ´ıa y bo a SMS; en ´ıa a un se ido la in o maci´on de los con ac os
y la localizaci´on; desca ga iche os sin el conocimien o del usua io y ab e p´aginas en
el na egado .
GinMas e : en ´ıa in o maci´on con idencial a un se ido emo o e ins ala aplicaciones
sin el pe miso del usua io.
Cogos: malwa e gen´e ico de p uebas

4.3. Expe imen aci´
on 35
jSMSHide : un gusano que, adem´as de en ia y ecibi mensajes de ex o, iene la
capacidad de ab i p´aginas webs y aplicaciones sin el conocimien o del usua io. Las
consecuencias de ambos son de ex ema g a edad.
VdLoade : en ´ıa no i icaciones po SMS y ansmi e la in o maci´on de las aplicacio-
nes ins aladas en el disposi i o a un se ido emo o.
Gape : desca ga o as aplicaciones y susc ibe al usua io a un se icio de SMS p e-
mium.
Gamex: desca ga iche os sin el conocimien o del usua io
4.3.1. E apas
Pa a cada una de las aplicaciones la expe imen aci´on se ha ealizado en es e apas.
E apa 1: En es a p ime a e apa se ex aen los da os de 30 ejecuciones dis in as de
la aplicaci´on en su e si´on leg´ı ima. A con inuaci´on, esas 30 mues as se han c uzado
en e s´ı (Figu a 4.3) usando el algo i mo de alineamien o, ob eniendo pa a cada una
un ec o de 30 pun uaciones. Se ha calculado la media de cada uno de esos ec o es,
log ando inalmen e 30 medias (ma cadas en azul en la Figu a 4.3).
E apa 2: En la segunda e apa se ex aen los da os de las ejecuciones desconocidas
cuya na u aleza se quie a de ini . Pa a es e p oyec o se han omado a ias decenas de
mues as de la aplicaci´on leg´ı ima y de la aplicaci´on que con iene malwa e. Cada una
de es as mues as se ha c uzado con las 30 ejecuciones leg´ı imas iniciales, ob eniendo
as´ı un ec o de 30 posiciones con una pun uaci´on po iche o leg´ı imo.
E apa 3: Po ´ul imo, se compa a median e Wilcoxon el ec o de 30 pun uaciones
de cada iche o desconocido con el ec o de 30 pun uaciones de medias leg´ı imas,
como se mues a en la Figu a 4.4.
4.3.2. Op imizaci´on
En un p ime in en o se ha lle ado a cabo la expe imen aci´on con las aplicaciones
DailyMoney y Dine Dash. Pa a ello se ha aplicado alineamien o global sob e el o al de la
secuencia de llamadas al sis ema de odos los a chi os examinados. Pa a el alineamien o
global se ha de inido −1 como la penalizaci´on po hueco o cuando dos elemen os no son
iguales y +1 cuando dos elemen os coinciden.
36 Cap
´
ı ulo 4. De ecci´
on de Malwa e en And oid
L1 L2 L3 L4 L5 L6 L7 L8 L9 L10 L11 L12 L13 L14 L15 L16 L17 L18 L19 L20 L21 L22 L23 L24 L25 L26 L27 L28 L29 L30
L1 1496 1522 1427 1479 1309 1373 1485 1437 1382 1379 1404 1385 1316 1471 1433 1596 1463 1496 1363 1424 1417 1423 1446 1505 1353 1482 1410 1468 1463
L2 1496 1377 1327 1353 1439 1517 1498 1474 1429 1456 1392 1499 1412 1450 1502 1424 1345 1402 1488 1427 1537 1437 1283 1390 1561 1588 1509 1654 1426
L3 1522 1377 1355 1334 1303 1339 1428 1316 1395 1449 1316 1431 1315 1362 1335 1419 1336 1462 1392 1468 1339 1362 1438 1395 1363 1396 1382 1415 1463
L4 1427 1327 1355 1550 1317 1396 1367 1440 1258 1273 1376 1282 1418 1533 1332 1429 1531 1512 1229 1378 1374 1427 1421 1303 1285 1354 1359 1352 1381
L5 1479 1353 1334 1550 1366 1421 1323 1362 1283 1284 1295 1247 1386 1587 1334 1483 1633 1477 1255 1419 1416 1403 1445 1281 1264 1426 1389 1369 1412
L6 1309 1439 1303 1317 1366 1512 1417 1488 1353 1349 1485 1376 1492 1405 1336 1359 1334 1447 1425 1275 1532 1429 1241 1212 1510 1459 1464 1493 1434
L7 1373 1517 1339 1396 1421 1512 1472 1532 1512 1411 1501 1462 1591 1499 1438 1503 1495 1530 1551 1389 1593 1674 1308 1354 1523 1602 1615 1517 1619
L8 1485 1498 1428 1367 1323 1417 1472 1429 1549 1512 1336 1552 1452 1418 1504 1399 1382 1404 1515 1504 1516 1462 1345 1348 1477 1556 1565 1617 1455
L9 1437 1474 1316 1440 1362 1488 1532 1429 1430 1380 1417 1392 1477 1561 1412 1481 1424 1510 1433 1374 1577 1536 1336 1378 1453 1484 1520 1521 1479
