Các công cụ quét mã độc Android ngày càng trở nên lệch lạc so với rủi ro thực tế, khi chúng thường xuyên báo cáo sai các ứng dụng hợp pháp nhưng yêu cầu quyền hạn cao, đồng thời bỏ sót các mối đe dọa tinh vi ẩn mình sau những mẫu mã code trông có vẻ bình thường.
Khoảng cách trong khả năng phát hiện này đang gia tăng do ngành công nghiệp quá phụ thuộc vào các tín hiệu tĩnh bề mặt thay vì phân tích hành vi và ngữ cảnh thực thi. Điều này dẫn đến các cảnh báo sai gây nhiễu, làm giảm sự tin cậy của người dùng và các nhà phân tích bảo mật.
Thách Thức Trong Phát Hiện Malware Android Truyền Thống
Các giải pháp phát hiện mã độc Android truyền thống đánh giá ứng dụng dựa trên các tín hiệu tĩnh. Các tín hiệu này bao gồm quyền hạn được yêu cầu, các lệnh gọi API nhạy cảm và các đặc điểm của biểu đồ lệnh gọi.
Tuy nhiên, những tín hiệu tĩnh này chỉ có thể ước lượng một cách gần đúng về những gì một ứng dụng thực sự thực hiện.
Hạn Chế Của Phân Tích Tĩnh và Tỷ Lệ Phát Hiện Sai Cao
Nhiều phần mềm hợp lệ, giàu tính năng như trình quản lý sao lưu, hệ thống kiểm soát phụ huynh hoặc các tiện ích bảo mật, thường xuyên yêu cầu các quyền hạn rộng rãi. Chúng bị gắn cờ là độc hại chỉ vì hồ sơ tính năng của chúng trông “bất thường” về mặt thống kê so với dữ liệu huấn luyện.
Ngược lại, các họ mã độc Android đang phát triển liên tục tái triển khai logic xung quanh các API không được giám sát. Chúng cũng loại bỏ các quyền hạn dễ gây chú ý để hòa mình vào đa số các ứng dụng lành tính.
Các công cụ phát hiện dựa trên học máy (learning-based detectors) còn khuếch đại vấn đề này khi hiện tượng “trôi khái niệm” (concept drift) xảy ra. Các mô hình được huấn luyện dựa trên phân phối mã độc Android lịch sử thường thất bại trong việc tổng quát hóa khi các họ mã độc mới phát triển.
Ngay cả các công cụ Mô hình Ngôn ngữ Lớn (LLM) mới hơn, mặc dù có thể phân tích các chuỗi gọi API nhạy cảm, vẫn chỉ kiểm tra các chuỗi gọi bị cô lập. Chúng không xem xét toàn bộ vòng đời tấn công, do đó bỏ lỡ cách các hành động tưởng chừng như lành tính có thể kết hợp lại để tạo thành hành vi lạm dụng thực sự.
Bản Chất Ngữ Cảnh của Hoạt Động Độc Hại
Vấn đề cơ bản là tính độc hại không phải là một thuộc tính cố hữu của các tín hiệu thô. Thay vào đó, nó là kết quả của các hành động được đánh giá trong ngữ cảnh: một ứng dụng làm gì, khi nào nó hành động, và liệu những hành động đó có phù hợp với kỳ vọng của người dùng hay không.
Ví dụ, một thao tác gửi SMS là hợp pháp khi được người dùng kích hoạt bên trong ứng dụng nhắn tin. Tuy nhiên, nó trở nên độc hại khi một ứng dụng mạo danh ngân hàng âm thầm chặn mã xác thực một lần (OTP) và chuyển tiếp chúng đến một máy chủ bên ngoài.
Tương tự, việc tải tệp lên nền là tiêu chuẩn đối với các công cụ lưu trữ đám mây. Thế nhưng, nó lại trở thành phần mềm gián điệp khi được thực hiện bởi một ứng dụng mà vai trò quảng cáo của nó không liên quan đến việc đồng bộ hóa tệp.
