Sistema de detección de malware en Android

Sis ema de De ecci´on de Malwa e en And oid TRABAJO DE FIN DE GRADO In´es He as C´ace es Diego Sie a Li as Di ec o es: Luis Ja ie Ga c´ıa Villalba Ana Lucila Sando al O ozco G ado en Ingenie ´ıa In o m´a ica Facul ad de In o m´a ica Uni e sidad Complu ense de Mad id Mad id, Junio de 2015 iii Ag adecimien os Quisi´e amos ag adece a Luis Ja ie Ga c´ıa Villalba y a Ana Lucila Sando al O ozco, los Di ec o es de es e T abajo, el apoyo b indado. Asimismo, quisi´e amos ag adece la dedicaci´on de Jo ge Maes e Vidal. Sin su ines i- mable ayuda, es e T abajo no hab ´ıa sido posible. Finalmen e, nues o m´as since o ag adecimien o al es o de miemb os del G upo GASS (G upo de An´alisis, Segu idad y Sis emas, h p://gass.ucm.es), G upo de In es igaci´on del Depa amen o de Ingenie ´ıa del So wa e e In eligencia A i icial de la Facul ad de In o m´a ica de la Uni e sidad Complu ense de Mad id, po las acilidades o ecidas. i Resumen El p esen e abajo a a de da espues a al p oblema de la de ecci´on del malwa e en los disposi i os m´o iles. Los sis emas de p o ecci´on que ac ualmen e poseen los disposi i- os m´o iles in eligen es se han mos ado ine icaces. Pa a asegu a los en e a una posible in ecci´on de so wa e malicioso, debe comple a se la segu idad que o ecen las ca ac e ´ıs i- cas del sis ema o la c iba de aplicaciones en los me cados de desca ga o iciales. Siendo un ´a ea de in es igaci´on ecien e, la mayo pa e de los abajos se han cen ado en la de- ecci´on del malwa e es udiando su compo amien o en ejecuci´on, que iene de e minado po las llamadas al sis ema que ealiza. La p incipal mo i aci´on de es e abajo p ocede de la escasez de abajos que ealizan un es udio ´apido y desligado de la ac i idad del usua io. Pa a ello el sis ema p opues o ex ae las llamadas al sis ema ealizadas du an- e los p ime os segundos de ejecuci´on de una aplicaci´on en un en o no aislado. Adem´as se iene en cuen a no s´olo la can idad de llamadas al sis ema sino ambi´en la in o ma- ci´on que se puede ex ae de su secuencia empo al, g acias a la aplicaci´on de algo i mos de alineamien o de secuencias. Los expe imen os ealizados demues an que la ac i idad del malwa e iene p esencia al inicio de las ejecuciones, consigui´endose as´ı su de ecci´on emp ana en la mayo ´ıa de los casos y minimiz´andose el impac o sob e el sis ema p o egido. Palab as Cla e Alineamien o de Secuencias, And oid, Aplicaci´on, De ecci´on, Disposi i os In eligen es, Llamadas al Sis ema, Malicioso, Malwa e. ii Abs ac This wo k seeks o sol e he p oblem o de ec ing malwa e on mobile de ices. P o- ec ion sys ems cu en ly ha e sma mobile de ices ha e p o en ine ec i e. In o de o insu e agains possible in ec ion o malicious so wa e, secu i y mus be comple ed ea u- es o e ed by he sys em o he o icial ma ke s. Being an a ea o ecen esea ch, mos o he wo k has ocused on he de ec ion o malwa e s udying hei beha io , which is de e mined by he sys em calls du ing he execu ion. The main mo i a ion o his wo k comes om he sca ci y o jobs pe o med quickly and de ached s udy o use ac i i y. Fo his, he p oposed sys em ex ac s he sys em calls made du ing he i s seconds o un- ning an applica ion in an isola ed en i onmen . Also i is aking in o accoun no only he numbe o sys em calls bu also in o ma ion ha can be gleaned om hei iming, using sequence alignmen algo i hms. The esul s ob ained om he expe imen s demons a e he objec i es we e success ully comple ed. The p oposal has shown ha malwa e ac i i y is p esen a he beginning o he execu ions. I has also go an ea ly de ec ion o malwa e in mos cases, hus he impac on he p o ec ed sys em has been minimal. Keywo ds And oid, Applica ion, De ec ion, Malicious, Malwa e, Sequence Alignmen , Sma De- ices, Sys em Calls. Los abajo i man es au o izan a la Uni e sidad Complu ense de Mad id (UCM) a di undi y u iliza con ines acad´emicos, no come ciales y mencionando exp esamen e a sus au o- es el p esen e T abajo Fin de G ado: “Sis ema de De ecci´on de Malwa e en And oid”, ealizado du an e el cu so acad´emico 2014-2015 bajo la di ecci´on de Luis Ja ie Ga c´ıa Villalba y Ana Lucila Sando al O ozco en el Depa amen o de Ingenie ´ıa del So wa e e In eligencia A i icial, y a la Biblio eca de la UCM a deposi a lo en el A chi o Ins i ucional E-P in s Complu ense con el obje o de inc emen a la di usi´on, uso e impac o del abajo en In e ne y ga an iza su p ese aci´on y acceso a la go plazo. In´es He as C´ace es Diego Sie a Li as 2 Cap´ı ulo 1 In oducci´on En los ´ul imos a˜nos se ha inc emen ado la apa ici´on de dis in os ipos de disposi i os in eligen es. As´ı, en e un 60 y un 80 po cien o de la poblaci´on de los pa´ıses en los que hay acceso a In e ne , lo hacen a a ´es de Sma phones o Table as [1], los cuales son u i- lizados una media de dos ho as dia ias. Adem´as, se es ima que en 2017 hab ´a en el mundo 1,4 disposi i os m´o iles po habi an e y sus en as supe a ´an a las de las compu ado as pe sonales. A la luz de es os da os, es e iden e que el in e ´es y la impo ancia de es os disposi i os en la sociedad es cada ez m´as no able y, p esumiblemen e, segui ´a a anzando a pasos agigan ados. De en e las ca ac e ´ıs icas de los disposi i os m´o iles des aca la p esencia de senso es ales como gi oscopios, mic ´o onos, localizado es GPS, e c.; la capacidad de conexi´on a alg´un ipo de ed ele ´onica, Blue oo h, Wi-Fi; o la posibilidad de adqui i y u iliza apli- caciones desa olladas po e ce os [2]. Pe o a pesa de las e iden es en ajas que o ecen, p esen an ambi´en cie os p oblemas que pueden llega a se c uciales pa a la segu idad del usua io. Es o es debido a que es os disposi i os almacenan in o maci´on muy sensible y a iada, que puede comp ome e la segu idad, la p i acidad e, incluso, la econom´ıa del p opie a io o la de e ce os. Los senso es que inco po an es as ecnolog´ıas ambi´en pueden ecoge da os sin que el usua io sea ealmen e conscien e de la can idad de in o maci´on que el disposi i o es ´a manejando. Es po es o po lo que la c eaci´on de so wa e malicio- so o malwa e, espec´ı ico pa a es e ´ambi o, se ha dispa ado a la misma elocidad que su uso. Finalmen e, es impo an e des aca que en e los usua ios no exis e conciencia del peli- g o al que es ´an expues os an e un posible a aque. La inmensa mayo ´ıa desconoce incluso que el malwa e pa a m´o iles exis e, y que las aplicaciones que ins alan en sus disposi i os pueden p esen a compo amien os malin encionados. Po ello, se hace necesa io plan ea modelos de segu idad m´as all´a de la acci´on del usua io, con olando los me cados y los disposi i os. 3 4Cap ´ ı ulo 1. In oducci´ on 1.1. Malwa e pa a M´o iles Malwa e es cualquie ipo de so wa e o c´odigo de p og ama hos il, in usi o o dise˜nado pa a usa un disposi i o sin el conocimien o del p opie a io. La e oluci´on y p oli e aci´on del malwa e en disposi i os m´o iles es ´a ´ın imamen e ligada al aumen o de sus capacida- des de ed y ecu sos in o m´a icos. As´ı, se ienen e idencias de que el p ime malwa e pa a m´o iles ue desa ollado en 2004 pa a a aca a disposi i os Symbian [3]. Sin emba go, es a pa i de 2010 cuando empieza a c ece signi ica i amen e [4], es ando dedicado p incipal- men e a los sis emas And oid e iOs. S´olo pa a And oid en 2012 se es ima que exis ´ıan ce ca de 35.000 p og amas maliciosos, siendo obje i o del 79 % del malwa e gene ado du an e ese a˜no en e al 11,5 % del a˜no 2010 [5]. Pa a analiza los a aques y sus ipos, se deben ene en cuen a es pe spec i as: com- po amien o y obje i os, o mas de dis ibuci´on del malwa e y m´e odos de adquisici´on de p i ilegios. 1.1.1. Compo amien o y Obje i os del A aque En la mayo ´ıa de los casos el malwa e pe sigue a ios obje i os y adem´as su p op´osi o y compo amien o puede a ia po medio de una o den emo a emi ida po quienes lo con- olan. El m´as com´un de sus obje i os es el bene icio econ´omico. En es e sen ido se pueden encon a ejemplos a ios, como en el caso del aude u o e billing. Es e a aque consis e en ca ga gas os a la cuen a de la ´ıc ima (que son ans e idos a la del a acan e) po medio de llamadas o SMS en iados a n´ume os de a i icaci´on adicional sin el consen imien o del usua io. Habi ualmen e, el usua io elaciona es e ipo de a aques con un con lic o con la compa˜n´ıa p o eedo a del se icio, pasando po al o su e dade a na u aleza [6]. O o ipo de a aque es el de la denegaci´on de se icio o sabo aje, el llamado a aque DoS (del ingl´es Denial o Se ice) que a a de consumi la ba e ´ıa del disposi i o limi an- do su iempo de ope aci´on, o bien de nega le al usua io el acceso a de e minados ecu sos o edes [7]. Cuando se ejecu a de o ma dis ibuida (DDoS), puede ocasiona pe juicios no s´olo a uno o a ios usua ios, sino incluso a di e sas o ganizaciones [2]. Po ejemplo, se puede llega a colapsa la conexi´on a In e ne de una zona o se ido si se empiezan a en ia paque es masi os a una ed. Po ´ul imo, se puede a a de comp ome e la p i acidad po medio de la ´ecnica llamada sni ing [8], la cual ap o echa los da os que ecogen los senso es y las edes