アプリ名とパッケージ名の対応でAndroidの不審アプリを絞る
Name2Pkg: Lightweight One-Class Android Malware Screening via Name-Package Correspondence Modeling
この論文をやさしく読む
ひとことで言うと
アプリの中身を解析する前に、表示名と内部のパッケージ名がどれだけ対応するかを使って、不審な候補を絞る方法です。良性アプリだけで学習します。
何に役立つ？
大規模なアプリ検査で、費用の高い詳細解析に回す候補を選ぶ前処理としての利用が考えられます。小さなモデル容量とCPUでの処理時間を報告しています。
この研究の面白いところ
名前の対応を文字列の条件付き確率として学習し、低い尤度を異常度に変えます。APK内部や実行時の情報を用いない点が特徴です。
どこまで分かった？
テストでは偽陽性率4.4%、再現率88.5%であり、誤判定や見逃しが残ります。名前の不自然さだけで悪意を確定する方法ではなく、要旨でも事前絞り込みの信号として位置付けられています。
v1のアブストラクトに基づくAI解説。日本語訳とは別に、用途の解釈を含みます。
アブストラクトの日本語訳
深層学習によるマルウェア検知は、セキュリティ上重要なサービスで広く採用されている。多くの検知手法はAPKファイルの内部から抽出した特徴や実行時の振る舞いに依存するが、その抽出は計算費用が高く、大規模な初期段階の選別への利用を制限している。悪意あるアプリでは、利用者に表示するアプリ名とパッケージ名の対応が弱いことがあり、低コストの選別信号となる。 本研究では、アプリ名とパッケージ名だけを利用する軽量な一クラス分類手法Name2Pkgを提示する。マルウェアの選別を系列の異常検知問題として定式化し、文字単位の系列変換モデルによって、アプリ名が与えられたときのパッケージ名の条件付き尤度を推定する。長さで正規化した負の対数尤度を異常スコアとする。モデルの学習としきい値の較正には、良性データだけを用いる。 実際のアプリ67,129件のデータセットを用い、保留したテストデータでROC-AUC 0.982、達成された偽陽性率0.044におけるマルウェア再現率0.885を得る。チェックポイントの容量は3.57 MiB、CPU上の推論遅延は1標本当たり28.20ミリ秒である。Name2Pkgは、大規模なセキュリティシステムに効率的で有効な事前絞り込みの信号を提供する。
v1の要旨から自動生成。本文の精読・人による確認は未実施。
- 初稿
- 2026-09-21（UTC）
- 最新改訂
- 2026-09-21 · v1
- 査読・掲載
- 査読状況未確認
更新履歴
- v1 2026-09-21 この版を読む
取得できた版を表示。版の更新は査読済みを意味しません。過去版の本文差分は未解析です。
原文の要旨
Deep learning-based malware detection has been widely adopted in security-critical services. Most detection methods rely on internal features extracted from APK files or runtime behavior. However, extracting these features is computationally expensive. This limits their use in large-scale, early-stage screening. Malicious apps may exhibit weak correspondence between their user-facing app names and package names, providing a low-cost screening signal. We present Name2Pkg, a lightweight one-class classification method. It leverages only the app name and the package name. We formulate malware screening as a sequence anomaly detection problem. A character-level sequence-to-sequence model estimates the conditional likelihood of a package name given the app name. The length-normalized negative log-likelihood serves as the anomaly score. We train the model and calibrate the threshold using only benign data. Using a dataset of 67,129 real-world applications, Name2Pkg achieves an area under the receiver operating characteristic curve (ROC-AUC) of 0.982 and malware recall of 0.885 at an achieved false-positive rate of 0.044 on held-out test data. It has a 3.57 MiB checkpoint and a CPU inference latency of 28.20 ms per sample. Name2Pkg provides an efficient and effective pre-filtering signal for large-scale security systems.
著者のコメント
Original author version, accepted at IEEE ICTAI 2026
arXiv ID: 2609.24389 ／ 要約の誤りについて