Android Malware Clustering through Malicious Payload Mining
聚类作为一种有效的分流方法已经被广泛研究用于桌面恶意软件分析。然而，由于Android应用程序开发中过度使用第三方库以及恶意软件开发中广泛使用重新打包，传统的基于相似性的聚类技术无法立即应用于Android恶意软件分析。通过迭代挖掘恶意负载并检查恶意样本是否共享相同版本的恶意负载，设计并实现了一个Android恶意软件聚类系统。我们的系统利用层次聚类技术和一个有效的位向量格式来表示Android应用程序。实验结果表明，我们的聚类方法实现了准确率为0.90和召回率为0.75的Android基因组恶意软件数据集，和平均准确率为0.98和召回率为0.96手动验证地面真相。
2017-07-15 cs.CR
Android-COCO: Android Malware Detection with Graph Neural Network for Byte- and Native-Code
随着Android的普及率呈指数级增长，恶意软件的数量也大幅激增。这可以说是移动平台上最具病毒性的问题之一。最近，已经引入了各种方法来检测Android恶意软件，其中大多数是基于Manifest File功能或结构信息，例如控制流图和API调用。在这些方法中，几乎所有的方法都只考虑Java字节码作为检测恶意行为的目标。然而，最近的研究和我们自己的统计数据表明，原生负载通常用于良性和恶意应用程序。当前最先进的Android静态分析工具避免处理本机方法调用。这些工具都不具备捕捉语际行为的能力。在这项工作中，我们探讨了合奏机制，它提出了如何结合字节码和原生代码分析的Android应用程序可以有效地用于应付先进的复杂的Android恶意软件。因此，我们提出了一种多层方法，该方法利用深度学习，自然语言处理（NLP）以及图形嵌入技术来处理来自Java字节码和本机代码的Android恶意软件的威胁。在此基础上，设计了一个集成算法，得到了恶意软件检测系统的最终结果。具体来说，我们的检测方法的第一层操作的应用程序的字节码和本地代码的水平，而第二层侧重于集成算法。在100，113个样本（35，113个恶意软件和65，000个良性）上的大规模实验表明，仅字节码子系统的准确率为99.8%，本机代码子系统的准确率为96.6%，而Android-COCO方法的准确率为99.86%，优于各种相关工作。
2022-01-24 cs.CR
Automatic Investigation Framework for Android Malware Cyber-Infrastructures
Android系统的普及，不仅在手机设备中，而且在物联网设备中，使其成为恶意软件非常有吸引力的目的地。事实上，恶意软件正在以类似的速度扩张，目标是在大多数情况下依赖互联网正常工作的设备。最先进的恶意软件缓解解决方案主要集中在使用动态和静态分析特征来区分恶意应用程序和良性应用程序的实际恶意Android应用程序的检测上。然而，Android恶意应用程序的互联网/网络维度的覆盖范围很小。在本文中，我们提出了ToGather，一个自动调查框架，以Android恶意软件样本，作为输入，并产生一个关于这些样本家庭的恶意网络基础设施的情况意识。ToGather利用最先进的图论技术来生成可操作的粒度智能，以减轻Android恶意软件应用程序的恶意互联网活动所带来的威胁。我们对来自不同Android家族的真实恶意软件样本进行了ToGather实验，获得的结果非常有趣，非常有前途
2018-06-23 cs.CR
An Empirical Study of Android Security Bulletins in Different Vendors
移动设备几乎侵占了我们生活的每一个部分，包括工作和休闲，并包含了丰富的个人和敏感信息。因此，这些设备必须坚持高安全标准。一个关键方面是底层操作系统的安全性。Android是移动生态系统中最具主导地位的平台，拥有超过10亿台活跃设备，并且由于其开放性，允许供应商采用和定制它，因此Android发挥着至关重要的作用。与其他平台类似，Android通过每月提供安全补丁并通过Android安全公告来维护安全。为了在整个Android生态系统中成功地吸收这些信息，需要许多不同供应商的完美协调。在本文中，我们对3，171个与Android相关的漏洞进行了全面研究，并研究了它们在Android安全公告以及三星，LG和华为三家领先供应商的安全公告中的反映程度。在我们的分析中，我们关注这些安全公告的元数据（例如，时间、受影响的层、严重性和CWE数据），以更好地了解供应商之间的相似性和差异。我们发现，（i）Android生态系统中的研究供应商采用了不同的漏洞报告结构，（ii）供应商不太可能对带有Android Git存储库引用的CVE延迟做出反应，（iii）供应商处理高通相关CVE的方式与其他外部层CVE不同。
2020-02-22 cs.CR
DroidMorph: Are We Ready to Stop the Attack of Android Malware Clones?