de las que hace uso el disposi i o, pudiendo ob ene im´agenes [9], g abaciones ele ´onicas, con- ase˜nas, mensajes de co eo elec ´onico, da os banca ios o cualquie ipo de in o maci´on que maneje, en ´ıe o eciba el disposi i o. Es a es una de las amenazas m´as p eocupan es 1.1. Malwa e pa a M´ o iles 5 pa a los usua ios u o ganizaciones, pues o que en los disposi i os m´o iles se almacenan y se a an da os p i ados y clasi icados, an o pe sonales como emp esa iales. En la Figu a 1.1 se de alla la ocu encia de cada ipo de obje i o po cada sis ema ope a i o. Hoja1 Robo Mal uso Sabo aje SPAM F aude Symbian 50.00% 0 50.00% 0 0 BB 66.00% 33.00% 0 0 0 And oid 65.00% 30.00% 0 10.00% 20.00% Iphone 23.00% 0.00% 0 0 23.00% Windows 0 60.00% 0 0 0 % en as de aplicaciones 2011 2012 2013 And oid 49.00% 69.00% 78.00% iOs 18.00% 18.00% 15.00% Windows 2.00% 3.00% 4.00% BB 11.00% 4.00% 2.00% O he s 20.00% 6.00% 1.00% 1281 1281 1281 1282 1282 1283 1283 1283 1283 1283 1283 1284 1284 1285 1285 1285 1285 1287 1287 1288 1288 1288 1288 1295 Obje i os 0.00% 10.00% 20.00% 30.00% 40.00% 50.00% 60.00% 70.00% Symbian BB And oid Iphone Windows Obje i os Robo Mal uso Sabo aje SPAM F aude 0.00% 20.00% 40.00% 60.00% 80.00% 100.00% 120.00% Symbian BB And oid Iphone Windows Dis ibución M2D A2D W2D N2D U2D S2D Página 1 Figu a 1.1: Tipos de a aques 1.1.2. M´e odos de Dis ibuci´on Es impo an e conoce los medios po los que se dis ibuyen los p og amas maliciosos, pa a as´ı a aja el con agio. Hay dos g andes ap oximaciones [10]: la au op opagaci´on y la ingenie ´ıa social. Den o del p ime ipo se ag upan los siguien es m´e odos: Aplicaci´on a Disposi i o (Applica ion o De ice, A2D, el c´odigo malicioso se encuen a en una aplica- ci´on que luego in ec a al disposi i o), SMS a Disposi i o (SMS o De ice, S2D, se con agia el disposi i o po medio de un SMS), USB a Disposi i o (USB o De ice, U2D), Red a Disposi i o (Ne wo k o De ice, N2D), Disposi i o a Disposi i o (De ice o De ice, D2D) y Nube a Disposi i o (Cloud o De ice, C2D). En es os casos el malwa e es ´a p og amado pa a con amina el disposi i o cuando se pone en con ac o con ´el. Po o o lado, la ingenie ´ıa social, ag upa m´e odos como Me cado a Disposi i o (Ma - ke o De ice, M2D, el usua io desca ga desde el me cado un p og ama malicioso) o el de Na egado Web a Disposi i o (Web-b owse o De ice, W2D). Como se mues a en la Figu a 1.2, la ingenie ´ıa social es el p incipal m´e odo de dis- ibuci´on de malwa e. Posiblemen e es o se deba a la poca conciencia an e el pelig o que mues an los usua ios; habi ualmen e son los que desca gan las aplicaciones in ec adas desde los me cados. Tambi´en es ecuen e la combinaci´on de ambas es a egias. 6Cap ´ ı ulo 1. In oducci´ on Hoja1 Robo Mal uso Sabo aje SPAM F aude Symbian 50.00% 0 50.00% 0 0 BB 66.00% 33.00% 0 0 0 And oid 65.00% 30.00% 0 10.00% 20.00% Iphone 23.00% 0.00% 0 0 23.00% Windows 0 60.00% 0 0 0 % en as de aplicaciones 2011 2012 2013 And oid 49.00% 69.00% 78.00% iOs 18.00% 18.00% 15.00% Windows 2.00% 3.00% 4.00% BB 11.00% 4.00% 2.00% O he s 20.00% 6.00% 1.00% 1281 1281 1281 1282 1282 1283 1283 1283 1283 1283 1283 1284 1284 1285 1285 1285 1285 1287 1287 1288 1288 1288 1288 1295 Obje i os 0.00% 10.00% 20.00% 30.00% 40.00% 50.00% 60.00% 70.00% Symbian BB And oid Iphone Windows Obje i os Robo Mal uso Sabo aje SPAM F aude 0.00% 20.00% 40.00% 60.00% 80.00% 100.00% 120.00% Symbian BB And oid Iphone Windows Dis ibución M2D A2D W2D N2D U2D S2D Página 1 Figu a 1.2: Tipos de dis ibuciones 1.1.3. Adquisici´on de P i ilegios Pa a que el malwa e sea e ec i o no es su icien e con que se p opague al disposi i o, ambi´en iene que consegui una se ie de p i ilegios pa a pode accede a las pa es c ´ı i- cas del sis ema y ealiza las acciones necesa ias pa a ejecu a su labo . Habi ualmen e, es os p i ilegios son di ec amen e concedidos po los usua ios [10] al ins ala aplicaciones en apa iencia leg´ı imas pe o que esconden alg´un compo amien o malicioso. Los usua ios no son conscien es de la epe cusi´on de ans e i de e minados pe misos a p og amas desconocidos y, en ocasiones, ni an siquie a p es an a enci´on a las pe iciones pa a su au o izaci´on. Po lo an o, es e m´e odo es al amen e e icaz, al y como se mues a en la Figu a 1.3. O o p ocedimien o basado en la ecnolog´ıa consis e en la explo aci´on de las ulne- abilidades o e o es en la con igu aci´on de la pla a o ma [11]. Se u ilizan oo ki s pa a de ec a de qu´e o ma se pueden ap o echa dichos e o es. Es e ipo de malwa e in ec a el sis ema ope a i o, po lo que puede se conside ablemen e pelig oso y, adem´as, dejan la pue a abie a a u u as in ecciones. 1.2. Modelos de Segu idad Hoy en d´ıa, los me cados o iciales de dis ibuci´on de aplicaciones cuen an con dis in os mecanismos pa a in en a ga an iza la segu idad de las mismas. P incipalmen e, u ilizan p uebas de e i icaci´on pa a comp oba la legi imidad del c´odigo de la aplicaci´on. Sin emba go, de ec a el malwa e es demasiado complejo; no se conoce en de alle el unciona- mien o in e no de es as p uebas y la p esencia de un conside able n´ume o de aplicaciones maliciosas e idencia que es un m´e odo insu icien e. Adem´as se deben ene en cuen a las 1.2. Modelos de Segu idad 7 Hoja1 The Misuse Sabo age SPAM F audulence Symbian 50.00% 0 50.00% 0 0 BB 66.00% 33.00% 0 0 0 And oid 65.00% 30.00% 0 10.00% 20.00% Iphone 23.00% 0.00% 0 0 23.00% Windows 0 60.00% 0 0 0 % en as de aplicaciones 2011 2012 2013 And oid 49.00% 69.00% 78.00% iOs 18.00% 18.00% 15.00% Windows 2.00% 3.00% 4.00% BB 11.00% 4.00% 2.00% O he s 20.00% 6.00% 1.00% 1281 1281 1281 1282 1282 1283 1283 1283 1283 1283 1283 1284 1284 1285 1285 1285 1285 1287 1287 1288 1288 1288 1288 1295 Obje i os 0.00% 20.00% 40.00% 60.00% 80.00% 100.00% 120.00% Symbian And oid Dis ibu ion 0 0.2 0.4 0.6 0.8 1 1.2 Symbian BB And oid Iphone Windows Adquisición de p i ilegios Usua ios E o es 0.00% 10.00% 20.00% 30.00% 40.00% 50.00% 60.00% 70.00% 80.00% 90.00% And oid Windows O he s % aplica ion sales 2011 2012 2013 Página 1 Figu a 1.3: Fo mas de adquisici´on de p i ilegios Hoja1 Robo Mal uso Sabo aje SPAM F aude Symbian 50.00% 0 50.00% 0 0 BB 66.00% 33.00% 0 0 0 And oid 65.00% 30.00% 0 10.00% 20.00% Iphone 23.00% 0.00% 0 0 23.00% Windows 0 60.00% 0 0 0 % en as de aplicaciones 2011 2012 2013 And oid 49.00% 69.00% 78.00% iOs 18.00% 18.00% 15.00% Windows 2.00% 3.00% 4.00% BB 11.00% 4.00% 2.00% O he s 20.00% 6.00% 1.00% 1281 1281 1281 1282 1282 1283 1283 1283 1283 1283 1283 1284 1284 1285 1285 1285 1285 1287 1287 1288 1288 1288 1288 1295 Obje i os 0.00% 20.00% 40.00% 60.00% 80.00% 100.00% 120.00% Symbian BB And oid Iphone Windows Dis ibución M2D A2D W2D N2D U2D S2D 0.00% 10.00% 20.00% 30.00% 40.00% 50.00% 60.00% 70.00% 80.00% 90.00% And oid iOs Windows BB O he s % de en as de aplicaciones 2011 2012 2013 Página 1 Figu a 1.4: Ven as de aplicaciones desca gas desde me cados no o iciales que no poseen ning´un ipo de il o de segu idad y son al amen e pelig osas. Desde el pun o de is a de la pla a o ma, una mane a de a a de ga an iza la segu- idad es la de es ingi la comunicaci´on en e aplicaciones y las acciones que ´es as pueden ealiza , incluyendo el acceso a da os y se icios. Tambi´en se p opone la ´ecnica de aisla la ejecuci´on de la aplicaci´on en en o nos con olados, llamada sandboxing. En la Figu a 1.4 se mues a que And oid es el sis ema ope a i o m´o il que p edomina, as´ı como una endencia a que con in´ue c eciendo [5]. iOS es el segundo m´as endido, aun- que a cie a dis ancia de And oid, y el es o cada ez iene menos impo ancia en cuan o a en as de disposi i os y aplicaciones. 8Cap ´ ı ulo 1. In oducci´ on A con inuaci´on, se analizan los m´e odos y decisiones adop ados po los cinco p incipales sis emas ope a i os que dominan ac ualmen e. 1.2.1. Symbian El modelo de segu idad de Symbian se basa en un sis ema b´asico de pe misos pa a con ola los ecu sos del disposi i o. Las aplicaciones se ejecu an en el espacio de usua io mien as que el sis ema ope a i o lo hace en el espacio del n´ucleo. Las aplicaciones que equie en acceso a biblio ecas p o egidas y, po lo an o, son m´as ulne ables, deben es a i madas con un ce i icado expedido po Symbian [12], mien as que odas las dem´as pueden es a au o i madas, no eniendo acceso a es as lib e ´ıas peli- g osas. De es a o ma las aplicaciones ya es ´an con oladas y la segu idad de los me cados se hace innecesa ia, siendo casi inexis en e. Pa a la mejo a de la segu idad de Symbian se ha p opues o el uso de algo i mos de ap endizaje au om´a ico que analicen el compo a- mien o de las aplicaciones [13]. A pesa de su al a iabilidad, Symbian es de los sis emas ope a i os menos u ilizados. 