L10 1382 1429 1395 1258 1283 1353 1512 1549 1430 1547 1487 1500 1385 1427 1498 1440 1320 1377 1511 1359 1394 1437 1382 1485 1455 1525 1507 1440 1425
L11 1379 1456 1449 1273 1284 1349 1411 1512 1380 1547 1509 1426 1364 1374 1615 1367 1310 1406 1489 1412 1395 1412 1377 1405 1382 1595 1495 1519 1395
L12 1404 1392 1316 1376 1295 1485 1501 1336 1417 1487 1509 1401 1359 1432 1464 1404 1349 1454 1379 1283 1359 1469 1366 1479 1335 1474 1429 1394 1474
L13 1385 1499 1431 1282 1247 1376 1462 1552 1392 1500 1426 1401 1419 1375 1477 1367 1235 1390 1450 1393 1424 1429 1278 1421 1439 1508 1524 1533 1421
L14 1316 1412 1315 1418 1386 1492 1591 1452 1477 1385 1364 1359 1419 1413 1353 1391 1372 1451 1514 1411 1501 1475 1287 1228 1435 1531 1514 1533 1511
L15 1471 1450 1362 1533 1587 1405 1499 1418 1561 1427 1374 1432 1375 1413 1386 1626 1510 1549 1344 1359 1518 1533 1400 1514 1309 1381 1536 1481 1457
L16 1433 1502 1335 1332 1334 1336 1438 1504 1412 1498 1615 1464 1477 1353 1386 1406 1340 1353 1401 1430 1429 1407 1368 1448 1452 1660 1416 1569 1375
L17 1596 1424 1419 1429 1483 1359 1503 1399 1481 1440 1367 1404 1367 1391 1626 1406 1534 1648 1311 1396 1483 1553 1395 1530 1323 1437 1491 1403 1518
L18 1463 1345 1336 1531 1633 1334 1495 1382 1424 1320 1310 1349 1235 1372 1510 1340 1534 1493 1288 1448 1398 1404 1466 1367 1285 1440 1436 1365 1435
L19 1496 1402 1462 1512 1477 1447 1530 1404 1510 1377 1406 1454 1390 1451 1549 1353 1648 1493 1361 1363 1494 1556 1367 1433 1378 1479 1474 1424 1611
L20 1363 1488 1392 1229 1255 1425 1551 1515 1433 1511 1489 1379 1450 1514 1344 1401 1311 1288 1361 1367 1499 1444 1312 1348 1543 1556 1483 1506 1480
L21 1424 1427 1468 1378 1419 1275 1389 1504 1374 1359 1412 1283 1393 1411 1359 1430 1396 1448 1363 1367 1428 1359 1412 1358 1376 1457 1421 1463 1395
L22 1417 1537 1339 1374 1416 1532 1593 1516 1577 1394 1395 1359 1424 1501 1518 1429 1483 1398 1494 1499 1428 1592 1281 1324 1536 1484 1596 1540 1535
L23 1423 1437 1362 1427 1403 1429 1674 1462 1536 1437 1412 1469 1429 1475 1533 1407 1553 1404 1556 1444 1359 1592 1299 1363 1480 1464 1489 1469 1510
L24 1446 1283 1438 1421 1445 1241 1308 1345 1336 1382 1377 1366 1278 1287 1400 1368 1395 1466 1367 1312 1412 1281 1299 1376 1269 1384 1288 1355 1327
L25 1505 1390 1395 1303 1281 1212 1354 1348 1378 1485 1405 1479 1421 1228 1514 1448 1530 1367 1433 1348 1358 1324 1363 1376 1271 1449 1367 1372 1396
L26 1353 1561 1363 1285 1264 1510 1523 1477 1453 1455 1382 1335 1439 1435 1309 1452 1323 1285 1378 1543 1376 1536 1480 1269 1271 1569 1426 1566 1452
L27 1482 1588 1396 1354 1426 1459 1602 1556 1484 1525 1595 1474 1508 1531 1381 1660 1437 1440 1479 1556 1457 1484 1464 1384 1449 1569 1508 1655 1488
L28 1410 1509 1382 1359 1389 1464 1615 1565 1520 1507 1495 1429 1524 1514 1536 1416 1491 1436 1474 1483 1421 1596 1489 1288 1367 1426 1508 1505 1543
L29 1468 1654 1415 1352 1369 1493 1517 1617 1521 1440 1519 1394 1533 1533 1481 1569 1403 1365 1424 1506 1463 1540 1469 1355 1372 1566 1655 1505 1489
L30 1463 1426 1463 1381 1412 1434 1619 1455 1479 1425 1395 1474 1421 1511 1457 1375 1518 1435 1611 1480 1395 1535 1510 1327 1396 1452 1488 1543 1489
MEDIAS 1434 1451 1386 1378 1388 1398 1491 1458 1450 1430 1423 1407 1415 1424 1455 1430 1452 1404 1458 1421 1398 1465 1458 1353 1382 1416 1496 1471 1482 1461
Figu a 4.3: Resul ado de pun uaciones
4.3. Expe imen aci´
on 37
MEDIAS 1434 1451 1386 1378 1388 1398 1491 1458 1450 1430 1423 1407 1415 1424 1455 1430 1452 1404 1458 1421 1398 1465 1458 1353 1382 1416 1496 1471 1482 1461
D1 D2 D3 D4 D5 D6 D7 D8 D9 D10 D11 D12 D13 D14 D15 D16 D17 D18 D19 D20 D21 D22 D23 D24 D25 D26 D27 D28 D29 D30
Desconocida 1531 1562 1521 1495 1527 1456 1488 1591 1552 1563 1558 1577 1318 1507 1524 1580 1333 1548 1585 1607 1518 1499 1057 1581 1539 1508 1518 1436 1565 1459