Android恶意软件变体（克隆）的数量正在增加，为了阻止这种克隆攻击，我们需要开发新的方法和技术来分析和检测它们。作为第一步，我们需要研究这些恶意软件克隆是如何生成的。这将帮助我们更好地预测和识别这些克隆。在本文中，我们提出了一个新的工具，名为DroidMorph，提供变形的Android应用程序（APK）在不同层次的抽象，并可用于创建Android应用程序（恶意软件/良性）克隆。作为一个案例研究，我们执行测试和评估当前的商业反恶意软件产品对DroidMorph生成的Android恶意软件克隆攻击的弹性。我们发现，17个领先的商业反恶意软件程序中有8个无法检测到任何变形的APK。我们希望DroidMorph将用于未来的研究，以改善Android恶意软件克隆的分析和检测，并帮助阻止它们。
2021-06-17 cs.CR
Google Android: A State-of-the-Art Review of Security Mechanisms
Google的Android是用于移动通信设备的综合软件框架（即，智能手机、PDA）。Android框架包括操作系统、中间件和一组关键应用程序。然而，在这些移动设备上集成互联网接入服务增加了它们遭受各种恶意软件损害的风险。本文对Android框架及其安全机制进行了全面的安全评估。我们进行的定性风险分析确定了框架的高风险威胁以及已发现和利用的漏洞对信息或系统造成的任何潜在危险。我们对智能手机安全领域当前的学术和商业解决方案进行了审查，得出了一系列适用和推荐的防御机制，用于加固一般移动设备，特别是Android。最后，我们提出了Android框架的五个主要（高风险）威胁，并提出了缓解这些威胁的安全解决方案。最后，我们提出了一套安全机制，应该探索和引入到Android设备。
2009-12-27 cs.CR
AndroIDS : Android-based Intrusion Detection System using Federated Learning
针对安卓移动物联网设备易受攻击的问题，提出基于联邦学习的入侵检测框架AndroIDS，利用系统调用轨迹实现隐私保护的协作异常检测，在IID和非IID条件下分别达到96.46%和92.87%的准确率，验证了其鲁棒性和实际部署可行性。
2025-06-19 cs.CR
Enter Sandbox: Android Sandbox Comparison
预计2017年Android设备的出货量将达到10亿台，网络犯罪分子自然将他们的恶性活动延伸到了谷歌的移动操作系统。据估计，每天有700个新的Android应用程序发布，保持对恶意软件的控制是一项越来越具有挑战性的任务。近年来，在学术界和商业界已经引入了大量用于分析Android应用程序并对其恶意性做出决策的静态和动态代码分析平台。这些平台在功能支持和所分析的应用程序属性方面存在很大差异。在本文中，我们概述了最先进的Android动态代码分析平台，并使用已知恶意软件语料库以及Master Key等已知Android错误的样本评估其有效性。我们的研究结果表明，代码重用导致分析平台的多样性水平较低，这使得评估的系统容易被规避。此外，恶意软件可以利用Master Key漏洞来隐藏沙箱中的恶意行为。
2014-10-28 cs.CR
WOOTdroid: Whole-system Online On-device Tracing for Android
Technical University of Darmstadt（达姆施塔特工业大学）；Athens University of Economics and Business（雅典经济与商业大学）
WOOTdroid通过内核级Binder追踪和eBPF系统调用审计，解决Android系统审计中事件丢失和Binder行为隐藏的问题，实现高效安全的系统监控。
2026-04-30 cs.CR
Android Tapjacking Vulnerability
Android是一个开源的移动操作系统，主要由Google开发。它被用于全球移动设备的很大一部分。在本文中，我将研究一种通常被称为窃听的攻击。我将把攻击分开，并通过实施攻击所需的每一个步骤。然后，我将探讨攻击者可用的各种有效载荷选项。最后，我将谈谈攻击的可行性以及缓解策略。
2015-07-30 cs.CR
Steal Your Life Using 5 Cents: Hacking Android Smartphones with NFC Tags
如今，互联世界中的隐私是一个很大的用户关注点。无处不在的移动设备允许数十亿用户随时随地浏览网页。近场通信（NFC）作为设备之间的无缝且简单的通信协议出现。Android Pay和Apple Pay等商业服务提供非接触式支付方式，正在越来越多的场景中普及。然而，我们在Android设备上使用NFC时会冒风险，我们可能会被黑客攻击，我们的隐私可能会受到影响。在本文中，我们研究了NFC-Android生态系统中当前的漏洞。我们进行了一系列的实验，我们发现，NFC和Android设备容易受到URL/URI欺骗，银行/社交网络信息黑客攻击，以及通过指纹和地理位置跟踪用户的设备。重要的是，社区要了解问题并提出解决方案，以解决这些问题，并告知用户使用这些非接触式服务的隐私意识和风险。