1.2.2. BlackBe y La segu idad de BlackBe y se basa en un esquema amplio de pe misos que ha demos- ado se muy segu o [14]. Inicialmen e, las aplicaciones ienen un acceso muy limi ado a los ecu sos y, pos e io men e, pueden ecibi au o izaci´on pa a escala sus p i ilegios. Es necesa ia la i ma del ab ican e pa a accede a las biblio ecas, o eciendo un sis ema de p o ecci´on b´asico pa a p ocesos y memo ia. Es e es p obablemen e el sis ema m´as segu o de los que se han analizado, pe o p esen a el incon enien e de se ambi´en muy ce ado, con un me cado muy limi ado. 1.2.3. Windows Mobile Mic oso [15] basa su modelo de segu idad en la alidaci´on de los desa ollado es y la epu aci´on y alo aci´on de cada aplicaci´on. En las ´ul imas e siones, cada aplicaci´on se ejecu a en su p opio sandbox, en el que se conceden los pe misos a los que se ha dado au- o izaci´on, de o ma simila a como se elaciona en el sis ema And oid. Sin emba go, es os pe misos se piden en la ins alaci´on y deben se concedidos po los usua ios, los cuales no suelen ene en cuen a la impo ancia de los mismos. Adem´as, es muy di ´ıcil modi ica los en iempo de ejecuci´on [16]. 1.3. Es uc u a de la Memo ia 9 1.2.4. And oid El esquema de segu idad de And oid se cen a p incipalmen e en el p opio disposi i o, ya que los usua ios es ´an au o izados a desca ga aplicaciones desde cualquie pla a o ma de dis ibuci´on o me cado. El o ma o de pe misos se aduce en un mani ies o que debe se au o izado po el usua io du an e la ins alaci´on y adjudicado en iempo de ejecuci´on. Sin emba go, debido a la ole ancia del usua io espec o a la concesi´on de pe misos, es a ´ecnica es poco e ec i a. And oid ambi´en u iliza la ´ecnica del sandboxing [17] [18], aislando cada aplicaci´on en su p opia m´aquina Dal ik. ´ Es a gene a un c´odigo de by es y o o ga a cada una un iden- i icado de usua io dis in o, a excepci´on de las aplicaciones de un mismo desa ollado , las cuales compa en iden i icado , lo que les pe mi e compa i ecu sos. Sin emba go, las aplicaciones pueden compa i in o maci´on en e ellas expl´ıci amen e median e una in e - az pa a la comunicaci´on. Es in e esan e cen a se en es e sis ema en conc e o pues o que es el m´as u ilizado, y ambi´en el que m´as in ecciones su e. 1.2.5. iOS A di e encia de And oid, Apple di ige su segu idad hacia el me cado debido a que limi a la capacidad de desca ga al suyo p opio [19]. Po lo an o, las aplicaciones y los desa ollado es necesi an pa a su e i icaci´on una i ma median e un ce i icado expedido po Apple. Sin emba go, los de alles de las p uebas de e i icaci´on no son de dominio p´ublico, po lo que su e icacia es di ´ıcil de e alua . Po lo gene al, su segu idad a ni el de pla a o ma es m´as d´ebil que en And oid, o p ´ac icamen e inexis en e, ya que las aplicaciones se ejecu an en un ´unico en o no aislado, com´un pa a odas ellas, eniendo adem´as acceso a la mayo ´ıa de los ecu sos del disposi i o. Po ello, en los ´ul imos modelos se es ´a a ando de amplia es e sis ema, con olando el ´a ico de da os pe sonales. 1.3. Es uc u a de la Memo ia Es a memo ia se es uc u a en 5 Cap´ı ulos, siendo el p ime o la p esen e in oducci´on. En el Cap´ı ulo 2se exponen los abajos que p e iamen e han a ado de da espues a al p oblema del malwa e en disposi i os m´o iles. En el Cap´ı ulo 3se explican las p inci- pales he amien as que se han enido en cuen a a la ho a de oma la decisi´on de si los da os obse ados se conside a leg´ı imos o maliciosos. En el Cap´ı ulo 4queda de allada la p opues a que expone el p oyec o. El Cap´ı ulo 5mues a las conclusiones de es e abajo. 10 Cap ´ ı ulo 1. In oducci´ on Cap´ı ulo 2 T abajos Relacionados Pa a la ealizaci´on de es e abajo se han analizado los es udios y p oyec os que p e- iamen e han a ado de da soluci´on al p oblema del malwa e en disposi i os m´o iles. As´ı, se puede da una isi´on gene al de las u ilidades necesa ias pa a lle a a cabo es a labo y conoce de o ma concisa c´omo se puede implemen a el p oceso de de ecci´on de malwa e pa a disposi i os m´o iles. En es e cap´ı ulo se es udian los modos de a a los da os una ez han sido ecopila- dos y ex a´ıdos del disposi i o que se a a es udia , as´ı como los ipos de es a egias de de ecci´on de malwa e en disposi i os m´o iles desde cua o pe spec i as, dependiendo de la na u aleza de los da os. ´ Es as son: an´alisis es ´a ico, an´alisis din´amico, an´alisis mix o y an´alisis de me ada os. Tambi´en se de allan los conjun os de malwa e m´as u ilizados pa ece ealiza p uebas. 2.1. T a amien o de Da os Los disposi i os m´o iles cuen an con ecu sos bas an e limi ados, sob e odo en cuan o a la ba e ´ıa y elocidad de p ocesamien o, po lo que es impo an e de e mina de o ma co ec a el luga en el cual se an a analiza los da os ex a´ıdos del mismo y la o ma en la que se a a ealiza dicho an´alisis [20]. Una p ime a ap oximaci´on consis e en ealiza el an´alisis en el p opio disposi i o. Re- sul a una en aja pues o que, al no se necesa ia una conexi´on con el ex e io , no exis e dependencia de o os se ido es o de la elocidad de la conexi´on a In e ne . Adem´as, se e i an las b echas de segu idad de i adas de la ansmisi´on de da os a a ´es de la ed, ya que pueden se in e cep ados y modi icados. Sin emba go, la mayo ´ıa de los p oyec os es udiados ealizan el an´alisis en se ido es emo os o en la nube. Se iene en cuen a que la mayo ´ıa de los disposi i os m´o iles es ´an 11 18 Cap ´ ı ulo 2. T abajos Relacionados Cap´ı ulo 3 M´e odos de An´alisis Pa a lle a a cabo es e p oyec o se han es udiado dis in os m´e odos de an´alisis y clasi- icaci´on de da os. En es e cap´ı ulo se explican los algo i mos que se han enido en cuen a pa a p ocesa y compa a los da os u ilizados como e e encia con aquellos de o igen des- conocido, con el in de de e mina su na u aleza. ´ Es os son: edes bayesianas, m´aquinas de ec o sopo e y alineamien o de secuencias. Adem´as, se desc iben las p uebas es ad´ıs icas es udiadas que pe mi en, a pa i de las pun uaciones ob enidas de los algo i mos, calcula el es ad´ıs ico que e ela a qu´e pobla- ci´on pe enece una mues a. Po ´ul imo, se de alla el uncionamien o de m´e odos pa a la c eaci´on de modelos que de inan las poblaciones de mues as que se oman pa a el es udio. 3.1. P ocesamien o de Da os Pa a p ocesa los da os es necesa ia la aplicaci´on de algo i mos que con ie an la in o - maci´on ex a´ıda en in o maci´on ´u il con la que iden i ica los pun os m´as ele an es pa a la iden i icaci´on del malwa e. A con inuaci´on se explican los algo i mos cuyo uso es ´a m´as ex endido en es e ´ambi o. 3.1.1. Red Bayesiana Las edes bayesianas [36] consis en en un ipo de modelo de p obabilidad en el que se elacionan una se ie de hechos alea o ios que pueden ocu i y la elaci´on de p obabilidad en e ellos. Se ep esen a como un g a o en el que cada nodo supone un suceso y las a is as implican dependencia condicional. Cada nodo iene una dis ibuci´on de p obabilidad que depende de los da os de en ada y iene como salida la p obabilidad de que ese suceso ocu a. Las edes bayesianas pueden en ende se como la elaci´on de causa-e ec o en e hechos que pueden ocu i . As´ı, en la Figu a 3.1 se ep esen a que si el suceso B ocu e, 19 20 Cap ´ ı ulo 3. M´ e odos de An´ alisis exis e una cie a p obabilidad de que ocu a A y, a su ez, C. Adem´as, la p obabilidad de que ocu a C se ´a: P(C) = P(B)P(A) Es e ipo de edes son u ilizadas en muy di e sos campos, como bioin o m´a ica, p o- cesamien o de im´agenes y ex os o sis emas de oma de decisiones. En es e ´ul imo caso, las edes bayesianas esul an muy ´u iles cuando no se ienen muchos pa ´ame os de en- ada. Sin emba go, no ienen en cuen a la secuencia de hechos, simplemen e se necesi a conoce el es ado an e io , lo cual puede supone un p oblema en el caso de los p og amas in o m´a icos, en los que el o den en el que ocu en los sucesos suele se ele an e. C A B Figu a 3.1: Esquema de decisi´on de las edes bayesianas Hoja1 5 9 8 7 10 8 5 4 8 9 6 7 8 10 5 6 9 8 7 6 15 19 18 17 20 18 15 14 18 19 16 17 18 20 15 16 19 18 17 16 0 5 10 15 20 25 14710 13 16 19 22 25 28 31 34 37 40 Página 1 Figu a 3.2: Plano de ep esen aci´on de da os en SVM 3.1.2. Cadenas de Ma ko Pa a soluciona el incon enien e de no ene en cuen a la secuencia empo al de hechos p esen e en las edes bayesianas, se pueden u iliza las cadenas o modelos de Ma ko [37]. 