Figu a 4.4: Compa aci´on de las medias
Dada la baja p ecisi´on inicial ob enida (Tabla 4.1), especialmen e en las secuencias
m´as la gas como en el caso de Dine Dash (al ededo de 25.000), se ha supues o que la
ac i idad maliciosa pod ´ıa es a localizada en un co o ango inicial de llamadas. Po ello,
compa a las secuencias comple as pod ´ıa enmasca a esa a iaci´on de compo amien o
al inicio. Adem´as, como la can idad de llamadas al sis ema a ´ıa en una peque˜no ango
dependiendo de la ejecuci´on, supone que el alineamien o global abaja sob e ec o es de
dis in a magni ud lo que me ma su e ec i idad. As´ı, se decide limi a las secuencias a
analiza a las 2000 p ime as llamadas al sis ema gene adas en cada ejecuci´on, epi i´endose
la expe imen aci´on. En el caso de aplicaciones muy sencillas con pocas llamadas, se ha
limi ado a 1000
Tabla 4.1: P ime os esul ados sin op imiza el sis ema
Mues a Mues a De ecci´on De ecci´on Falsos Falsos
leg´ı ima malwa e leg´ı ima malwa e nega i os posi i os
P ecisi´on
DailyMoney 47 47 68 % 100 % 32 % 0 % 84 %
Dine Dash 36 36 27 % 58 % 73 % 42 % 43 %
Adem´as, los alo es aplicados en el alineamien o ienen como consecuencia que el ec-
o de medias p esen e una des iaci´on ´ıpica ele ada. Pa a e i a es o se p opone pun ua
con -1 cuando se p oduce un hueco, con 0 cuando dos elemen os no coinciden y +1 cuando
s´ı.
Cabe menciona la impo ancia de au oma iza odo es e p oceso. Pa a ello se ha
c eado un a chi o apk que ejecu a una aplicaci´on en el disposi i o y ex ae las llamadas
al sis ema en iche os x . Pos e io men e, es os iche os se incluyen en el se ido en
una ca pe a de e minada, dependiendo de su na u aleza (leg´ı ima o desconocida). Se ha
desa ollado un sc ip que a pa i de los da os de esas ca pe as desa olla las es e apas
del p oceso. En p ime luga con ie e los da os en b u o en secuencias de n´ume os. T as
eso compa a las secuencias esul an es median e alineamien o global. Po ´ul imo, lle a a
cabo la p ueba es ad´ıs ica de Wilcoxon c eando un iche o con la conclusi´on inal.
38 Cap
´
ı ulo 4. De ecci´
on de Malwa e en And oid
4.4. Resul ados
Una ez ejecu ado el algo i mo de alineamien o de secuencias con las co ecciones que
se han explicado an e io men e, se puede obse a en la Figu a 4.5 que las pun uaciones
ob enidas al c uza ejecuciones leg´ı imas con las de e e encia, dis an de o ma muy signi-
ica i a de las pun uaciones ob enidas con las ejecuciones maliciosas.
Hoja1
Robo Mal uso Sabo aje SPAM F aude
Symbian 50.00% 0 50.00% 0 0
BB 66.00% 33.00% 0 0 0
And oid 65.00% 30.00% 0 10.00% 20.00%
Iphone 23.00% 0.00% 0 0 23.00%
Windows 0 60.00% 0 0 0
% en as de aplicaciones
2011 2012 2013
And oid 49.00% 69.00% 78.00%
iOs 18.00% 18.00% 15.00%
Windows 2.00% 3.00% 4.00%
BB 11.00% 4.00% 2.00%
O os 20.00% 6.00% 1.00%
1281
1281
1281
1282
1282
1283
1283
1283
1283
1283
1283
1284
1284
1285
1285
1285
1285
1287
1287
1288
1288
1288
1288
1295
Obje i os
0.00%
10.00%
20.00%
30.00%
40.00%
50.00%
60.00%
70.00%
Symbian And oid Windows
Obje i os
Robo
Mal uso
Sabo aje
SPAM
F aude
0
0.2
0.4
0.6
0.8
1
1.2
Symbian And oid
Adquisición de P i ilegios
0.00%
10.00%
20.00%
30.00%
40.00%
50.00%
60.00%
70.00%
80.00%
90.00%
And oid Windows O os
% de en as de aplicaciones
2011
2012
2013
0
200
400
600
800
1000
1200
1400
1600
1800
1117 233 349 465 581 697 813
Di e encia de pun uaciones del
alineamien o
Legí imas
Maliciosas
Página 1
Figu a 4.5: Di e encia de pun uaciones
De mane a o mal, se aplica la p ueba de Wilcoxon sob e las medias de las mues as
de e e encias y las pun uaciones ob enidas de cada una de las mues as desconocidas. En
unci´on del pa ´ame o py de la di e encia de medias (mean di e ence) que se ob ienen
g acias a es a p ueba, se de e mina si una mues a desconocida es leg´ı ima o no.