2017-05-05 cs.CR
When the Guard failed the Droid: A case study of Android malware
Android恶意软件是全球数十亿用户的持续威胁。作为一种对策，偶尔会实施Android恶意软件检测系统。然而，这些系统通常易受\emph{evasion attacks}攻击，在这种攻击中，攻击者操纵恶意实例，从而将它们误认为是良性的。在本文中，我们针对几个Android恶意软件检测系统推出了各种创新的规避攻击。所有这些系统固有的漏洞是，它们是Androguard~ \cite{desnos2011androguard}的一部分，这是一个流行的开源库，用于Android恶意软件检测系统。一些检测系统在攻击后检测率下降到0。因此，在恶意软件检测系统中使用开源库需要谨慎。此外，我们提出了一种新的评估方案规避攻击生成，利用已知的Android恶意软件检测系统的弱点。通过这样做，我们评估了规避攻击所创建的操纵实例的功能和恶意性。我们发现，在恶意和功能测试我们操纵的应用程序的变化。我们表明，非功能性的应用程序，而被认为是恶意的，不威胁用户，因此从攻击者的角度来看是无用的。我们的结论是，规避攻击必须评估功能和恶意，以评估其影响，这是一个步骤，这是远远不常见的今天。
2020-03-31 cs.CR
Android Malware Clustering using Community Detection on Android Packages Similarity Network
每天针对应用程序存储库的Android恶意应用程序（应用程序）数量正在增加，其数量超过了指纹识别过程。为了解决这个问题，我们提出了一个增强的Cypider框架，一组技术和工具，旨在通过建立一个可扩展的和混淆弹性相似性网络基础设施的恶意应用程序的移动恶意软件进行系统的检测。我们的方法是基于我们提出的概念，即恶意社区，在其中我们认为共享共同特征的恶意实例是同一恶意软件家族中最有可能的部分。使用这个概念，我们假设多个类似的Android应用程序，不同的作者是最有可能是恶意的。具体来说，Cypider利用这一假设来检测已知恶意软件家族和零日恶意应用程序的变体。Cypider在相似性网络上应用社区发现算法，该算法提取被认为是可疑和可能恶意社区的子图。此外，我们提出了一种新的指纹技术，即社区指纹，基于一类机器学习模型的每个恶意社区。此外，我们提出了一个增强的Cypider框架，它需要更少的内存，x650，和更少的时间来建立相似性网络，x700，与原始版本相比，而不影响指纹性能的框架。我们引入了一个系统的方法来定位不同的特征内容向量的最佳阈值，这简化了整个检测过程。
2020-05-12 cs.CR
Improving Dynamic Analysis of Android Apps Using Hybrid Test Input Generation
Android操作系统已成为最流行的移动操作系统，导致Android恶意软件的传播显著增加。因此，一些静态和动态分析系统已被开发来检测Android恶意软件。利用动态分析，需要高效的测试输入生成，以便触发潜在的运行时恶意行为。大多数现有的动态分析系统采用基于随机的输入生成方法，通常使用Android Monkey工具构建。基于随机的输入生成有几个缺点，包括有限的代码覆盖率，这促使我们探索将其与基于状态的方法相结合，以提高效率。因此，在本文中，我们提出了一种新的混合测试输入生成方法，旨在提高实际设备上的动态分析。我们通过将基于随机的工具（Monkey）与基于状态的工具（DroidBot）集成来实现混合系统，以提高代码覆盖率并可能发现更多的恶意行为。该系统使用2，444个Android应用程序进行评估，其中包含来自Android恶意软件基因组项目的1222个良性和1222个恶意软件样本。三种情况下，随机的，基于状态的，只有我们提出的混合方法进行了研究，比较评估其性能。我们的研究表明，该混合方法显着提高了从良性和恶意软件样本中提取的动态特征的量基于状态和常用的随机测试输入生成方法。
2017-05-18 cs.CR
Android Malware Detection based on Factorization Machine