3.1. P ocesamien o de Da os 21 Se a a de un ipo de p oceso en el que la p obabilidad de que un e en o llegue a ocu i depende ´unica y exclusi amen e del suceso an e io , cumpliendo as´ı la llamada p opiedad de Ma ko . Sin emba go, aunque un es ado dependa solamen e del an e io , el his o ial de e en os ocu idos queda ep esen ado en cada es ado, de o ma que se dispone de oda la in- o maci´on necesa ia pa a de e mina la p obabilidad de que ocu an los es ados siguien es. La cadena de Ma ko se compone de una secuencia de e en os alea o ios X1, X2, . . . , Xn, Xn+1. Po la p opiedad de Ma ko , la p obabilidad de Xn+1 depende ´unicamen e de Xn: P(Xn+1 =xn+1|xn, Xn−1=xn−1, . . . , X2=x2, X1=x1) = P(Xn+1 =xn+1|Xn=xn) A pesa de que de es e m´e odo es u ilizado en muy di e sos campos como medicina, ´ısica o juegos de aza y, aunque ya se ha u ilizado en o os p oyec os de de ecci´on de malwa e, pueden alcanza una complejidad conside able cuando se a a de cadenas con una al a can idad de posibles e en os alea o ios. 3.1.3. M´aquinas de Vec o Sopo e Las m´aquinas de ec o sopo e (o SVM, del ingl´es Suppo Vec o Machines) son un conjun o de algo i mos supe isados que pe enecen a la amilia de los clasi icado es li- neales. Es os algo i mos ep esen an los da os como pun os en un plano, lo cual pe mi e c ea clasi icaciones dependiendo de las ag upaciones de pun os. Pa a c ea un co ec o modelo de clases, debe exis i una ase de en enamien o que pe mi a de ini median e la gene aci´on de un hipe plano una sepa aci´on ´op ima en e conjun os de pun os [38], al y como se mues a en la Figu a 3.2. Una ez ob enido el modelo, dada una mues a desco- nocida pe mi e di e encia de o ma cla a los da os analizados pa a de e mina a qu´e clase pe enecen. Es e ipo de algo i mo ya ha sido u ilizado en o os p oyec os de de ecci´on de malwa e [13], lo cual supone una en aja pues o que ya han sido p obados. Sin emba go, en la ase de en enamien o es complicado de e mina cu´al debe se la di e encia pa a conside a un da o como pe enecien e a un g upo o a o o, lo cual puede da luga a e o es. Adem´as, como en el caso de edes bayesianas, solamen e se ienen en cuen a los hechos ocu idos, y no la secuencia empo al de los mismos, lo cual es impo an e a la ho a de analiza la ejecuci´on de p og amas. 22 Cap ´ ı ulo 3. M´ e odos de An´ alisis 3.1.4. Alineamien o de Secuencias Los algo i mos de alineamien o de secuencias [39] a an de compa a dos cadenas de elemen os pa a esal a sus zonas de simili ud, ellenando con huecos las pa es no coinci- den es. Habi ualmen e, son u ilizados en bioin o m´a ica pa a compa a cadenas de ADN y ARN. Sin emba go, son pe ec amen e aplicables en o os ´ambi os. Las cadenas a compa a se colocan de al o ma que se hagan coincidi las zonas de mayo simili ud. Finalmen e, esul a una pun uaci´on que de e mina el g ado de semejanza en e ambas. Es o se consigue a˜nadiendo huecos o espacios, que se ´an los que se penalizan nega i amen e. Adem´as, exis en a ios ipos de alineamien os de secuencias, en e los que des acan el alineamien o global y el local. Aunque pa a cadenas su icien emen e simila es, los esul ados en e ellos no se di e encian. En la Figu a 3.3 se mues an ambos, isua- liz´andose el sis ema de adici´on de huecos en cada caso. Global Local A B A B C D E D D C F C F A B A B C D E D D C F C F A - - B C D - D D C - C F - - A B C D - D D - C F - FIGURA 7 - A B C D A 2 -3 4 1 B -3 5 0 1 C 4 0 8 -7 D 1 1 -7 -5 d=-1 A B A B C D A - - B C C S(A,A) + 2*d + S(B,B) + S(C,C) + S(D,C)= 2 + (-2) + 5 + 8 + (-7) = 6 FIGURA 8 ma ch = -1 misma ch = -1 gap = -1 G C A T G C U 0 -1 -2 -3 -4 -5 -6 -7 G -1 1 0 -1 -2 -3 -4 -5 A -2 0 0 1 0 -2 -2 -3 T -3 -1 -1 0 2 1 0 -1 T -4 -2 -2 -1 1 1 0 -1 A -5 -3 -3 -1 0 0 0 -1 C -6 -4 -2 -2 -1 -1 1 0 A -7 -5 -3 -1 -2 -2 0 0 FIGURA9 Figu a 3.3: Alineamien o Global e sus Alineamien o Local Habi ualmen e, las secuencias es ´an o madas po los elemen os de un al abe o ini o de s´ımbolos. En un p incipio, es necesa io es ablece un g ado de semejanza en e es os s´ımbolos, lo que se puede consegui median e una ma iz cuad ada de simili ud. En es a ma iz de simili ud (S) se encuen a en cada celda S(i, j) el alo indicado pa a los s´ımbo- los iyjdel al abe o. Adicionalmen e, se equie e de un pa ´ame o (d) que indique la penalizaci´on po hueco o gap. En la Figu a 3.4 se mues a un ejemplo de alineamien o y los pa ´ame os u ilizados. 3.1.4.1. Alineamien o Global El alineamien o global si e pa a co eja cadenas en su conjun o o zando la compa a- ci´on desde su inicio has a ocupa la longi ud o al. Po es e mo i o, unciona especialmen e bien cuando las secuencias iniciales son simila es y globalmen e son de ama˜no pa ecido. Un algo i mo habi ual pa a su implemen aci´on y que consigue la o denaci´on de las secuencias es el algo i mo Needleman-Wunsch [40], basado en p og amaci´on din´amica. 3.1. P ocesamien o de Da os 23 Global Local A B A B C D E D D C F C F A B A B C D E D D C F C F A - - B C D - D D C - C F - - A B C D - D D - C F - FIGURA 7 - A B C D A 2 -3 4 1 B -3 5 0 1 C 4 0 8 -7 D 1 1 -7 -5 d=-1 A B A B C D A - - B C C S(A,A) + 2*d + S(B,B) + S(C,C) + S(D,C)= 2 + (-2) + 5 + 8 + (-7) = 6 FIGURA 8 ma ch = -1 misma ch = -1 gap = -1 G C A T G C U 0 -1 -2 -3 -4 -5 -6 -7 G -1 1 0 -1 -2 -3 -4 -5 A -2 0 0 1 0 -2 -2 -3 T -3 -1 -1 0 2 1 0 -1 T -4 -2 -2 -1 1 1 0 -1 A -5 -3 -3 -1 0 0 0 -1 C -6 -4 -2 -2 -1 -1 1 0 A -7 -5 -3 -1 -2 -2 0 0 FIGURA9 Figu a 3.4: Tabla de g ado de semejanza y penalizaci´on po hueco Resul a iable po que siemp e e mina, unciona de o ma independien e a las secuencias de en ada y adem´as asegu a la mejo soluci´on. El algo i mo o dena ambas secuencias median e una ma iz (F), de ama˜no la longi ud de la p ime a secuencia |A|=my la longi ud de la segunda secuencia |B|=n, es o es, (|A|×|B|). En es a ma iz el alo de la celda F(i, j) co esponde a la pun uaci´on del mejo alineamien o en e los subsegmen os de los p ime os ielemen os de la secuencia A y los jp ime os elemen os de la secuencia B. Es deci , la ma iz Fgua da el alo de los alineamien os pa ciales. De es a o ma el alo de F(m, n) es el ´op imo pa a el alineamien- o de ambas secuencias en su o alidad. La p ime a ila y columna de (F) ienen de e minadas po los elemen os de las secuen- cias y la penalizaci´on po hueco de la siguien e o ma: F(0, j) = d∗j;F(i, 0) = d∗j A pa i de esos da os es posible comple a el es o de la ma iz. El alo de una celda F(i,j) iene de e minado po el de la ila, columna o diagonal an e io es de la siguien e o ma: m´ax [F(i−1, j) + d, F (i, j −1) + d, F (i−1, j −1) + S(Ai, Bj)] 24 Cap ´ ı ulo 3. M´ e odos de An´ alisis Una ez comple ada la ma iz (F), pa a o dena las secuencias y a˜nadi los huecos pe inen es se pa e de la posici´on F(m, n), como se ap ecia en la Figu a 3.5. En es e caso se debe e ocede en la ma iz, eligiendo como siguien e posici´on el mayo alo de en e F(i−1, j), F(i, j −1) y F(i−1, j −1). De es a o ma se comp ueba cu´al ue la soluci´on ´op ima usada a la ho a de cons ui la celda F(i, j). Si el alo elegido es F(i−1, j), debe alinea se A(i) con un hueco, si ue F(i, j −1) es B(i) el que debe alinea se con un hueco y, inalmen e, si se eligi´o F(i−1, j −1), AiyBies ´an alineados en e s´ı. El p oceso se epi e has a acaba en un alo de la p ime a ila o columna [41]. Global Local A B A B C D E D D C F C F A B A B C D E D D C F C F A - - B C D - D D C - C F - - A B C D - D D - C F - FIGURA 7 - A B C D A 2 -3 4 1 B -3 5 0 1 C 4 0 8 -7 D 1 1 -7 -5 d=-1 A B A B C D A - - B C C S(A,A) + 2*d + S(B,B) + S(C,C) + S(D,C)= 2 + (-2) + 5 + 8 + (-7) = 6 FIGURA 8 ma ch = -1 misma ch = -1 gap = -1 G C A T G C U 0 -1 -2 -3 -4 -5 -6 -7 G -1 1 0 -1 -2 -3 -4 -5 A -2 0 0 1 0 -2 -2 -3 T -3 -1 -1 0 2 1 0 -1 T -4 -2 -2 -1 1 1 0 -1 A -5 -3 -3 -1 0 0 0 -1 C -6 -4 -2 -2 -1 -1 1 0 A -7 -5 -3 -1 -2 -2 0 0 FIGURA9 Figu a 3.5: Ma iz de decisi´on en el algo i mo de Needleman-Wunsch 3.1.4.2. Alineamien o Local El alineamien o local es m´as ap opiado pa a encon a subsecuencias simila es den o de un con ex o mayo , al con a io que el global que compa a las secuencias en su conjun- o. En es e caso, al in en a busca secciones dispe sas de g an simili ud, la di e encia de longi ud en e las cadenas no pe judica excesi amen e el esul ado inal. Pa a lle a lo a cabo se u iliza habi ualmen e el algo i mo ecu si o de Smi h-Wa e man [42]. El o denamien o de las secuencias se consigue eco iendo la ma iz (F) de la misma o ma en la que se eco ´ıa en el algo i mo Needleman-Wunsch. Sin emba go, las ca ac- e ´ıs icas de (F) son dis in as. La p ime a di e encia es la o ma de comple a la p ime a columna y ila que, en es e caso, alen 0, es o es: F(0, j) = 0; F(i, 0) = 0 Adem´as, el alo ´op imo pa a el alineamien o se puede encon a en cualquie celda de 3.2. P uebas Es ad ´ ıs icas 25 la ma iz y se empieza a eco e a pa i de ella en ez de F(m, n) has a que se encuen a un 0, como se expone en la Figu a 3.6. G G A T T C A G T T A 0 0 0 0 0 0 0 0 0 0 0 0 G 0 5 1 0 0 0 0 0 5 1 0 0 G 0 5 2 0 0 0 0 0 5 2 0 0 A 0 1 10 7 3 0 0 5 1 2 0 5 T 0 0 6 7 12 8 4 1 2 -6 7 3 C 0 0 2 3 8 9 13 9 5 2 3 4 G 0 5 1 0 4 5 9 10 14 10 6 2 A 0 1 10 6 2 1 4 14 10 11 4 11 No hay huecos G G A T T C- A G T T A Hueco en la segunda secuencia G G A T - C G A Hueco en la secuencia supe io FIGURA 10 Figu a 3.6: Ma iz de decisi´on en el algo i mo de Smi h-Wa e man 3.2. P uebas Es ad´ıs icas Una ez se dispone de una o a ias poblaciones de da os, se lle a a cabo un con as e pa a calcula el es ad´ıs ico que pe mi a decidi si los esul ados de una mues a desco- nocida analizada pe enecen a alguna de ellas o, si po el con a io, no se ienen da os su icien es pa a decidi lo. Como se mues a en la Figu a 3.7, exis en mul i ud de p uebas es ad´ıs icas indicadas pa a dis in os ipos de dis ibuciones y da os. En el caso de los da os que amos a analiza ela i os a las llamadas al sis ema, no se puede asumi que su dis ibuci´on aya a se no mal, po lo an o se a an como da os no no malizados. Po ello, se han es udiado dos p uebas popula es pa a a iables con inuas como son la p ueba de los angos con signo de Wilcoxon y la p ueba U de Mann-Whi ney. Al no supone ninguna dis ibuci´on, u ilizan la mediana de las mues as pa a compa a ; adem´as ambi´en abajan con angos de o den. 26 Cap ´ ı ulo 3. M´ e odos de An´ alisis Tipo de Dis ibución No males No no males Independien es Apa eados T-S uden po pa es Tamaño mues al g ande No mal Tamaño mues al pequeño T-S uden Independien es U- es Apa eados Wilcoxon Figu a 3.7: Esquema de p uebas es ad´ıs icas seg´un sus ca ac e ´ıs icas 3.2.1. P ueba de los Rangos con Signo de Wilcoxon La p ueba de Wilcoxon [43] abaja sob e ec o es con da os apa eados, es deci , se compa an en e s´ı los da os con el mismo ´ındice. Es o supone que el ama˜no de los ec o es (n) debe se muy simila pa a las dos mues as. La hip´o esis nula iene de inida como que la mediana de las di e encias de los elemen- os del ec o sea igual a 0. El p oceso que sigue pe mi e ob ene un alo ppa a decidi si no se cumple la hip´o esis nula, es o es, que dicha di e encia no se deba al aza y, po lo an o, se pueda de e mina que ambas poblaciones son la misma. 