Details

Цель работы – разработка способа обнаружения запуска веб-браузера Android-устройства в эмулированной среде на основе анализа параметров аппаратных модулей методами машинного обучения. Объект исследования – параметры аппаратных модулей Android-устройства, регистрируемые веб-сервисом через браузер и сетевой стек. Задачи работы: 1. Проанализировать технологии эмуляции Android, связанные угрозы и существующие решения по их обнаружению. 2. Обосновать признаковое пространство метода и формализировать задачу как бинарную классификацию. 3. Разработать клиент-серверный комплекс, сформировать датасет и оценить точность решения. Метод основан на мультимодальном анализе аппаратных параметров нескольких подсистем браузера и кросс-источниковых проверках их согласованности с классификацией градиентным бустингом; датасет собран на реальных Android-устройствах и эмуляторах трёх архитектурных классов. Разработан программный комплекс в виде клиент-серверного веб-приложения с моделью машинного обучения; достигнут ROC-AUC = 0,975, а тест leave-one-emulator-out показал обнаружение ранее не встречавшихся эмуляторов с полнотой 1,00 при доле ложных срабатываний не выше 5 %. Результаты применимы для защиты веб-ресурсов от автоматизированных атак с эмуляторами Android. Сделан вывод о работоспособности способа и его устойчивости к новым типам эмуляторов.

The objective of the work is the development of a method for detecting that an Android-device web browser is running in an emulated environment, based on the analysis of hardware-module parameters using machine learning. The object of research is the set of hardware-module parameters of an Android device registered on the web-service side through the browser and the network stack. Objectives: 4. To analyse Android emulation technologies, the associated threats and existing detection solutions. 5. To substantiate the feature space of the method and formalise the problem as binary classification. 6. To develop a client–server software complex, build a labelled dataset and evaluate the accuracy of the solution. The method relies on multimodal analysis of hardware parameters of several browser subsystems and on cross-source consistency checks, followed by gradient-boosting classification; the dataset was collected on real Android devices and on emulators of three architectural classes. A software complex was developed as a client–server web application with a machine-learning model; a ROC-AUC of 0.975 was achieved, and the leave-one-emulator-out test demonstrated detection of previously unseen emulators with a recall of 1.00 at a false-acceptance rate of no more than 5%. The results are applicable to protecting web resources from automated attacks that use Android emulators. It is concluded that the proposed method is operable and robust to new types of emulators.