近年来，随着Android智能手机的普及，恶意应用程序的数量也在增加。由于手机用户面临的数据盗窃的可能性，Android设备上恶意软件的检测已经成为网络安全中越来越重要的问题。基于签名的例程等传统方法无法保护用户免受新型Android恶意软件日益复杂和快速行为变化的影响。因此，最近已经做出了大量努力来使用机器学习模型和方法来表征和概括移动应用的恶意行为模式以用于恶意软件检测。在本文中，我们提出了一种新的和高度可靠的分类器，用于Android恶意软件检测的基础上因式分解机架构和Android应用程序的功能，从清单文件和源代码的提取。我们的研究结果表明，应用程序的数字特征表示通常会导致长且高度稀疏的向量，并且不同特征之间的交互对于揭示恶意行为模式至关重要。在进行了广泛的性能评估后，我们提出的方法在DREBIN数据集上获得了100.00%的准确率，在AMD数据集上获得了99.22%的准确率，只有1.10%的假阳性率。这些指标与最先进的基于机器学习的Android恶意软件检测方法和几种商业防病毒引擎的性能相匹配，其优点是训练速度快50倍。
2019-08-13 cs.CR
An Analysis of Pre-installed Android Software
Android操作系统的开源特性使得制造商可以发布自定义版本的操作系统以及一组预安装的应用程序，通常是为了产品差异化。一些设备供应商最近受到审查，因为其设备上的预安装应用程序存在潜在的侵入性私人数据汇集做法和其他潜在有害或不必要的行为。然而，Android中预装软件的前景在很大程度上仍未被探索，特别是在这种定制的安全和隐私影响方面。在本文中，我们首次对来自200多家供应商的Android设备上的预装软件进行了大规模研究。我们的工作依赖于使用众包方法在全球范围内获得的真实Android固件的大型数据集。这使我们能够回答与供应链中的利益相关者相关的问题，从设备制造商和移动网络运营商到广告和跟踪服务等第三方组织以及社交网络平台。我们的研究还揭示了这些参与者之间的关系，这些关系似乎主要围绕着广告和数据驱动的服务。总体而言，Android开源模式的供应链缺乏透明度，并在未经用户同意或意识的情况下促进了潜在的有害行为和对敏感数据和服务的后门访问。最后，我们提出了一些建议，以提高Android生态系统的透明度、归因和问责制。
2019-05-07 cs.CR
Dockerized Android: a container-based platform to build mobile Android scenarios for Cyber Ranges
本文提出Dockerized Android框架，利用容器技术在网络靶场中模拟移动设备，构建脆弱环境，支持复杂移动杀伤链场景，以提升移动安全培训能力。
2022-05-19 cs.CR
Problem-Space Evasion Attacks in the Android OS: a Survey
Android是全球最受欢迎的操作系统。因此，它是各种恶意软件的目标。作为一种对策，安全社区夜以继日地开发适当的Android恶意软件检测系统，其中基于ML或基于DL的系统被认为是最常见的类型。针对这些检测系统，智能对手开发了一系列规避攻击，其中攻击者稍微修改恶意软件样本以逃避其目标检测系统。在本调查中，我们解决了Android操作系统中的问题空间规避攻击，攻击者操纵实际的APK，而不是其提取的特征向量。我们的目标是探索这类攻击，由于缺乏对Android领域的了解，或者由于专注于一般的数学规避攻击，这类攻击经常被研究社区忽视-即，特征空间规避攻击我们讨论了问题空间规避攻击的不同方面，使用一种新的分类法，它侧重于每个问题空间攻击的关键成分，如攻击者模型，攻击者的操作模式，以及攻击后应用程序的功能评估。
2022-06-21 cs.CR
Andlantis: Large-scale Android Dynamic Analysis
分析Android应用程序的恶意行为是一个重要的研究领域，部分原因是该平台上可用的应用程序数量越来越多。虽然存在对大量应用执行静态分析的技术，但是由于仿真完整Android系统以实现精确执行所需的计算资源，动态分析技术在规模上相对有限。我们提出Andlantis，一个可扩展的动态分析系统能够处理超过3000 Android应用程序每小时。在此过程中，系统能够收集有价值的取证数据，这有助于逆向工程师和恶意软件研究人员识别和理解异常应用程序行为。我们讨论了通过系统运行1261个恶意软件样本的结果，并提供了使用所得数据执行恶意软件分析的示例。
2014-10-28 cs.CR
AndroWasm: an Empirical Study on Android Malware Obfuscation through WebAssembly
University Of Cagliari（卡利亚里大学）；Consorzio Interuniversitario Nazionale per l’Informatica (CINI)（意大利国家信息学大学联盟）
本文通过实证研究探讨了Android恶意软件利用WebAssembly技术进行混淆和规避检测的方法及效果。
2026-02-20 cs.CR