1. P ime o se ob ienen las di e encias de los pa es de elemen os que se es ´an compa ando uno a uno Tabla 3.1: Di e encia en e elemen os en la p ueba de Wilcoxon A 4 3 6 7 9 4 2 5 B 3 4 6 6 5 4 7 3 Di e encia 1 -1 6 1 4 0 -5 2 3.2. P uebas Es ad ´ ıs icas 27 2. Las di e encias se o denan sin ene en cuen a los signos. Tabla 3.2: Di e encias o denadas en la p ueba de Wilcoxon Di e encias o denadas sin signo 0 0 1 1 1 2 4 5 3. Una ez o denadas, se les asigna un ango. Si exis en elemen os epe idos, el ango se de e mina en la media de los angos co espondien es. Tabla 3.3: Asignaci´on de angos de o den en la p ueba de Wilcoxon Di e encias o denadas sin signo 0 0 1 1 1 2 4 5 Rangos - - 2 2 2 4 5 6 4. Se suman po un lado los angos de las di e encias posi i as (T+) y po o o lado los angos de las di e encias nega i as (T−) y se calcula el es ad´ıs ico con as e T como el m´ınimo de ambos: T= m´ın[T+, T −]. Tabla 3.4: Resul ado de T+, T- y T A 4 3 6 7 9 4 2 5 B 3 4 6 6 5 4 7 3 Di e encia 1 -1 6 1 4 0 -5 2 Rangos 2 2 - 2 5 - 6 4 T+ = 13 T−= 8 T= 8 5. Una ez ob enidos es os 3 pa ´ame os, a pa i del es ad´ıs ico Tse ob iene un p alo . Pa a ama˜nos mues ales peque˜nos (n < 20) el p alo se calcula g acias a la abla es ad´ıs ica de la dis ibuci´on de Wilcoxon. Pa a ama˜nos mues ales mayo es se consigue median e Zque es una ap oximaci´on no mal del alo Tpo la siguien e ´o mula: Z= T−n(n+1) 4 qn(n+1)(2n+1) 24 En unci´on del in e alo de con ianza u ilizado, no malmen e 0,05 o 0,01, y de la p ob enida, se puede de e mina si ambos ec o es son simila es o si la di e encia es signi i- ca i a. Si p <in e alo, se deduce que la di e encia en e poblaciones no se debe al aza y, 34 Cap ´ ı ulo 4. De ecci´ on de Malwa e en And oid llamadas al sis ema que han ocu ido y en el o den que han sucedido, ep esen adas po n´ume os, de o ma que esul a ´a m´as sencillo de p ocesa . T as es a simpli icaci´on, se ha op ado po una es a egia de iden i icaci´on basada en anomal´ıa. Se compa an los da os desconocidos con los conocidos como leg´ı imos median e un algo i mo de alineamien o de secuencias global desc i o en el apa ado 3.1.4. Como esul ado del algo i mo se ob iene una pun uaci´on de simili ud en e ec o es. A con inuaci´on, las pun uaciones que se conocen como leg´ı imas y las desconocidas son some idas a una p ueba no pa am´e ica de Wilcoxon (desc i a en el apa ado 3.2.1), y en unci´on de la p ob enida y de la di e encia de medias, se de e mina si la mues a es leg´ı ima o maliciosa. 4.3. Expe imen aci´on La ase de expe imen aci´on se ha ealizado u ilizando una m´aquina i ual de And oid 4.4 Ki Ka . Se han ealizado las p uebas con 19 aplicaciones dis in as de las que se dis- ponen de una e si´on leg´ı ima y o a con aminada, que se han ob enido del eposi o io And oid Malwa e Genome yD ebin da ase . En conc e o las aplicaciones son Dine Dash 2, Ja o, Mash, Plumbe , F ui s Maching, Sc ambled Ne , Soli ai e, Tap and Fu ious, Ro- bo ic Space Rock, Baske ball sho , Monkey Jump 2, Whi es ou , Supe ouch down, Til Mazes, Helix, DailyMoney, Sani y, Bes Voice Change y Z- es . Las e siones maliciosas es ´an con aminadas po los siguien es ipos de malwa e D oidKungFu: inhibe la ac i idad de los p og amas an i i us, y adem´as c ea una pue a ase a que pe mi e a los a acan es hace se con el con ol del disposi i o. Plank on: en ´ıa da os del el´e ono a un se ido emo o el cual, a lo la go del iempo, ansmi e ´o denes pa a ob ene in o maci´on p i ada del usua io Geinimi: lee, en ´ıa y bo a SMS; en ´ıa a un se ido la in o maci´on de los con ac os y la localizaci´on; desca ga iche os sin el conocimien o del usua io y ab e p´aginas en el na egado . GinMas e : en ´ıa in o maci´on con idencial a un se ido emo o e ins ala aplicaciones sin el pe miso del usua io. Cogos: malwa e gen´e ico de p uebas 4.3. Expe imen aci´ on 35 jSMSHide : un gusano que, adem´as de en ia y ecibi mensajes de ex o, iene la capacidad de ab i p´aginas webs y aplicaciones sin el conocimien o del usua io. Las consecuencias de ambos son de ex ema g a edad. VdLoade : en ´ıa no i icaciones po SMS y ansmi e la in o maci´on de las aplicacio- nes ins aladas en el disposi i o a un se ido emo o. Gape : desca ga o as aplicaciones y susc ibe al usua io a un se icio de SMS p e- mium. Gamex: desca ga iche os sin el conocimien o del usua io 4.3.1. E apas Pa a cada una de las aplicaciones la expe imen aci´on se ha ealizado en es e apas. E apa 1: En es a p ime a e apa se ex aen los da os de 30 ejecuciones dis in as de la aplicaci´on en su e si´on leg´ı ima. A con inuaci´on, esas 30 mues as se han c uzado en e s´ı (Figu a 4.3) usando el algo i mo de alineamien o, ob eniendo pa a cada una un ec o de 30 pun uaciones. Se ha calculado la media de cada uno de esos ec o es, log ando inalmen e 30 medias (ma cadas en azul en la Figu a 4.3). E apa 2: En la segunda e apa se ex aen los da os de las ejecuciones desconocidas cuya na u aleza se quie a de ini . Pa a es e p oyec o se han omado a ias decenas de mues as de la aplicaci´on leg´ı ima y de la aplicaci´on que con iene malwa e. Cada una de es as mues as se ha c uzado con las 30 ejecuciones leg´ı imas iniciales, ob eniendo as´ı un ec o de 30 posiciones con una pun uaci´on po iche o leg´ı imo. E apa 3: Po ´ul imo, se compa a median e Wilcoxon el ec o de 30 pun uaciones de cada iche o desconocido con el ec o de 30 pun uaciones de medias leg´ı imas, como se mues a en la Figu a 4.4. 4.3.2. Op imizaci´on En un p ime in en o se ha lle ado a cabo la expe imen aci´on con las aplicaciones DailyMoney y Dine Dash. Pa a ello se ha aplicado alineamien o global sob e el o al de la secuencia de llamadas al sis ema de odos los a chi os examinados. Pa a el alineamien o global se ha de inido −1 como la penalizaci´on po hueco o cuando dos elemen os no son iguales y +1 cuando dos elemen os coinciden. 36 Cap ´ ı ulo 4. De ecci´ on de Malwa e en And oid L1 L2 L3 L4 L5 L6 L7 L8 L9 L10 L11 L12 L13 L14 L15 L16 L17 L18 L19 L20 L21 L22 L23 L24 L25 L26 L27 L28 L29 L30 L1 1496 1522 1427 1479 1309 1373 1485 1437 1382 1379 1404 1385 1316 1471 1433 1596 1463 1496 1363 1424 1417 1423 1446 1505 1353 1482 1410 1468 1463 L2 1496 1377 1327 1353 1439 1517 1498 1474 1429 1456 1392 1499 1412 1450 1502 1424 1345 1402 1488 1427 1537 1437 1283 1390 1561 1588 1509 1654 1426 L3 1522 1377 1355 1334 1303 1339 1428 1316 1395 1449 1316 1431 1315 1362 1335 1419 1336 1462 1392 1468 1339 1362 1438 1395 1363 1396 1382 1415 1463 L4 1427 1327 1355 1550 1317 1396 1367 1440 1258 1273 1376 1282 1418 1533 1332 1429 1531 1512 1229 1378 1374 1427 1421 1303 1285 1354 1359 1352 1381 L5 1479 1353 1334 1550 1366 1421 1323 1362 1283 1284 1295 1247 1386 1587 1334 1483 1633 1477 1255 1419 1416 1403 1445 1281 1264 1426 1389 1369 1412 L6 1309 1439 1303 1317 1366 1512 1417 1488 1353 1349 1485 1376 1492 1405 1336 1359 1334 1447 1425 1275 1532 1429 1241 1212 1510 1459 1464 1493 1434 L7 1373 1517 1339 1396 1421 1512 1472 1532 1512 1411 1501 1462 1591 1499 1438 1503 1495 1530 1551 1389 1593 1674 1308 1354 1523 1602 1615 1517 1619 L8 1485 1498 1428 1367 1323 1417 1472 1429 1549 1512 1336 1552 1452 1418 1504 1399 1382 1404 1515 1504 1516 1462 1345 1348 1477 1556 1565 1617 1455 L9 1437 1474 1316 1440 1362 1488 1532 1429 1430 1380 1417 1392 1477 1561 1412 1481 1424 1510 1433 1374 1577 1536 1336 1378 1453 1484 1520 1521 1479 L10 1382 1429 1395 1258 1283 1353 1512 1549 1430 1547 1487 1500 1385 1427 1498 1440 1320 1377 1511 1359 1394 1437 1382 1485 1455 1525 1507 1440 1425 L11 1379 1456 1449 1273 1284 1349 1411 1512 1380 1547 1509 1426 1364 1374 1615 1367 1310 1406 1489 1412 1395 1412 1377 1405 1382 1595 1495 1519 1395 L12 1404 1392 1316 1376 1295 1485 1501 1336 1417 1487 1509 1401 1359 1432 1464 1404 1349 1454 1379 1283 1359 1469 1366 1479 1335 1474 1429 1394 1474 L13 1385 1499 1431 1282 1247 1376 1462 1552 1392 1500 1426 1401 1419 1375 1477 1367 1235 1390 1450 1393 1424 1429 1278 1421 1439 1508 1524 1533 1421 L14 1316 1412 1315 1418 1386 1492 1591 1452 1477 1385 1364 1359 1419 1413 1353 1391 1372 1451 1514 1411 1501 1475 1287 1228 1435 1531 1514 1533 1511 L15 1471 1450 1362 1533 1587 1405 1499 