AAMO : automatic Android malware obfuscation

Dato l'enorme aumento di popolarità avuto dagli smartphone, negli utimi anni, i malware sviluppati appositamente per colpire le piattaforme mobili sono diventati una seria preoccupazione. Molti prodotti commerciali anti-malware sono stati sviluppati con lo scopo di difendere gli utenti da queste nuove minacce. Queste nuove soluzioni sono sempre più sofisticate nel rilevare malware e minacce note, ma sono veramente resistenti contro le tecniche di offuscamento? Al fine di valutare l'efficacia dei vari prodotti anti-malware, oggi disponibili sul mercato, abbiamo sviluppato AAMO, un framework automatizzato e modulare in grado di applicare alcune comuni tecniche di offuscamento, congiuntamente ad alcune tecniche sviluppate appositamente per le piattaforme mobili, ad un vasto numero di malware. AAMO è in grado di combinare tra loro diverse tecniche di offuscamento, sfuttando questa caratteristica è possibile condurre un analisi relativa agli elementi impiegati, dai diversi prodotti anti-malware, per rilevare potenziali minacce. Nessuno dei prodotti che abbiamo testato è totalmente resistente alle tecniche di offuscamento da noi proposte; quando vengono combinate tra loro riducono la capacità di rilevamento dei prodotti testati allo zero percento. Data la conoscenza da noi acquisita proponiamo un insieme di rimedi in grado di migliorare la robustezza delle tecniche di rilevamento.

Given the increased popularity of smartphones, malware targeting mobile platforms have become a real concern. A lot of commercial anti-malware products have been developed in order to defend users against this types of threats. These solutions have become more and more sophisticated in detecting known malware, but are they really resilient against obfuscation techniques? In order to evaluate the effectiveness of different anti-malware products we propose AAMO, a fully automated modular framework capable of applying some common and mobile-tailored obfuscation techniques to a large-scale dataset of malware samples. AAMO is capable of combining multiple obfuscation techniques in order to achieve complex obfuscation, it also provides a fast and easy way to apply them to any Android application. Exploiting the obfuscation pipeline provided by AAMO is also possible to make an educated guess on witch signature-matching technique is used by different anti-malware products. None of the tools we have tested is fully resilient against obfuscation techniques, and we show that, when applied together, even simple obfuscation techniques can annihilate the detection capabilities of any tested product, down to zero percent. Given the knowledge acquired we propose a set of remediations for improving the robustness of detection techniques.