Resilient and Adaptive Framework for Large Scale Android Malware Fingerprinting using Deep Learning and NLP Techniques
Android恶意软件检测是一个严重的问题，影响了现有市场中使用数百万Android应用程序（应用程序）的数十亿用户。本文提出了PetaDroid，一个准确的Android恶意软件检测和家庭聚类的框架上的静态分析。PetaDroid自动适应Android恶意软件和随着时间的推移与常见的二进制混淆技术的弹性良性变化。该框架采用了基于自然语言处理（NLP）和机器学习技术的新技术，以实现准确、自适应和弹性的Android恶意软件检测和家族聚类。PetaDroid使用卷积神经网络（CNN）的集成来识别恶意软件。该框架利用使用深度神经自动编码器生成的样本特征聚类将检测到的恶意软件样本聚类到恶意软件家族组中。为了适应变化，PetaDroid在部署过程中利用检测置信概率自动收集扩展数据集，并定期使用它们来构建新的恶意软件检测模型。此外，PetaDroid在训练过程中使用代码片段随机化，以增强对常见混淆技术的弹性。我们在多个参考数据集上广泛评估了PetaDroid。PetaDroid在不同的评估设置下实现了高检测率（98- 99%f1评分），在生成的聚类中具有高同质性（96%）。我们与最先进的解决方案MaMaDroid、DroidAPIMiner、MalDozer进行了彻底的定量比较，其中PetaDroid在所有评估设置下都优于它们。
2021-05-27 cs.CR
Android Code Protection via Obfuscation Techniques: Past, Present and Future Directions
由于私人用户信息、联系人、消息和多个传感器的集中化，移动设备已经变得无处不在。Google Android是一种开源移动操作系统（OS），目前是市场领导者。Android的流行促使恶意软件作者利用代码混淆技术进行一系列网络攻击。混淆是修改应用程序（app）代码的操作，保留原始语义和功能以逃避反恶意软件。代码混淆是一个有争议的问题。理论代码分析技术表明，实现可验证和安全的混淆是不可能的。然而，混淆工具和技术在恶意软件开发人员（以逃避反恶意软件）和商业软件开发人员（保护知识产权）中都很受欢迎。我们进行了一项调查，以揭示有关Android代码混淆和保护技术的具体和相关问题的答案。本文的目的是审查代码混淆和代码保护的做法，并评估现有的代码去混淆工具的有效性。特别是，我们将讨论Android代码混淆方法、自定义应用保护技术和各种去混淆方法。此外，我们审查和分析恶意软件作者使用的混淆技术，以逃避分析工作。我们认为，有必要调查用于代码保护的防御技术的效率。这项调查将有利于研究人员和从业人员了解混淆和去混淆技术，以提出Android上的新解决方案。
2016-11-30 cs.CR
DySign: Dynamic Fingerprinting for the Automatic Detection of Android Malware
Android操作系统的惊人普及，不仅在智能手机和平板电脑中，而且在物联网设备中，使这个操作系统成为恶意软件威胁的非常诱人的目标。事实上，后者正在以类似的速度扩张。在这方面，恶意软件指纹，无论是基于加密还是模糊散列，都是抵御此类攻击的第一道防线。模糊散列指纹适用于捕获恶意软件静态特征。此外，它们对恶意软件文件的实际静态内容的微小变化更具弹性。另一方面，动态分析是另一种恶意软件检测技术，它使用仿真环境来提取Android恶意软件的行为特征。然而，据我们所知，没有这样的指纹技术，利用动态分析，并将作为第一个防御Android恶意软件攻击。在本文中，我们解决了以下问题：我们可以生成有效的指纹Android恶意软件通过动态分析？为此，我们提出了DySign，一种新的技术指纹Android恶意软件的动态行为。这是通过从对现有已知恶意软件的恶意软件样本的动态分析生成摘要来实现的。值得一提的是：（i）DySign指纹近似于动态分析期间观察到的行为，以便实现对未来恶意软件变体行为中的微小变化的弹性;（ii）指纹计算与分析的恶意软件样本或系列无关。DySign利用最先进的自然语言处理（NLP）技术来生成上述指纹，然后利用这些指纹构建具有家庭归属的增强型Android恶意软件检测系统。
2017-02-19 cs.CR
Droidetec: Android Malware Detection and Malicious Code Localization through Deep Learning
