안드로이드 덱스클래스로더 실행흐름 변경을 통한 원본 앱 노출 방지 기법

Abstract

런타임 실행 압축 기술을 이용하는 안드로이드 패커(packer) 서비스는 덱스클래스로더(DexClassLoader)를 이용하여 원본 어플리케이션으로 전환한다. 하지만 덱스클래스로더의 API 인터페이스는 로드할 덱스(Dalvik EXcutable)의 경로와 컴파일 된 파일의 경로를 입력으로 받으므로 원본 파일이 파일시스템에 드러나는 문제점이 있다. 따라서 해당 API를 패커 서비스에 그대로 사용하는 것은 안전하지 않다. 본 논문에서는 이 문제를 해결하기 위해 런타임 효율성에 기반을 둔 로드 기법과 안전성에 기반을 둔 로드 기법을 제안한다. 이 두 기법 모두 덱스클래스로더 API의 컴파일 흐름과 로드 흐름을 후킹을 통해 변경하여, 원본 파일이 파일시스템에 노출되는 문제점을 해결하였다. 변경된 실행 흐름으로 인해 컴파일된 파일을 암호화하여 파일시스템에 두거나 메모리에만 존재하도록 하고, 이후 로드 흐름을 변경하여 복호화하거나 치환을 하여 원본 어플리케이션 전환을 가능하게 한다. 제안하는 기법을 통해 원본 파일이 파일시스템에 노출되지 않음으로써 패커의 안전성이 올라갈 것이라 예상한다.