Las mues as maliciosas deben ene una di e encia de medias posi i a (ya que las pun-
uaciones leg´ı imas de e e encia se ´an mayo es que las maliciosas) y p≤0.001. Siguiendo
es e m´e odo se ha conseguido que las 40 mues as maliciosas que se han omado de cada
una de las 4 aplicaciones sean siemp e ca alogadas de o ma co ec a, log ando un acie o
del 100 % en la de ecci´on de mues as maliciosas.
En cambio, en las mues as leg´ı imas se comp ueba el alo de p, que debe se p > 0.001
pa a que se conside e leg´ı ima. Si es o no se cumple se comp ueba el alo de su media
que puede se posi i a o nega i a. Si es nega i a (es deci , las pun uaciones de la mues a
desconocida son supe io es que las de e e encia) se puede asumi que es leg´ı ima. Sin em-
ba go, si la di e encia de medias es posi i a no se puede asegu a que el compo amien o
sea el co ec o.
De es a o ma se ob ienen los esul ados de la Tabla 4.2. Es impo an e des aca que
aunque exis a una asa de alsos posi i os, dado que la de ecci´on de malwa e es comple a,
4.4. Resul ados 39
una segunda ejecuci´on de la aplicaci´on analizada pod ´ıa cla i ica los esul ados pues o
que la posibilidad de que se p oduzca dos eces seguidas un also posi i o es imp obable.
Tabla 4.2: Resul ados
Mues a Mues a De ecci´on De ecci´on Falsos Falsos
leg´ı ima malwa e leg´ı ima malwa e posi i os nega i os
P ecisi´on
D oidKungFu
Baske ball sho 50 50 96 % 100 % 4 % 0 % 98 %
Robo icSpaceRock 50 50 100 % 100 % 0 % 0 % 100 %
Til Mazes 50 50 90 % 100 % 10 % 0 % 95 %
Sc ambled Ne 50 50 94 % 100 % 6 % 0 % 97 %
Soli ai e 50 50 94 % 100 % 6 % 0 % 97 %
DailyMoney 47 47 98 % 100 % 2 % 0 % 99 %
Dine Dash 36 36 84 % 100 % 16 % 0 % 92 %
Ja o 36 36 92 % 100 % 8 % 0 % 96 %
Plank on
Bes VoiceChange 50 50 100 % 100 % 0 % 0 % 100 %
Supe TouchDown 50 50 96 % 100 % 4 % 0 % 98 %
Geinimi
Helix 50 50 100 % 100 % 0 % 0 % 100 %
Monkey Jump 2 50 50 90 % 100 % 10 % 0 % 95 %
Tap and Fu ious 50 50 92 % 100 % 8 % 0 % 96 %
Ginmas e
Whi es Ou 50 50 98 % 100 % 2 % 0 % 99 %
Cogos
F ui s Maching 50 50 92 % 100 % 8 % 0 % 96 %
jSMSHide
Mash 49 49 82 % 100 % 18 % 0 % 91 %
Vdloade
Plumbe 50 50 90 % 100 % 10 % 0 % 95 %
Gape
Sani y 50 50 96 % 100 % 4 % 0 % 98 %
Gamex
Z- es 50 50 88 % 100 % 12 % 0 % 94 %

40 Cap
´
ı ulo 4. De ecci´
on de Malwa e en And oid
Cap´ı ulo 5
Conclusiones y T abajo Fu u o
5.1. Conclusiones
Finalizado el p oyec o y despu´es de habe expues o el con ex o social po el que es
necesa io, los es udios elacionados y la p opues a ealizada, es el momen o de hace una
e aluaci´on gene al.
C eemos que se han cumplido los obje i os ma cados al p incipio del p oyec o. Se ha
demos ado que la ac i idad maliciosa de una aplicaci´on m´o il deja g an pa e de su hue-
lla al inicio de su ejecuci´on y que es udia las llamadas al sis ema ´unicamen e du an e
ese ins an e consigue iden i ica lo. Es o pe mi e e i a una moni o izaci´on con inuada y
adem´as desliga el an´alisis de la ac i idad que pueda ealiza el usua io. De es a o ma se
puede hace un an´alisis que no equie a una g an can idad de ecu sos y que sea ´apido
pa a e i a lo an es posible cualquie pe juicio que el malwa e pudie a causa .
En de ini i a, c eemos que el abajo ealizado ha me ecido la pena y que se ha de-
mos ado la con ibuci´on del sis ema en la in es igaci´on de una iden i icaci´on emp ana
de malwa e. Sin emba go, de o ma c ´ı ica econocemos que el p oyec o iene a´un o os
caminos que eco e pa a con e i se en una he amien a usable an o a ni el pa icula
como emp esa ial.