Android恶意软件检测是构建安全可信系统的关键一步。特别是对潜在恶意代码的人工搜索一直困扰着程序分析人员。在本文中，我们提出了Droidetec，一种基于深度学习的Android恶意软件检测和恶意代码定位方法，将应用程序建模为自然语言序列。Droidetec采用了一种新颖的特征提取方法，从Android应用程序中获取行为序列。在此基础上，利用双向长短期记忆网络进行恶意软件检测。提取的行为序列中的每个单元都被创造性地表示为向量，这使得Droidetec能够自动分析序列片段的语义，并最终找到恶意代码。对9616个恶意程序和11982个良性程序的实验表明，Droidetec达到了97.22%的准确率和98.21%的F1分数。总的来说，Droidetec在正确查找恶意代码段方面的命中率为91%。
2020-02-10 cs.CR
Feature-Centric Approaches to Android Malware Analysis: A Survey
本综述系统分析了静态、动态、混合及基于图方法的Android恶意软件特征提取技术，比较了各自的优劣权衡，并提出了未来增强IoT环境下检测可扩展性与安全性的研究路线图。
2025-09-12 cs.CR
BPFroid: Robust Real Time Android Malware Detection Framework
我们提出了BPFroid --一个新的Android动态分析框架，它使用Linux内核的eBPF技术来连续监视在真实设备上运行的用户应用程序的事件。所监视的事件是从Android软件堆栈的不同组件收集的：内部内核函数、系统调用、本机库函数和Java API框架。由于BPFroid在内核中挂钩了这些事件，恶意软件无法轻易绕过监控。此外，使用eBPF不需要对Android系统或监控的应用程序进行任何更改。我们还将BPFroid与其他恶意软件检测方法进行了分析比较，并通过开发新的签名来检测基于它的可疑行为来展示其用途。然后使用真实应用程序对这些签名进行评估。我们还演示了如何BPFroid可以用来捕捉法医文物作进一步调查。我们的研究结果表明，BPFroid成功地在实时的报警时，一个可疑的行为签名被检测到，而不会产生显着的运行时性能开销。
2021-05-29 cs.CR
Android HIV: A Study of Repackaging Malware for Evading Machine-Learning Detection
基于机器学习的解决方案已成功用于自动检测Android上的恶意软件。然而，机器学习模型对对抗性示例缺乏鲁棒性，这些示例是通过向正常输入添加精心选择的扰动来制作的。到目前为止，对抗性示例只能欺骗依赖于语法特征的检测器（例如，请求的权限、API调用等），并且扰动只能通过简单地修改应用程序的清单来实现。虽然最近的Android恶意软件检测器更多地依赖于Dalvik字节码的语义特征，而不是清单，但现有的攻击/防御方法不再有效。在本文中，我们介绍了一种新的攻击方法，生成Android恶意软件的对抗性示例，并逃避当前模型的检测。为此，我们提出了一种将最佳扰动应用于Android APK的方法，该方法可以成功欺骗机器学习检测器。我们开发了一个自动化的工具来生成对抗性的例子，而无需人工干预。与现有的作品相比，我们的方法制作的对抗性示例也可以欺骗最近的基于机器学习的检测器，这些检测器依赖于控制流图等语义特征。扰动也可以直接实现到APK的Dalvik字节码上，而不是Android清单，以逃避最近的检测器。我们展示了我们对两个最先进的Android恶意软件检测方案MaMaDroid和Drebin的攻击。我们的研究结果表明，MaMaDroid的恶意软件检测率从96%下降到0%，Drebin的恶意软件检测率从97%下降到0%，只有少量的代码被插入到APK中。
2021-11-16 cs.CR
Evolutionary Fuzzing of Android OS Vendor System Services
Android设备由100多家制造商合作伙伴以多种形式提供，这些合作伙伴通过新的系统服务扩展了Android“香草”操作系统，并修改了现有的系统服务。这些专有扩展会使Android设备面临可靠性和安全性问题。在本文中，我们提出了一个基于进化算法的覆盖率引导模糊平台（Chizpurfle）来测试专有的Android系统服务。该平台的一个关键特性是能够利用动态二进制重写技术，在实际的未修改的Android设备上分析覆盖率。我们在三款高端商用Android智能手机上应用了该解决方案。结果证实，进化模糊能够比盲目模糊更有效地测试Android OS系统服务。此外，我们评估了不同选择的适应度函数和选择算法的影响。
2019-06-03 cs.CR cs.SE
Characterizing Sensor Leaks in Android Apps