1418 1561 1427 1374 1432 1375 1413 1386 1626 1510 1549 1344 1359 1518 1533 1400 1514 1309 1381 1536 1481 1457 L16 1433 1502 1335 1332 1334 1336 1438 1504 1412 1498 1615 1464 1477 1353 1386 1406 1340 1353 1401 1430 1429 1407 1368 1448 1452 1660 1416 1569 1375 L17 1596 1424 1419 1429 1483 1359 1503 1399 1481 1440 1367 1404 1367 1391 1626 1406 1534 1648 1311 1396 1483 1553 1395 1530 1323 1437 1491 1403 1518 L18 1463 1345 1336 1531 1633 1334 1495 1382 1424 1320 1310 1349 1235 1372 1510 1340 1534 1493 1288 1448 1398 1404 1466 1367 1285 1440 1436 1365 1435 L19 1496 1402 1462 1512 1477 1447 1530 1404 1510 1377 1406 1454 1390 1451 1549 1353 1648 1493 1361 1363 1494 1556 1367 1433 1378 1479 1474 1424 1611 L20 1363 1488 1392 1229 1255 1425 1551 1515 1433 1511 1489 1379 1450 1514 1344 1401 1311 1288 1361 1367 1499 1444 1312 1348 1543 1556 1483 1506 1480 L21 1424 1427 1468 1378 1419 1275 1389 1504 1374 1359 1412 1283 1393 1411 1359 1430 1396 1448 1363 1367 1428 1359 1412 1358 1376 1457 1421 1463 1395 L22 1417 1537 1339 1374 1416 1532 1593 1516 1577 1394 1395 1359 1424 1501 1518 1429 1483 1398 1494 1499 1428 1592 1281 1324 1536 1484 1596 1540 1535 L23 1423 1437 1362 1427 1403 1429 1674 1462 1536 1437 1412 1469 1429 1475 1533 1407 1553 1404 1556 1444 1359 1592 1299 1363 1480 1464 1489 1469 1510 L24 1446 1283 1438 1421 1445 1241 1308 1345 1336 1382 1377 1366 1278 1287 1400 1368 1395 1466 1367 1312 1412 1281 1299 1376 1269 1384 1288 1355 1327 L25 1505 1390 1395 1303 1281 1212 1354 1348 1378 1485 1405 1479 1421 1228 1514 1448 1530 1367 1433 1348 1358 1324 1363 1376 1271 1449 1367 1372 1396 L26 1353 1561 1363 1285 1264 1510 1523 1477 1453 1455 1382 1335 1439 1435 1309 1452 1323 1285 1378 1543 1376 1536 1480 1269 1271 1569 1426 1566 1452 L27 1482 1588 1396 1354 1426 1459 1602 1556 1484 1525 1595 1474 1508 1531 1381 1660 1437 1440 1479 1556 1457 1484 1464 1384 1449 1569 1508 1655 1488 L28 1410 1509 1382 1359 1389 1464 1615 1565 1520 1507 1495 1429 1524 1514 1536 1416 1491 1436 1474 1483 1421 1596 1489 1288 1367 1426 1508 1505 1543 L29 1468 1654 1415 1352 1369 1493 1517 1617 1521 1440 1519 1394 1533 1533 1481 1569 1403 1365 1424 1506 1463 1540 1469 1355 1372 1566 1655 1505 1489 L30 1463 1426 1463 1381 1412 1434 1619 1455 1479 1425 1395 1474 1421 1511 1457 1375 1518 1435 1611 1480 1395 1535 1510 1327 1396 1452 1488 1543 1489 MEDIAS 1434 1451 1386 1378 1388 1398 1491 1458 1450 1430 1423 1407 1415 1424 1455 1430 1452 1404 1458 1421 1398 1465 1458 1353 1382 1416 1496 1471 1482 1461 Figu a 4.3: Resul ado de pun uaciones 4.3. Expe imen aci´ on 37 MEDIAS 1434 1451 1386 1378 1388 1398 1491 1458 1450 1430 1423 1407 1415 1424 1455 1430 1452 1404 1458 1421 1398 1465 1458 1353 1382 1416 1496 1471 1482 1461 D1 D2 D3 D4 D5 D6 D7 D8 D9 D10 D11 D12 D13 D14 D15 D16 D17 D18 D19 D20 D21 D22 D23 D24 D25 D26 D27 D28 D29 D30 Desconocida 1531 1562 1521 1495 1527 1456 1488 1591 1552 1563 1558 1577 1318 1507 1524 1580 1333 1548 1585 1607 1518 1499 1057 1581 1539 1508 1518 1436 1565 1459 Figu a 4.4: Compa aci´on de las medias Dada la baja p ecisi´on inicial ob enida (Tabla 4.1), especialmen e en las secuencias m´as la gas como en el caso de Dine Dash (al ededo de 25.000), se ha supues o que la ac i idad maliciosa pod ´ıa es a localizada en un co o ango inicial de llamadas. Po ello, compa a las secuencias comple as pod ´ıa enmasca a esa a iaci´on de compo amien o al inicio. Adem´as, como la can idad de llamadas al sis ema a ´ıa en una peque˜no ango dependiendo de la ejecuci´on, supone que el alineamien o global abaja sob e ec o es de dis in a magni ud lo que me ma su e ec i idad. As´ı, se decide limi a las secuencias a analiza a las 2000 p ime as llamadas al sis ema gene adas en cada ejecuci´on, epi i´endose la expe imen aci´on. En el caso de aplicaciones muy sencillas con pocas llamadas, se ha limi ado a 1000 Tabla 4.1: P ime os esul ados sin op imiza el sis ema Mues a Mues a De ecci´on De ecci´on Falsos Falsos leg´ı ima malwa e leg´ı ima malwa e nega i os posi i os P ecisi´on DailyMoney 47 47 68 % 100 % 32 % 0 % 84 % Dine Dash 36 36 27 % 58 % 73 % 42 % 43 % Adem´as, los alo es aplicados en el alineamien o ienen como consecuencia que el ec- o de medias p esen e una des iaci´on ´ıpica ele ada. Pa a e i a es o se p opone pun ua con -1 cuando se p oduce un hueco, con 0 cuando dos elemen os no coinciden y +1 cuando s´ı. Cabe menciona la impo ancia de au oma iza odo es e p oceso. Pa a ello se ha c eado un a chi o apk que ejecu a una aplicaci´on en el disposi i o y ex ae las llamadas al sis ema en iche os x . Pos e io men e, es os iche os se incluyen en el se ido en una ca pe a de e minada, dependiendo de su na u aleza (leg´ı ima o desconocida). Se ha desa ollado un sc ip que a pa i de los da os de esas ca pe as desa olla las es e apas del p oceso. En p ime luga con ie e los da os en b u o en secuencias de n´ume os. T as eso compa a las secuencias esul an es median e alineamien o global. Po ´ul imo, lle a a cabo la p ueba es ad´ıs ica de Wilcoxon c eando un iche o con la conclusi´on inal. 38 Cap ´ ı ulo 4. De ecci´ on de Malwa e en And oid 4.4. Resul ados Una ez ejecu ado el algo i mo de alineamien o de secuencias con las co ecciones que se han explicado an e io men e, se puede obse a en la Figu a 4.5 que las pun uaciones ob enidas al c uza ejecuciones leg´ı imas con las de e e encia, dis an de o ma muy signi- ica i a de las pun uaciones ob enidas con las ejecuciones maliciosas. Hoja1 Robo Mal uso Sabo aje SPAM F aude Symbian 50.00% 0 50.00% 0 0 BB 66.00% 33.00% 0 0 0 And oid 65.00% 30.00% 0 10.00% 20.00% Iphone 23.00% 0.00% 0 0 23.00% Windows 0 60.00% 0 0 0 % en as de aplicaciones 2011 2012 2013 And oid 49.00% 69.00% 78.00% iOs 18.00% 18.00% 15.00% Windows 2.00% 3.00% 4.00% BB 11.00% 4.00% 2.00% O os 20.00% 6.00% 1.00% 1281 1281 1281 1282 1282 1283 1283 1283 1283 1283 1283 1284 1284 1285 1285 1285 1285 1287 1287 1288 1288 1288 1288 1295 Obje i os 0.00% 10.00% 20.00% 30.00% 40.00% 50.00% 60.00% 70.00% Symbian And oid Windows Obje i os Robo Mal uso Sabo aje SPAM F aude 0 0.2 0.4 0.6 0.8 1 1.2 Symbian And oid Adquisición de P i ilegios 0.00% 10.00% 20.00% 30.00% 40.00% 50.00% 60.00% 70.00% 80.00% 90.00% And oid Windows O os % de en as de aplicaciones 2011 2012 2013 0 200 400 600 800 1000 1200 1400 1600 1800 1117 233 349 465 581 697 813 Di e encia de pun uaciones del alineamien o Legí imas Maliciosas Página 1 Figu a 4.5: Di e encia de pun uaciones De mane a o mal, se aplica la p ueba de Wilcoxon sob e las medias de las mues as de e e encias y las pun uaciones ob enidas de cada una de las mues as desconocidas. En unci´on del pa ´ame o py de la di e encia de medias (mean di e ence) que se ob ienen g acias a es a p ueba, se de e mina si una mues a desconocida es leg´ı ima o no. Las mues as maliciosas deben ene una di e encia de medias posi i a (ya que las pun- uaciones leg´ı imas de e e encia se ´an mayo es que las maliciosas) y p≤0.001. Siguiendo es e m´e odo se ha conseguido que las 40 mues as maliciosas que se han omado de cada una de las 4 aplicaciones sean siemp e ca alogadas de o ma co ec a, log ando un acie o del 100 % en la de ecci´on de mues as maliciosas. En cambio, en las mues as leg´ı imas se comp ueba el alo de p, que debe se p > 0.001 pa a que se conside e leg´ı ima. Si es o no se cumple se comp ueba el alo de su media que puede se posi i a o nega i a. Si es nega i a (es deci , las pun uaciones de la mues a desconocida son supe io es que las de e e encia) se puede asumi que es leg´ı ima. Sin em- ba go, si la di e encia de medias es posi i a no se puede asegu a que el compo amien o sea el co ec o. De es a o ma se ob ienen los esul ados de la Tabla 4.2. Es impo an e des aca que aunque exis a una asa de alsos posi i os, dado que la de ecci´on de malwa e es comple a, 4.4. Resul ados 39 una segunda ejecuci´on de la aplicaci´on analizada pod ´ıa cla i ica los esul ados pues o que la posibilidad de que se p oduzca dos eces seguidas un also posi i o es imp obable. Tabla 4.2: Resul ados Mues a Mues a De ecci´on De ecci´on Falsos Falsos leg´ı ima malwa e leg´ı ima malwa e posi i os nega i os P ecisi´on D oidKungFu Baske ball sho 50 50 96 % 100 % 4 % 0 % 98 % Robo icSpaceRock 50 50 100 % 100 % 0 % 0 % 100 % Til Mazes 50 50 90 % 100 % 10 % 0 % 95 % Sc ambled Ne 50 50 94 % 100 % 6 % 0 % 97 % Soli ai e 50 50 94 % 100 % 6 % 0 % 97 % DailyMoney 47 47 98 % 100 % 2 % 0 % 99 % Dine Dash 36 36 84 % 100 % 16 % 0 % 92 % Ja o 36 36 92 % 100 % 8 % 0 % 96 % Plank on Bes VoiceChange 50 50 100 % 100 % 0 % 0 % 100 % Supe TouchDown 50 50 96 % 100 % 4 % 0 % 98 % Geinimi Helix 50 50 100 % 100 % 0 % 0 % 100 % Monkey Jump 2 50 50 90 % 100 % 10 % 0 % 95 % Tap and Fu ious 50 50 92 % 100 % 8 % 0 % 96 % Ginmas e Whi es Ou 50 50 98 % 100 % 2 % 0 % 99 % Cogos F ui s Maching 50 50 92 % 100 % 8 % 0 % 96 % jSMSHide Mash 49 49 82 % 100 % 18 % 0 % 91 % Vdloade Plumbe 50 50 90 % 100 % 10 % 0 % 95 % Gape Sani y 50 50 96 % 100 % 4 % 0 % 98 % Gamex Z- es 50 50 88 % 100 % 12 % 0 % 94 % 40 Cap ´ ı ulo 4. De ecci´ on de Malwa e en And oid Cap´ı ulo 5 Conclusiones y T abajo