Các công cụ quét hiện có hiếm khi tính đến sắc thái hoạt động này. Chúng ít khi phân biệt giữa luồng giao diện người dùng do người dùng kích hoạt và các bộ nhận tín hiệu broadcast chạy ngầm. Chúng cũng không ánh xạ việc thực thi mã trở lại chức năng được quảng cáo của ứng dụng.
Kết quả là, phần mềm có đặc quyền nhưng hợp pháp bị đánh giá tiêu cực vì khả năng của nó. Trong khi đó, các mối đe dọa mã độc Android đa giai đoạn, vốn phân phối logic độc hại qua các dịch vụ và thư viện gốc, lại lọt qua các ngưỡng phát hiện theo heuristics. Một ví dụ về các biến thể như vậy là Android VO1D malware.
PRAXIS: Khung Phân Tích Hành Vi và Ngữ Cảnh Mới trong An Ninh Mạng Di Động
Để giải quyết tình huống khó xử trong việc phát hiện này, các nhà nghiên cứu đã giới thiệu PRAXIS. Đây là một khung phân tích định hướng hành vi và nhận biết ngữ cảnh được thiết kế để loại bỏ các trường hợp dương tính giả (false positives) đồng thời phát hiện các mối đe dọa tàng hình.
Theo chi tiết trong nghiên cứu PRAXIS đã được công bố bởi các nhà nghiên cứu từ Đại học Quản lý Singapore, khung này cấu trúc việc phát hiện thành một quy trình ba giai đoạn thay vì chỉ dựa vào phân loại tín hiệu thô.
Quy Trình Phân Tích Ba Giai Đoạn
Bằng cách đánh giá các hành vi dựa trên giao diện người dùng hiển thị của ứng dụng, PRAXIS có thể phát hiện đáng tin cậy các hành động lừa đảo. Điều này bao gồm việc trích xuất dữ liệu ẩn được che đậy bởi các biểu mẫu đăng nhập giả mạo hoặc các lớp phủ mã độc Android ngân hàng như Teabot malware hoạt động ở chế độ nền.
PRAXIS không chỉ nhìn vào các tín hiệu riêng lẻ mà còn phân tích sự tương tác của ứng dụng với người dùng và các thành phần hệ thống. Điều này giúp nó hiểu được ý định thực sự đằng sau các hành động của ứng dụng, một bước tiến quan trọng trong phát hiện malware.
Cải Thiện Hiệu Suất Vận Hành Đáng Kể
Khi được đánh giá trên các mẫu Android được thu thập từ năm 2024 đến 2026, PRAXIS đã chứng minh những cải tiến đáng kể về mặt vận hành so với các mô hình phát hiện hiện có. Kết quả chi tiết có thể tham khảo tại nghiên cứu PRAXIS.
- Đối với các ứng dụng “privileged-benign” (ứng dụng hợp pháp nhưng yêu cầu nhiều quyền hạn nguy hiểm), PRAXIS đã giảm các trường hợp dương tính giả xuống còn 13.0%. Đây là mức giảm từ 41.1 đến 67.0 điểm phần trăm so với các công cụ quét cũ.
- Đồng thời, nó đã khôi phục các hành vi độc hại chi tiết với điểm F1 là 87.3%. Kết quả này vượt trội so với các hệ thống cấp hành vi trước đó từ 56.5 đến 73.4 điểm phần trăm.
Ý Nghĩa Đối Với Kiến Trúc Bảo Mật Di Động
Sự thay đổi mô hình này mang lại những ý nghĩa quan trọng cho kiến trúc bảo mật di động. Bằng cách đặt nền tảng phân tích vào bằng chứng có thể kiểm chứng và ngữ cảnh chức năng, các khung như PRAXIS chứng minh cách an ninh mạng di động có thể phân biệt chính xác các ứng dụng hợp pháp có quyền hạn cao với các mã độc Android tàng hình.
Điều này cho phép các hệ thống bảo mật không chỉ phát hiện mã độc Android hiệu quả hơn mà còn giảm thiểu sự gián đoạn đối với các ứng dụng hợp pháp cần quyền hạn cao để hoạt động. Đây là một bước tiến quan trọng trong việc xây dựng một môi trường di động an toàn và đáng tin cậy hơn.