虽然手机传感器对于实现高级功能非常有价值，但攻击者可能会滥用手机传感器在Android应用程序中实施恶意活动，正如许多最先进的研究所证明的那样。因此，迫切需要规范移动传感器的使用，以防止它们被恶意攻击者利用。然而，尽管为实现这一目标作出了各种努力，检测Android应用程序中的隐私泄漏，我们还没有找到自动检测Android应用程序中传感器泄漏的方法。为了填补这一空白，我们设计并实现了一个新颖的原型工具SEEKER，它扩展了著名的FlowDroid工具，以检测Android应用程序中基于传感器的数据泄漏。SEEKER直接对Android应用程序的字节码进行以传感器为中心的静态污点分析，不仅报告传感器触发的隐私泄露，还报告泄露中涉及的传感器类型。使用超过40，000个真实Android应用程序的实验结果表明，SEEKER可以有效地检测Android应用程序中的传感器泄漏，恶意应用程序比良性应用程序对泄漏传感器数据更感兴趣。
2022-01-17 cs.CR cs.SE
Anception: Application Virtualization For Android
恶意软件的问题在Android设备上变得很重要。库操作系统和应用程序虚拟化都是限制恶意软件的可能解决方案。不幸的是，这些解决方案并不适用于Android。设计应用程序虚拟化机制是一项重大挑战，原因如下：（1）由于游戏的流行，图形性能非常重要;（2）具有相同UID的应用程序可以共享状态。本文介绍了Anception，第一个灵活的Android应用程序虚拟化框架。它是作为Android内核的修改实现的，并支持满足上述要求的应用程序虚拟化。Anception能够限制许多类型的恶意软件，同时支持未经修改的Android应用程序。我们的基于Anception的系统在各种2D/3D基准测试中的开销高达3.9%，在SunSpider基准测试中的开销为1.8%。
2014-01-27 cs.CR cs.OS
Android Malware Category and Family Detection and Identification using Machine Learning
Al-Azhar University（爱资哈尔大学）；Egyptian Chinese University（埃中大学）
Android恶意软件是互联网上最危险的威胁之一，并且多年来一直在上升。尽管在从无害的android应用程序中检测和分类android恶意软件方面付出了巨大的努力，但还有很长的路要走。因此，需要对最常见的Android恶意软件类别和系列所显示的行为进行基本了解。每个Android恶意软件家族和类别都有不同的目标。因此，它影响了每个企业领域，包括医疗保健、银行、运输、政府和电子商务。本文提出了两种机器学习方法用于Android恶意软件的动态分析：一种用于检测和识别Android恶意软件类别，另一种用于检测和识别Android恶意软件家族。我们的方法在Android恶意软件类别检测中达到了96%以上的准确率，在Android恶意软件家族检测中达到了99%以上的准确率。我们的方法提供了一种对Android恶意软件进行高准确性动态分析的方法，同时还缩短了分析智能手机恶意软件所需的时间。
2021-07-05 cs.AI cs.CR cs.LG
Open Mobile API: Accessing the UICC on Android Devices
本报告概述了Android设备中的安全元素集成。它侧重于开放移动API作为一个开放的接口，从Android应用程序访问安全元素。开放移动API的整体架构进行了描述和当前的Android设备进行了分析，关于此API的可用性。此外，本报告总结了我们的努力逆向工程的股票ROM的三星Galaxy S3，以分析集成的开放移动API和接口，用于执行基于APDU的通信与UICC（通用集成电路卡）。它进一步详细解释了如何将此功能集成到CyanogenMod（Android设备的售后固件）中。
2016-01-12 cs.CR cs.OS
Android Malware Detection using Machine learning: A Review
New Mexico Tech（新墨西哥理工大学）
本文综述了基于机器学习的安卓恶意软件检测方法，系统梳理了监督、无监督和深度学习方法及其性能评价指标，并指出当前方法的局限性和未来研究方向。
2023-03-15 cs.AI cs.CR
N-gram Opcode Analysis for Android Malware Detection
近年来，由于Android的日益普及和第三方应用程序市场的激增，Android恶意软件一直在上升。新兴的Android恶意软件家族越来越多地采用复杂的检测规避技术，这需要更有效的Android恶意软件检测方法。因此，在本文中，我们提出并评估了一种基于n-gram操作码特征的方法，该方法利用机器学习来识别和分类Android恶意软件。这种方法使得能够自动化特征发现，而不依赖于预先确定的特征的专家或领域知识。此外，通过使用数据分割技术进行特征选择，我们的分析能够扩展到10克操作码。我们在2520个样本的数据集上进行的实验显示，使用基于n-gram操作码的方法，f测量值为98%。我们还提供了实证研究结果，说明可能影响整体n元操作码性能趋势的因素。
2016-12-05 cs.AI cs.CR
