ỨNG DỤNG MÔ HÌNH HỌC SÂU TRONG PHÁT HIỆN MÃ ĐỘC TRÊN HỆ ĐIỀU HÀNH ANDROID TỪ DỮ LIỆU GÁN NHÃN DƯƠNG TÍNH VÀ DỮ LIỆU CHƯA GÁN NHÃN

Abstract

Trong bối cảnh phần mềm độc hại trên nền tảng Android bùng nổ và không ngừng biến đổi về hành vi, các hệ thống bảo mật hiện nay đang đối mặt với thách thức lớn về khả năng nhận diện chính xác và kịp thời. Khó khăn trong việc gán nhãn dữ liệu thực tế dẫn đến tình trạng thiếu hụt mẫu mã độc được xác thực hoàn toàn, thúc đẩy sự ra đời của hướng tiếp cận học từ dữ liệu dương tính và chưa gán nhãn (Positive-Unlabeled Learning - PU Learning). Tuy nhiên, các phương pháp PU Learning truyền thống thường dựa trên giả định lựa chọn ngẫu nhiên hoàn toàn (SCAR), vốn không phản ánh đúng thực tế do sự thiên kiến trong quan sát nhãn (selection bias). Luận văn này đề xuất ứng dụng giải thuật VAE-PU nhằm phát hiện mã độc Android mà không phụ thuộc vào giả định SCAR, bằng cách sử dụng mạng tự mã hóa biến phân (Variational Autoencoder) để tách biệt các biến tiềm ẩn giữa đặc trưng dữ liệu và chỉ số quan sát, từ đó tối ưu hóa hàm rủi ro tổng quát thông qua việc sinh dữ liệu PU ảo. Để đánh giá tính hiệu quả, mô hình được thử nghiệm trên bộ dữ liệu LAMDA (2013-2025) – một tập dữ liệu chuẩn cho phép kiểm chứng khả năng thích ứng trước sự thay đổi của mã độc theo thời gian. Kết quả thực nghiệm cho thấy mô hình đạt độ chính xác trung bình hơn 75%, đặc biệt trong các kịch bản dữ liệu bị thiên kiến mạnh hoặc khi số lượng mẫu đã gán nhãn hạn chế. Nghiên cứu này khẳng định tiềm năng của VAE-PU trong việc xây dựng các giải pháp phòng thủ mã độc Android bền vững, có khả năng đối phó hiệu quả với hiện tượng trôi dạt dữ liệu trong môi trường thực tế. In the wake of the explosion of Android malware and its continuously evolving behavior, current security systems face significant challenges in achieving accurate and timely detection. The inherent difficulty in labeling real-world data leads to a shortage of fully authenticated malicious samples, driving the adoption of Positive-Unlabeled Learning (PU Learning). However, traditional PU Learning methods often rely on the Selected Completely At Random (SCAR) assumption, which fails to reflect reality due to selection bias in label observation. This thesis proposes the application of the VAE-PU algorithm for Android malware detection without depending on the SCAR assumption. The proposed method utilizes a Variational Autoencoder (VAE) to decouple latent variables representing data features from observation indicators, thereby optimizing the generalized risk function through the generation of virtual PU samples. To evaluate its effectiveness, the model was tested on the LAMDA dataset (2013-2025)—a benchmark dataset that allows for verifying the model's adaptability to malware evolution over time. Experimental results demonstrate that the model achieves an average accuracy of over 75%, particularly excelling in scenarios with strong selection bias or limited labeled samples. This research affirms the potential of VAE-PU in building sustainable Android malware defense solutions capable of effectively addressing data drift in real-world environments.