5.2. T abajo Fu u o
Como posibles abajos u u os pueden se˜nala se los siguien es:
Es a egia de de ecci´on basada en el mal uso. En es e caso es in e esan e que
la p ime a e apa de la expe imen aci´on u ilice como e e encia di e sas mues as de
aplicaciones in ec adas con el mismo malwa e. Es o pe mi e, no s´olo conoce si una
41
42 Cap
´
ı ulo 5. Conclusiones y T abajo Fu u o
aplicaci´on es maliciosa o no, sin necesidad de ene una e si´on leg´ı ima de la misma,
sino adem´as sabe cu´al es el malwa e del que es ´a in ec ada.
C eaci´on de un modelo global. El es udio de una g an can idad de aplicaciones
puede de i a en la c eaci´on de un modelo ´unico de compo amien o leg´ı imo con el
que se compa a se cada aplicaci´on desconocida. De es a o ma se elimina la limi aci´on
po la cual cada aplicaci´on solo puede compa a se consigo misma en su e si´on
leg´ı ima.
B´usqueda de pa ones. El uso de alineamien o global pe mi e es udia en su o-
alidad las cadenas simila es esul an es de una ejecuci´on co a. Sin emba go debe
con empla se aplica a su ez alineamien o local que pe mi a iden i ica subsecuen-
cias epe idas, elacionadas con un compo amien o malicioso, den o de la cadena
mayo .
Es udio de llamadas al sis ema. Un es udio exhaus i o de las llamadas al sis ema
en Linux pe mi e conoce el g ado de semejanza de las acciones que lle an a cabo.
Con es a in o maci´on se puede comple a la ma iz de simili ud necesa ia pa a el
alineamien o de secuencias con pun uaciones m´as p ecisas, que die an luga a un
an´alisis m´as exac o.
Cap´ı ulo 6
Con ibuciones
Pa icipaci´on In´es He as
En es e p oyec o se ha in en ado epa i la ca ga de abajo de o ma equi a i a.
En un p incipio se empez´o po busca y analiza la documen aci´on de los p o-
yec os ela i os a es e asun o (cap´ı ulos 1 y 2), labo que se ha ealizado de o ma
conjun a en e los dos in eg an es del equipo. Una ez acabada es a a ea, se p o-
cedi´o a busca di e sas he amien as que pod ´ıan se u ilizadas en el p oyec o (las
de alladas en el cap´ı ulo 3). T as consul a con miemb os del GASS, en e los dos
llegamos a la conclusi´on de que el alineamien o de secuencias pod ´ıa se una buena
opci´on.
En onces p oced´ı a busca m´as in o maci´on sob e los ipos de alineamien os, en-
con ando a ias implemen aciones de dicho algo i mo que pos e io men e mi com-
pa˜ne o adap ´o a las necesidades del p oyec o.
Tambi´en nos dimos cuen a de que el p ocesamien o de las llamadas e a nece-
sa io, po lo que ealic´e un es udio sob e las llamadas que exis en en And oid e
implemen ´e un p og ama que hace co esponde cada llamada con un n´ume o, y
adem´as elimina las llamadas duplicadas.
Adem´as, en el mes de no iemb e yo pe sonalmen e encon ´e el eposi o io An-
d oid Malwa e Genome, adminis ado po un equipo de la Uni e sidad de Ca olina
del No e, y nos pusimos en con ac o con ellos pa a que nos lo acili a an. Sin em-
ba go, no ue has a 5 meses despu´es cuando lo u imos disponible.
Tambi´en ha sido complicada la pa e de conocimien o y con ol de la he amien a
43
50 BIBLIOGRAF´
IA
[45] Ped o Ga cia-Teodo o, J. Diaz-Ve dejo, Gab iel Maci´a-Fe n´andez, and En ique V´azquez.
Anomaly-Based Ne wo k In usion De ec ion: Techniques, Sys ems and Challenges. Com-
pu e s & Secu i y, 28(1):18–28, 2009.
[46] Juan M. Es e ez-Tapiado , Ped o Ga cia-Teodo o, and Jesus E Diaz-Ve dejo. Anomaly De-
ec ion Me hods in Wi ed Ne wo ks: A Su ey and Taxonomy. Compu e Communica ions,
27(16):1569–1584, 2004.

Pa e I
Resumen en Ingl´es
51
Ap´endice A
In oduc ion
In ecen yea s i has inc eased he occu ence o di e en ypes o sma de ices. Thus,
be ween 60 and 80 pe cen o he popula ion in he coun ies whe e he e is access o he
In e ne , made ia Sma phones o Table s [1], which a e used an a e age o wo hou s
a day. In addi ion, i is es ima ed ha in 2017 he e in he wo ld 1.4 mobile de ices pe
capi a and sales will exceed hose o PCs. In ligh o hese da a, i is clea ha he in e es
and he impo ance o hese de ices in socie y is inc easingly no iceable and p esumably
will con inue o ad ance apidly.
Among he cha ac e is ics o mobile de ices is he p esence o senso s such as gy os-
copes, mic ophones, GPS loca o s, e c.; he possibili y o connec o any ype Blue oo h,
Wi-Fi elephone ne wo k; o he abili y o acqui e and use applica ions de eloped by hi d
pa ies [2]. Bu despi e he ob ious ad an ages, hey also ha e ce ain p oblems ha can
become c ucial o sa e y. This is because hese de ices s o e e y sensi i e and a ied
in o ma ion which may comp omise he secu i y, p i acy and e en he economy o he ow-
ne o hi d pa ies. The senso s ha inco po a e hese echnologies can also collec da a
wi hou he use being eally awa e o how much in o ma ion he de ice being managed.
