Android OAT library detection : detecting third party libraries leveraging of ahead time format in android applications

Abstract

Drittanbieter-Bibliotheken (TPLs) werden in der Softwareentwicklung, einschließlich auf der Android-Plattform, häufig eingesetzt, um vorgefertigte Funktionen bereitzustellen und die Entwicklung zu beschleunigen. Die Verwendung von TPLs kann jedoch Herausforderungen mit sich bringen, insbesondere in Bezug auf Sicherheit, Lizenzierung und Datenschutz.Nicht alle Android-Apps legen vollständig offen, welche TPLs sie verwenden, was es erschwert, die Verwendung von TPLs in Android-Apps zu untersuchen oder sie auf Sicherheits-, Lizenz- oder Datenschutzprobleme zu überprüfen.Bisherige Ansätze zur TPL-Erkennung in Android basieren auf DEX-Bytecode oder enthaltenen Zeichenfolgen als Analyseobjekt.Frühere Forschungsarbeiten haben gezeigt, dass die Nutzung der Android Runtime (ART) und ihres Of-Ahead-Time (OAT) Formats ein vielversprechender Ansatz sein kann, um bewährte Werkzeuge und Techniken aus der Binärcode-Analyse in das Android-Ökosystem zu integrieren. Dies führt zu einem einheitlichen Analyseobjekt für nativen und DEX-Code und verbessert potenziell die Widerstandsfähigkeit gegenüber gängigen Verschleierungstechniken. Wir bewerten die Widerstandsfähigkeit des OAT-Formats gegenüber gängigen Verschleierungstechniken anhand eines Datensatzes von 1671 Anwendungen und zeigen, dass es bessere Ergebnisse liefern kann als modernste Ähnlichkeitsansätze basierend auf DEX-Dateien.Auf der Grundlage dieser Ergebnisse schlagen wir einen skalierbaren Ansatz zur TPL-Erkennung vor, der auf Binärsignaturen aus OAT-Dateien basiert, und bewerten ihn anhand eines großen Datensatzes realer Android-Anwendungen, wodurch wir das Potenzial der Einbindung der Binäranalyse in das Android-Ökosystem aufzeigen.

Third Party Libraries (TPLs) are widely used in software development, including on the Android platform, to provide pre-built functionality and accelerate development. However, the use of TPLs may introduce challenges, particularly in the context of security, licensing, and privacy.Not all Android apps fully disclose which TPLs they use, making it harder to research the usages of TPLs in Android apps, or audit them for security, licensing, or privacy issues.Prior approaches for TPL detection in Android are based on DEX bytecode or contained strings as analysis target.Previous research has shown that leveraging the Android Runtime (ART) and its Of Ahead Time (OAT) format can be a promising approach for bringing well-established tools and techniques from binary code analysis to the Android ecosystem, yielding a unified analysis target for both native and DEX code, and potentially improving the resilience against common obfuscation techniques. We evaluate the resilience of the OAT format against common obfuscation techniques on a dataset of 1671 applications, showing that it performs better than state-of-the-art similarity approaches on DEX files.Based on these findings, we propose a scalable TPL detection approach based on binary signatures from OAT files, and evaluate it on a large dataset of real-world Android applications, demonstrating the potentials of bringing binary analysis to the Android ecosystem.