Fu u o 5.1. Conclusiones Finalizado el p oyec o y despu´es de habe expues o el con ex o social po el que es necesa io, los es udios elacionados y la p opues a ealizada, es el momen o de hace una e aluaci´on gene al. C eemos que se han cumplido los obje i os ma cados al p incipio del p oyec o. Se ha demos ado que la ac i idad maliciosa de una aplicaci´on m´o il deja g an pa e de su hue- lla al inicio de su ejecuci´on y que es udia las llamadas al sis ema ´unicamen e du an e ese ins an e consigue iden i ica lo. Es o pe mi e e i a una moni o izaci´on con inuada y adem´as desliga el an´alisis de la ac i idad que pueda ealiza el usua io. De es a o ma se puede hace un an´alisis que no equie a una g an can idad de ecu sos y que sea ´apido pa a e i a lo an es posible cualquie pe juicio que el malwa e pudie a causa . En de ini i a, c eemos que el abajo ealizado ha me ecido la pena y que se ha de- mos ado la con ibuci´on del sis ema en la in es igaci´on de una iden i icaci´on emp ana de malwa e. Sin emba go, de o ma c ´ı ica econocemos que el p oyec o iene a´un o os caminos que eco e pa a con e i se en una he amien a usable an o a ni el pa icula como emp esa ial. 5.2. T abajo Fu u o Como posibles abajos u u os pueden se˜nala se los siguien es: Es a egia de de ecci´on basada en el mal uso. En es e caso es in e esan e que la p ime a e apa de la expe imen aci´on u ilice como e e encia di e sas mues as de aplicaciones in ec adas con el mismo malwa e. Es o pe mi e, no s´olo conoce si una 41 42 Cap ´ ı ulo 5. Conclusiones y T abajo Fu u o aplicaci´on es maliciosa o no, sin necesidad de ene una e si´on leg´ı ima de la misma, sino adem´as sabe cu´al es el malwa e del que es ´a in ec ada. C eaci´on de un modelo global. El es udio de una g an can idad de aplicaciones puede de i a en la c eaci´on de un modelo ´unico de compo amien o leg´ı imo con el que se compa a se cada aplicaci´on desconocida. De es a o ma se elimina la limi aci´on po la cual cada aplicaci´on solo puede compa a se consigo misma en su e si´on leg´ı ima. B´usqueda de pa ones. El uso de alineamien o global pe mi e es udia en su o- alidad las cadenas simila es esul an es de una ejecuci´on co a. Sin emba go debe con empla se aplica a su ez alineamien o local que pe mi a iden i ica subsecuen- cias epe idas, elacionadas con un compo amien o malicioso, den o de la cadena mayo . Es udio de llamadas al sis ema. Un es udio exhaus i o de las llamadas al sis ema en Linux pe mi e conoce el g ado de semejanza de las acciones que lle an a cabo. Con es a in o maci´on se puede comple a la ma iz de simili ud necesa ia pa a el alineamien o de secuencias con pun uaciones m´as p ecisas, que die an luga a un an´alisis m´as exac o. Cap´ı ulo 6 Con ibuciones Pa icipaci´on In´es He as En es e p oyec o se ha in en ado epa i la ca ga de abajo de o ma equi a i a. En un p incipio se empez´o po busca y analiza la documen aci´on de los p o- yec os ela i os a es e asun o (cap´ı ulos 1 y 2), labo que se ha ealizado de o ma conjun a en e los dos in eg an es del equipo. Una ez acabada es a a ea, se p o- cedi´o a busca di e sas he amien as que pod ´ıan se u ilizadas en el p oyec o (las de alladas en el cap´ı ulo 3). T as consul a con miemb os del GASS, en e los dos llegamos a la conclusi´on de que el alineamien o de secuencias pod ´ıa se una buena opci´on. En onces p oced´ı a busca m´as in o maci´on sob e los ipos de alineamien os, en- con ando a ias implemen aciones de dicho algo i mo que pos e io men e mi com- pa˜ne o adap ´o a las necesidades del p oyec o. Tambi´en nos dimos cuen a de que el p ocesamien o de las llamadas e a nece- sa io, po lo que ealic´e un es udio sob e las llamadas que exis en en And oid e implemen ´e un p og ama que hace co esponde cada llamada con un n´ume o, y adem´as elimina las llamadas duplicadas. Adem´as, en el mes de no iemb e yo pe sonalmen e encon ´e el eposi o io An- d oid Malwa e Genome, adminis ado po un equipo de la Uni e sidad de Ca olina del No e, y nos pusimos en con ac o con ellos pa a que nos lo acili a an. Sin em- ba go, no ue has a 5 meses despu´es cuando lo u imos disponible. Tambi´en ha sido complicada la pa e de conocimien o y con ol de la he amien a 43 50 BIBLIOGRAF´ IA [45] Ped o Ga cia-Teodo o, J. Diaz-Ve dejo, Gab iel Maci´a-Fe n´andez, and En ique V´azquez. Anomaly-Based Ne wo k In usion De ec ion: Techniques, Sys ems and Challenges. Com- pu e s & Secu i y, 28(1):18–28, 2009. [46] Juan M. Es e ez-Tapiado , Ped o Ga cia-Teodo o, and Jesus E Diaz-Ve dejo. Anomaly De- ec ion Me hods in Wi ed Ne wo ks: A Su ey and Taxonomy. Compu e Communica ions, 27(16):1569–1584, 2004. Pa e I Resumen en Ingl´es 51 Ap´endice A In oduc ion In ecen yea s i has inc eased he occu ence o di e en ypes o sma de ices. Thus, be ween 60 and 80 pe cen o he popula ion in he coun ies whe e he e is access o he In e ne , made ia Sma phones o Table s [1], which a e used an a e age o wo hou s a day. In addi ion, i is es ima ed ha in 2017 he e in he wo ld 1.4 mobile de ices pe capi a and sales will exceed hose o PCs. In ligh o hese da a, i is clea ha he in e es and he impo ance o hese de ices in socie y is inc easingly no iceable and p esumably will con inue o ad ance apidly. Among he cha ac e is ics o mobile de ices is he p esence o senso s such as gy os- copes, mic ophones, GPS loca o s, e c.; he possibili y o connec o any ype Blue oo h, Wi-Fi elephone ne wo k; o he abili y o acqui e and use applica ions de eloped by hi d pa ies [2]. Bu despi e he ob ious ad an ages, hey also ha e ce ain p oblems ha can become c ucial o sa e y. This is because hese de ices s o e e y sensi i e and a ied in o ma ion which may comp omise he secu i y, p i acy and e en he economy o he ow- ne o hi d pa ies. The senso s ha inco po a e hese echnologies can also collec da a wi hou he use being eally awa e o how much in o ma ion he de ice being managed. I is o his eason ha he c ea ion o malicious so wa e o malwa e, speci ic o his a ea has inc eased a he same speed o use. Finally, i is impo an o no e ha among use s he e is no awa eness o he dange hey a e exposed o a po en ial a ack. The as majo i y e en unknown mobile malwa e exis s, and ha applica ions ins alled on hei de ices may exhibi malicious beha io . The e o e, i is necessa y o aise secu i y models beyond he use ac ion, and con olling de ices ma ke s. 53 54 Cap ´ ı ulo A. In oduc ion A.1. Mobile Malwa e Malwa e is any ype o so wa e o code hos ile, in usi e, o a designed o use he de- ice wi hou he owne ’s knowledge. The de elopmen and p oli e a ion o mobile malwa e is closely linked o inc eased ne wo k capabili ies and compu ing esou ces. So, he i s e idence ha mobile malwa e was de eloped in 2004 o a ack Symbian [3] de ices. Ho- we e , i is om 2010 when i begins o g ow signi ican ly [4], being mainly dedica ed o And oid and iOS sys ems. Only o And oid in 2012 i is es ima ed ha he e we e abou 35,000 malwa e, being objec i e o 79 % o malwa e gene a ed du ing his yea compa ed o 11.5 % in 2010 [5]. To analyze he a acks and hei ypes, should be conside ed h ee pe spec i es: pe - o mance and objec i es, malwa e dis ibu ion o ms and me hods o acqui ing p i ileges. A.1.1. Beha io and Objec i es o he A ack In mos cases he malwa e has se e al objec i es and also hei pu pose and beha io can a y by a emo e command sen by hose who con ol i . The mos common o i s objec i es is he economic bene i . In his sense se e al examples can be ound, as in he case o aud o o e billing. This a ack is o cha ge expenses o he accoun o he ic im (which a e ans e ed o he a acke ) h ough calls o SMS sen o p emium a e numbe s wi hou he use ’s consen . Usually, he use associa ed wi h such a acks a con lic wi h he company supplying he se ice, igno ing i s ue na u e [6]. Ano he ype o a ack is he denial o se ice o sabo age, called DoS a ack ha ies o consume he de ice ba e y ope a ing ime limi o deny he use access o ce ain esou ces o ne wo ks [7]. When unning in a dis ibu ed way (DDoS), may cause damage no only o one o mo e use s, bu also o a ious o ganiza ions [2]. Fo example, he In- e ne se e o an a ea can be collapsed i hey begin sending packe s o a massi e ne wo k. Finally, he p i acy could be comp omised h ough a echnique called sni ing [8], which le e ages he da a collec ed by senso s and ne wo ks which uses he de ice can ob ain images [9], elephone eco dings, passwo ds, emails, bank de ails o any in o ma ion he de ice sends o ecei es. This is one o he mos conce n o use s o o ganiza ions h ea s, as on mobile de ices and sensi i e da a a e s o ed and classi ied. In Fig. A.1 he occu ence o each ype o a ge , o each ope a i e sys em is de ailed. A.1. Mobile Malwa e 55 Hoja1 The Misuse Sabo age SPAM F audulence Symbian 50.00% 0 50.00% 0 0 BB 66.00% 33.00% 0 0 0 And oid 65.00% 30.00% 0 10.00% 20.00% Iphone 23.00% 0.00% 0 0 23.00% Windows 0 60.00% 0 0 0 % en as de aplicaciones 2011 2012 2013 And oid 49.00% 69.00% 78.00% iOs 18.00% 18.00% 15.00% Windows 2.00% 3.00% 4.00% BB 11.00% 4.00% 2.00% O he s 20.00% 6.00% 1.00% 1281 1281 1281 1282 1282 1283 1283 1283 1283 