I is o his eason ha he c ea ion o malicious so wa e o malwa e, speci ic o his
a ea has inc eased a he same speed o use.
Finally, i is impo an o no e ha among use s he e is no awa eness o he dange
hey a e exposed o a po en ial a ack. The as majo i y e en unknown mobile malwa e
exis s, and ha applica ions ins alled on hei de ices may exhibi malicious beha io .
The e o e, i is necessa y o aise secu i y models beyond he use ac ion, and con olling
de ices ma ke s.
53
54 Cap
´
ı ulo A. In oduc ion
A.1. Mobile Malwa e
Malwa e is any ype o so wa e o code hos ile, in usi e, o a designed o use he de-
ice wi hou he owne ’s knowledge. The de elopmen and p oli e a ion o mobile malwa e
is closely linked o inc eased ne wo k capabili ies and compu ing esou ces. So, he i s
e idence ha mobile malwa e was de eloped in 2004 o a ack Symbian [3] de ices. Ho-
we e , i is om 2010 when i begins o g ow signi ican ly [4], being mainly dedica ed o
And oid and iOS sys ems. Only o And oid in 2012 i is es ima ed ha he e we e abou
35,000 malwa e, being objec i e o 79 % o malwa e gene a ed du ing his yea compa ed
o 11.5 % in 2010 [5].
To analyze he a acks and hei ypes, should be conside ed h ee pe spec i es: pe -
o mance and objec i es, malwa e dis ibu ion o ms and me hods o acqui ing p i ileges.
A.1.1. Beha io and Objec i es o he A ack
In mos cases he malwa e has se e al objec i es and also hei pu pose and beha io
can a y by a emo e command sen by hose who con ol i . The mos common o i s
objec i es is he economic bene i . In his sense se e al examples can be ound, as in he
case o aud o o e billing. This a ack is o cha ge expenses o he accoun o he ic im
(which a e ans e ed o he a acke ) h ough calls o SMS sen o p emium a e numbe s
wi hou he use ’s consen . Usually, he use associa ed wi h such a acks a con lic wi h
he company supplying he se ice, igno ing i s ue na u e [6].
Ano he ype o a ack is he denial o se ice o sabo age, called DoS a ack ha ies
o consume he de ice ba e y ope a ing ime limi o deny he use access o ce ain
esou ces o ne wo ks [7]. When unning in a dis ibu ed way (DDoS), may cause damage
no only o one o mo e use s, bu also o a ious o ganiza ions [2]. Fo example, he In-
e ne se e o an a ea can be collapsed i hey begin sending packe s o a massi e ne wo k.
Finally, he p i acy could be comp omised h ough a echnique called sni ing [8], which
le e ages he da a collec ed by senso s and ne wo ks which uses he de ice can ob ain
images [9], elephone eco dings, passwo ds, emails, bank de ails o any in o ma ion he
de ice sends o ecei es. This is one o he mos conce n o use s o o ganiza ions h ea s,
as on mobile de ices and sensi i e da a a e s o ed and classi ied. In Fig. A.1 he occu ence
o each ype o a ge , o each ope a i e sys em is de ailed.
A.1. Mobile Malwa e 55
Hoja1
The Misuse Sabo age SPAM F audulence
Symbian 50.00% 0 50.00% 0 0
BB 66.00% 33.00% 0 0 0
And oid 65.00% 30.00% 0 10.00% 20.00%
Iphone 23.00% 0.00% 0 0 23.00%
Windows 0 60.00% 0 0 0
% en as de aplicaciones
2011 2012 2013
And oid 49.00% 69.00% 78.00%
iOs 18.00% 18.00% 15.00%
Windows 2.00% 3.00% 4.00%
BB 11.00% 4.00% 2.00%
O he s 20.00% 6.00% 1.00%
1281
1281
1281
1282
1282
1283
1283
1283
1283
1283
1283
1284
1284
1285
1285
1285
1285
1287
1287
1288
1288
1288
1288
1295
Obje i os
0.00%
10.00%
20.00%
30.00%
40.00%
50.00%
60.00%
70.00%
Symbian BB And oid Iphone Windows
Ta ge s
The
Misuse
Sabo age
SPAM
F audulence
0.00%
20.00%
40.00%
60.00%
80.00%
100.00%
120.00%
Symbian BB And oid Iphone Windows
Dis ibu ion
M2D
A2D
W2D
N2D
U2D
S2D
Página 1
Figu e A.1: Classi ica ion o a acks pe ope a ing sys em
A.1.2. Dis ibu ion Me hods
I is impo an o know he means by which malicious p og ams a e dis ibu ed in
o de o ackle he con agion. The e a e wo majo app oaches [10]: sel -p opaga ion and
social enginee ing . The i s ype a e g ouped he ollowing me hods: Applica ion o De-
ice, A2D, he malicious code is in an applica ion ha in ec s he De ice; SMS o De ice,
S2D, he de ice is sp ead by SMS; USB o De ice, U2D; Ne wo k o De ice, N2D; De ice
o De ice, D2D y Cloud o De ice, C2D. In hese cases he malwa e is p og ammed o
con amina e he de ice when placed in con ac wi h i .
On he o he hand, social enginee ing, g oup me hods Ma ke o De ice, M2D, he
use downloads a malicious p og am om he ma ke o Web -b owse o De ice, W2D.
As shown in Fig. A.2, social enginee ing is he main me hod o dis ibu ing malwa e.
Possibly his is due o poo awa eness o he dange ha show use s; They a e usually
hose who download in ec ed apps om he ma ke s. I is also o en a combina ion o bo h
s a egies.

56 Cap
´
ı ulo A. In oduc ion
Hoja1
The Misuse Sabo age SPAM F audulence
Symbian 50.00% 0 50.00% 0 0
BB 66.00% 33.00% 0 0 0
And oid 65.00% 30.00% 0 10.00% 20.00%
Iphone 23.00% 0.00% 0 0 23.00%
Windows 0 60.00% 0 0 0
% en as de aplicaciones
2011 2012 2013
And oid 49.00% 69.00% 78.00%
iOs 18.00% 18.00% 15.00%
Windows 2.00% 3.00% 4.00%
BB 11.00% 4.00% 2.00%
O he s 20.00% 6.00% 1.00%
1281
1281
1281
1282
1282
1283
1283
1283
1283
1283
1283
1284
1284
1285
1285
1285
1285
1287
1287
1288
1288
1288
1288
1295
Obje i os
0.00%
10.00%
20.00%
30.00%
40.00%
50.00%
60.00%
70.00%
Symbian BB And oid Iphone Windows
Ta ge s
The
Misuse
Sabo age
SPAM
F audulence
0.00%
20.00%
40.00%
60.00%
80.00%
100.00%
120.00%
Symbian BB And oid Iphone Windows
Dis ibu ion
M2D
A2D
W2D
N2D
U2D
S2D
Página 1
Figu e A.2: Dis ibu ion me hods pe ope a ing sys em
A.1.3. Acquisi ion o P i ileges
Fo he malwa e o be e ec i e is no enough o sp ead he de ice, i mus also ge
a numbe o p i ileges o gain access o c i ical pa s o he sys em and make he neces-
sa y ac ions o implemen i s wo k. Usually, hese p i ileges a e g an ed di ec ly by use s
[10] o ins all applica ions on legi ima e appea ance bu hide malicious beha io . Use s
a e unawa e o he impac o ans e ing ce ain pe missions o unknown p og ams and
some imes no e en pay a en ion o eques s o au ho iza ion. The e o e, his me hod is
highly e ec i e, as shown in Fig. A.3.
Hoja1
The Misuse Sabo age SPAM F audulence
Symbian 50.00% 0 50.00% 0 0
BB 66.00% 33.00% 0 0 0
And oid 65.00% 30.00% 0 10.00% 20.00%
Iphone 23.00% 0.00% 0 0 23.00%
Windows 0 60.00% 0 0 0
% en as de aplicaciones
2011 2012 2013
And oid 49.00% 69.00% 78.00%
iOs 18.00% 18.00% 15.00%
Windows 2.00% 3.00% 4.00%
BB 11.00% 4.00% 2.00%
O he s 20.00% 6.00% 1.00%
1281
1281
1281
1282
1282
1283
1283
1283
1283
1283
1283
1284
1284
1285
1285
1285
1285
1287
1287
1288
1288
1288
1288
1295
Obje i os
0.00%
20.00%
40.00%
60.00%
80.00%
100.00%
120.00%
Symbian And oid
Dis ibu ion
0
0.2
0.4
0.6
0.8
1
1.2
Symbian BB And oid Iphone Windows
P i ilege escala ion
Use s
Failu es
0.00%
10.00%
20.00%
30.00%
40.00%
50.00%
60.00%
70.00%
80.00%
90.00%
And oid Windows O he s
% aplica ion sales
2011
2012
2013
Página 1
Figu e A.3: How p i ileges a e aqui ed
A.2. Cu en Secu i y Models 57
Ano he me hod based on he echnology in ol es exploi ing ulne abili ies o con igu-
a ion e o s pla o m [11]. Roo ki s a e used o de ec how hese e o s can be exploi ed.
This ype o malwa e in ec s he ope a ing sys em, so i can be conside ably dange ous
and also lea e he doo open o u u e in ec ions.
A.2. Cu en Secu i y Models
Today, he o icial applica ion dis ibu ion ma ke s ha e di e en mechanisms o y
o ensu e he sa e y o hem. Mainly used e i ica ion es s o check he legi imacy o
he applica ion code. Howe e , de ec ing malwa e is oo complex; no known in de ail
he inne wo kings o hese es s and he p esence o a conside able numbe o malicious
applica ions is insu icien e idence me hod. In addi ion, hey should ake in o accoun
he downloads om uno icial ma ke s ha do no ha e any sa e y il e and a e highly
dange ous.
F om he poin o iew o he pla o m, a way o ying o ensu e secu i y is o es ic
communica ion be ween applica ions and he ac ions hey can pe o m, including access
o da a and se ices. Technique o isola e he execu ion o he applica ion in con olled
en i onmen s is also p oposed, called sandboxing.