1283 1283 1284 1284 1285 1285 1285 1285 1287 1287 1288 1288 1288 1288 1295 Obje i os 0.00% 10.00% 20.00% 30.00% 40.00% 50.00% 60.00% 70.00% Symbian BB And oid Iphone Windows Ta ge s The Misuse Sabo age SPAM F audulence 0.00% 20.00% 40.00% 60.00% 80.00% 100.00% 120.00% Symbian BB And oid Iphone Windows Dis ibu ion M2D A2D W2D N2D U2D S2D Página 1 Figu e A.1: Classi ica ion o a acks pe ope a ing sys em A.1.2. Dis ibu ion Me hods I is impo an o know he means by which malicious p og ams a e dis ibu ed in o de o ackle he con agion. The e a e wo majo app oaches [10]: sel -p opaga ion and social enginee ing . The i s ype a e g ouped he ollowing me hods: Applica ion o De- ice, A2D, he malicious code is in an applica ion ha in ec s he De ice; SMS o De ice, S2D, he de ice is sp ead by SMS; USB o De ice, U2D; Ne wo k o De ice, N2D; De ice o De ice, D2D y Cloud o De ice, C2D. In hese cases he malwa e is p og ammed o con amina e he de ice when placed in con ac wi h i . On he o he hand, social enginee ing, g oup me hods Ma ke o De ice, M2D, he use downloads a malicious p og am om he ma ke o Web -b owse o De ice, W2D. As shown in Fig. A.2, social enginee ing is he main me hod o dis ibu ing malwa e. Possibly his is due o poo awa eness o he dange ha show use s; They a e usually hose who download in ec ed apps om he ma ke s. I is also o en a combina ion o bo h s a egies. 56 Cap ´ ı ulo A. In oduc ion Hoja1 The Misuse Sabo age SPAM F audulence Symbian 50.00% 0 50.00% 0 0 BB 66.00% 33.00% 0 0 0 And oid 65.00% 30.00% 0 10.00% 20.00% Iphone 23.00% 0.00% 0 0 23.00% Windows 0 60.00% 0 0 0 % en as de aplicaciones 2011 2012 2013 And oid 49.00% 69.00% 78.00% iOs 18.00% 18.00% 15.00% Windows 2.00% 3.00% 4.00% BB 11.00% 4.00% 2.00% O he s 20.00% 6.00% 1.00% 1281 1281 1281 1282 1282 1283 1283 1283 1283 1283 1283 1284 1284 1285 1285 1285 1285 1287 1287 1288 1288 1288 1288 1295 Obje i os 0.00% 10.00% 20.00% 30.00% 40.00% 50.00% 60.00% 70.00% Symbian BB And oid Iphone Windows Ta ge s The Misuse Sabo age SPAM F audulence 0.00% 20.00% 40.00% 60.00% 80.00% 100.00% 120.00% Symbian BB And oid Iphone Windows Dis ibu ion M2D A2D W2D N2D U2D S2D Página 1 Figu e A.2: Dis ibu ion me hods pe ope a ing sys em A.1.3. Acquisi ion o P i ileges Fo he malwa e o be e ec i e is no enough o sp ead he de ice, i mus also ge a numbe o p i ileges o gain access o c i ical pa s o he sys em and make he neces- sa y ac ions o implemen i s wo k. Usually, hese p i ileges a e g an ed di ec ly by use s [10] o ins all applica ions on legi ima e appea ance bu hide malicious beha io . Use s a e unawa e o he impac o ans e ing ce ain pe missions o unknown p og ams and some imes no e en pay a en ion o eques s o au ho iza ion. The e o e, his me hod is highly e ec i e, as shown in Fig. A.3. Hoja1 The Misuse Sabo age SPAM F audulence Symbian 50.00% 0 50.00% 0 0 BB 66.00% 33.00% 0 0 0 And oid 65.00% 30.00% 0 10.00% 20.00% Iphone 23.00% 0.00% 0 0 23.00% Windows 0 60.00% 0 0 0 % en as de aplicaciones 2011 2012 2013 And oid 49.00% 69.00% 78.00% iOs 18.00% 18.00% 15.00% Windows 2.00% 3.00% 4.00% BB 11.00% 4.00% 2.00% O he s 20.00% 6.00% 1.00% 1281 1281 1281 1282 1282 1283 1283 1283 1283 1283 1283 1284 1284 1285 1285 1285 1285 1287 1287 1288 1288 1288 1288 1295 Obje i os 0.00% 20.00% 40.00% 60.00% 80.00% 100.00% 120.00% Symbian And oid Dis ibu ion 0 0.2 0.4 0.6 0.8 1 1.2 Symbian BB And oid Iphone Windows P i ilege escala ion Use s Failu es 0.00% 10.00% 20.00% 30.00% 40.00% 50.00% 60.00% 70.00% 80.00% 90.00% And oid Windows O he s % aplica ion sales 2011 2012 2013 Página 1 Figu e A.3: How p i ileges a e aqui ed A.2. Cu en Secu i y Models 57 Ano he me hod based on he echnology in ol es exploi ing ulne abili ies o con igu- a ion e o s pla o m [11]. Roo ki s a e used o de ec how hese e o s can be exploi ed. This ype o malwa e in ec s he ope a ing sys em, so i can be conside ably dange ous and also lea e he doo open o u u e in ec ions. A.2. Cu en Secu i y Models Today, he o icial applica ion dis ibu ion ma ke s ha e di e en mechanisms o y o ensu e he sa e y o hem. Mainly used e i ica ion es s o check he legi imacy o he applica ion code. Howe e , de ec ing malwa e is oo complex; no known in de ail he inne wo kings o hese es s and he p esence o a conside able numbe o malicious applica ions is insu icien e idence me hod. In addi ion, hey should ake in o accoun he downloads om uno icial ma ke s ha do no ha e any sa e y il e and a e highly dange ous. F om he poin o iew o he pla o m, a way o ying o ensu e secu i y is o es ic communica ion be ween applica ions and he ac ions hey can pe o m, including access o da a and se ices. Technique o isola e he execu ion o he applica ion in con olled en i onmen s is also p oposed, called sandboxing. Fig. A.4 shows ha And oid is he mobile ope a ing sys em ha domina es, and a endency o con inue o g ow [5]. iOS is he second bes -selling, hough a a dis ance o And oid, and he es is inc easingly less impo an in sales o de ices and applica ions. Hoja1 Robo Mal uso Sabo aje SPAM F aude Symbian 50.00% 0 50.00% 0 0 BB 66.00% 33.00% 0 0 0 And oid 65.00% 30.00% 0 10.00% 20.00% Iphone 23.00% 0.00% 0 0 23.00% Windows 0 60.00% 0 0 0 % en as de aplicaciones 2011 2012 2013 And oid 49.00% 69.00% 78.00% iOs 18.00% 18.00% 15.00% Windows 2.00% 3.00% 4.00% BB 11.00% 4.00% 2.00% O he s 20.00% 6.00% 1.00% 1281 1281 1281 1282 1282 1283 1283 1283 1283 1283 1283 1284 1284 1285 1285 1285 1285 1287 1287 1288 1288 1288 1288 1295 Obje i os 0.00% 20.00% 40.00% 60.00% 80.00% 100.00% 120.00% Symbian BB And oid Iphone Windows Dis ibución M2D A2D W2D N2D U2D S2D 0.00% 10.00% 20.00% 30.00% 40.00% 50.00% 60.00% 70.00% 80.00% 90.00% And oid iOs Windows BB O he s % aplica ion sales 2011 2012 2013 Página 1 Figu e A.4: Sales o applica ions pe ype o ope a ing sys em 58 Cap ´ ı ulo A. In oduc ion Then, me hods and decisions adop ed by he i e majo ope a ing sys ems ha domi- na e a e analyzed. A.2.1. Symbian The Symbian secu i y model is based on a basic se o pe missions o con ol he de- ice’s esou ces. Applica ions un in use space while he ope a ing sys em a he ke nel space. Applica ions ha equi e access o p o ec ed lib a ies and he e o e a e mo e ulne a- ble, mus be signed wi h a ce i ica e om Symbian [12], while all o he s can be sel -signed, no ha ing access o hese dange ous books o es. In his way applica ions a e al eady con- olled and secu i y o ma ke s becomes unnecessa y, being almos nonexis en . To imp o e he secu i y o Symbian has p oposed he use o machine lea ning algo i hms o analyze he beha io o applica ions [13]. Despi e i s high eliabili y, Symbian is he leas used ope a ing sys ems. A.2.2. BlackBe y BlackBe y secu i y is based on a comp ehensi e scheme o pe missions ha has p o en e y sa e [14]. Ini ially, applica ions ha e e y limi ed access o esou ces and, subsequen ly, can be allowed o escala e hei p i ileges. Manu ac u e i m o access lib a ies, p o iding basic p o ec ion o sys em p ocesses and memo y is equi ed. This is p obably he sa es o which ha e been discussed, bu has he disad an age o being also e y close, wi h a e y limi ed ma ke sys em. A.2.3. Windows Mobile Mic oso [15] based secu i y model alida ion de elope s and he epu a ion and alue o each applica ion. In he la es e sions, each applica ion uns in i s own sandbox, which pe mi s hose who ha e been gi en au ho iza ion, simila o how i ela es o he And oid sys em a e g an ed. Howe e , hese pe missions a e eques ed in he ins alla ion and mus be g an ed by use s, who end o dis ega d he impo ance o hem. I is also e y di icul o change a un ime [16]. A.2.4. And oid The And oid secu i y scheme ocuses mainly on he de ice i sel , since use s a e allowed o download applica ions om any pla o m o ma ke dis ibu ion. The o ma pe mi s A.2. Cu en Secu i y Models 59 esul s in a mani es o ha should be au ho ized by he use du ing ins alla ion and awa - ded a un ime. Howe e , due o use ole ance ega ding pe mi ing, his echnique is ine ec i e. And oid also uses sandboxing echnique [17] [18], isola ing each applica ion on hei own machine Dal ik. This gene a es a by ecode and gi es each a di e en use ID, wi h he excep ion o he applica ions om he same de elope , which sha e iden i ie , allowing hem o sha e esou ces. Howe e , applica ions can sha e in o ma ion be ween hem ex- plici ly using an in e ace o communica ion. I is in e es ing o ocus on his pa icula sys em because i is he mos used, and also su e mo e in ec ions. A.2.5. iOS Unlike And oid, Apple u ns i s secu i y o he ma ke because i limi s he abili y o download o hei own [19]. The e o e, applica ions and de elope s need a signa u e o e i ica ion by a ce i ica e issued by Apple. Howe e , de ails o he e i ica ion es s a e no public, so i s e ec i eness is di icul o assess. Usually, secu i y a he pla o m le el is weake han in And oid, o i ually nonexis- en , because applica ions un on a single, common o all isola ed en i onmen , besides ha ing access o mos o he esou ces o he de ice. The e o e, in ecen models i is ying o ex end his sys em, con olling he a ic o pe sonal da a.