Fig. A.4 shows ha And oid is he mobile ope a ing sys em ha domina es, and a
endency o con inue o g ow [5]. iOS is he second bes -selling, hough a a dis ance o
And oid, and he es is inc easingly less impo an in sales o de ices and applica ions.
Hoja1
Robo Mal uso Sabo aje SPAM F aude
Symbian 50.00% 0 50.00% 0 0
BB 66.00% 33.00% 0 0 0
And oid 65.00% 30.00% 0 10.00% 20.00%
Iphone 23.00% 0.00% 0 0 23.00%
Windows 0 60.00% 0 0 0
% en as de aplicaciones
2011 2012 2013
And oid 49.00% 69.00% 78.00%
iOs 18.00% 18.00% 15.00%
Windows 2.00% 3.00% 4.00%
BB 11.00% 4.00% 2.00%
O he s 20.00% 6.00% 1.00%
1281
1281
1281
1282
1282
1283
1283
1283
1283
1283
1283
1284
1284
1285
1285
1285
1285
1287
1287
1288
1288
1288
1288
1295
Obje i os
0.00%
20.00%
40.00%
60.00%
80.00%
100.00%
120.00%
Symbian BB And oid Iphone Windows
Dis ibución
M2D
A2D
W2D
N2D
U2D
S2D
0.00%
10.00%
20.00%
30.00%
40.00%
50.00%
60.00%
70.00%
80.00%
90.00%
And oid iOs Windows BB O he s
% aplica ion sales
2011
2012
2013
Página 1
Figu e A.4: Sales o applica ions pe ype o ope a ing sys em
58 Cap
´
ı ulo A. In oduc ion
Then, me hods and decisions adop ed by he i e majo ope a ing sys ems ha domi-
na e a e analyzed.
A.2.1. Symbian
The Symbian secu i y model is based on a basic se o pe missions o con ol he de-
ice’s esou ces. Applica ions un in use space while he ope a ing sys em a he ke nel
space.
Applica ions ha equi e access o p o ec ed lib a ies and he e o e a e mo e ulne a-
ble, mus be signed wi h a ce i ica e om Symbian [12], while all o he s can be sel -signed,
no ha ing access o hese dange ous books o es. In his way applica ions a e al eady con-
olled and secu i y o ma ke s becomes unnecessa y, being almos nonexis en . To imp o e
he secu i y o Symbian has p oposed he use o machine lea ning algo i hms o analyze
he beha io o applica ions [13]. Despi e i s high eliabili y, Symbian is he leas used
ope a ing sys ems.
A.2.2. BlackBe y
BlackBe y secu i y is based on a comp ehensi e scheme o pe missions ha has p o en
e y sa e [14]. Ini ially, applica ions ha e e y limi ed access o esou ces and, subsequen ly,
can be allowed o escala e hei p i ileges. Manu ac u e i m o access lib a ies, p o iding
basic p o ec ion o sys em p ocesses and memo y is equi ed. This is p obably he sa es
o which ha e been discussed, bu has he disad an age o being also e y close, wi h a
e y limi ed ma ke sys em.
A.2.3. Windows Mobile
Mic oso [15] based secu i y model alida ion de elope s and he epu a ion and alue
o each applica ion. In he la es e sions, each applica ion uns in i s own sandbox, which
pe mi s hose who ha e been gi en au ho iza ion, simila o how i ela es o he And oid
sys em a e g an ed. Howe e , hese pe missions a e eques ed in he ins alla ion and mus
be g an ed by use s, who end o dis ega d he impo ance o hem. I is also e y di icul
o change a un ime [16].
A.2.4. And oid
The And oid secu i y scheme ocuses mainly on he de ice i sel , since use s a e allowed
o download applica ions om any pla o m o ma ke dis ibu ion. The o ma pe mi s
A.2. Cu en Secu i y Models 59
esul s in a mani es o ha should be au ho ized by he use du ing ins alla ion and awa -
ded a un ime. Howe e , due o use ole ance ega ding pe mi ing, his echnique is
ine ec i e.
And oid also uses sandboxing echnique [17] [18], isola ing each applica ion on hei
own machine Dal ik. This gene a es a by ecode and gi es each a di e en use ID, wi h
he excep ion o he applica ions om he same de elope , which sha e iden i ie , allowing
hem o sha e esou ces. Howe e , applica ions can sha e in o ma ion be ween hem ex-
plici ly using an in e ace o communica ion.
I is in e es ing o ocus on his pa icula sys em because i is he mos used, and also
su e mo e in ec ions.
A.2.5. iOS
Unlike And oid, Apple u ns i s secu i y o he ma ke because i limi s he abili y o
download o hei own [19]. The e o e, applica ions and de elope s need a signa u e o
e i ica ion by a ce i ica e issued by Apple. Howe e , de ails o he e i ica ion es s a e
no public, so i s e ec i eness is di icul o assess.
Usually, secu i y a he pla o m le el is weake han in And oid, o i ually nonexis-
en , because applica ions un on a single, common o all isola ed en i onmen , besides
ha ing access o mos o he esou ces o he de ice. The e o e, in ecen models i is ying
o ex end his sys em, con olling he a ic o pe sonal da a.