Forensic Analysis of Instant Messenger Applications on Android Devices
本文重点对Android手机上WhatsApp和Viber两个广泛使用的IM应用程序进行取证数据分析。测试和分析的目的是确定什么数据和信息可以在设备的内部存储器上找到即时通讯工具，如聊天消息日志和历史发送和接收的图像或视频文件等实验和结果表明，大量的潜在证据和有价值的数据可以在Android手机上发现法医调查。
2013-04-17 cs.CR cs.CY
Taxonomy of Security Weaknesses in Java and Kotlin Android Apps
Android是当今世界上最流行的操作系统，不仅在移动设备领域，而且在考虑台式机和膝上计算机时也是如此。这种流行使其成为安全攻击的有吸引力的目标，这也是由于移动应用程序经常操纵的敏感信息。后者正在经历一个过渡，Android生态系统正在从使用Java作为开发应用程序的官方语言，转向采用Kotlin作为Google支持的首选。虽然以前的研究已经部分研究了影响Java Android应用程序的安全漏洞，但还没有全面的实证调查研究影响Android应用程序的软件安全漏洞，考虑（并比较）用于开发的两种主要语言，即Java和Kotlin。我们提出了一项实证研究，其中我们：（i）手动分析681个提交，包括Java和Kotlin应用程序中开发人员修复的安全漏洞，目的是定义一个分类法，突出影响Java和Kotlin Android应用程序的软件安全漏洞类型;（ii）调查43个Android开发人员，以验证和补充我们的分类法。根据我们的研究结果，我们提出了一个未来行动的清单，研究人员和从业人员可以执行，以提高Android应用程序的安全性。
2022-01-27 cs.CR cs.SE
Android Botnet Detection using Convolutional Neural Networks
Shahid Bahonar University of Kerman（克尔曼沙希德·巴霍纳尔大学）
今天，Android设备能够提供各种服务。它们支持不同用途的应用程序，如娱乐、商业、健康、教育和银行服务。由于Android设备的功能和流行性以及Android操作系统的开源政策，它们已成为攻击者的合适目标。Android僵尸网络是最危险的恶意软件之一，因为一个名为Botmaster的攻击者可以远程控制它来执行破坏性攻击。许多研究人员使用不同的知名机器学习（ML）方法来识别Android僵尸网络和良性应用程序。然而，这些传统方法无法检测新的复杂的Android僵尸网络。本文提出了一种基于Android权限和卷积神经网络（CNN）的僵尸网络分类方法。作为第一个使用CNN实现这一目标的方法，我们还提出了一种新的方法，将每个应用程序表示为一个图像，该图像是基于该应用程序中使用的权限的共同出现而构建的。所提出的CNN是使用这些图像训练的二元分类器。在5450个僵尸网络和良性样本的Android应用程序上进行测试，结果表明，该方法的准确率为97.2%，召回率为96%，这是一个很好的结果。
2019-11-27 cs.CR cs.LG cs.NE
On Root Detection Strategies for Android Devices
Android操作系统在当今大多数智能手机上运行。它的成功一方面是由于它对各种智能手机硬件供应商的可用性，另一方面是为其用户提供的定制可能性。虽然其他大型智能手机操作系统将用户配置限制在一组给定的功能上，但Android用户可以利用其设备的全部潜力。这种高度的定制化是由一个名为root的过程实现的，在这个过程中，用户将其权限升级到操作系统的权限，这引入了安全、数据完整性和隐私问题。Android设备已经存在几种针对不同检测级别的生根检测机制。本文介绍了从Linux生态系统衍生的进一步策略，并概述了它们在Android平台上的使用。此外，我们提出了一种新的远程生根检测方法，旨在在无线网络中的设备之间的信任和完整性检查。
2020-12-03 cs.CR cs.NI
Graph Neural Network-based Android Malware Classification with Jumping Knowledge
The University of Queensland（昆士兰大学）
提出了一种基于跳跃知识的图神经网络（GNNs）的Android恶意软件检测方法。Android函数调用图（FCG）由一组程序函数及其过程间调用组成。因此，本文提出了一种基于GNN的方法，通过捕获有意义的过程内调用路径模式的Android恶意软件检测。此外，跳跃知识技术被应用于最小化过度平滑问题的影响，这在GNN中是常见的。所提出的方法已被广泛使用两个基准数据集进行评估。结果表明，与最先进的方法相比，我们的方法在关键分类指标方面具有优越性，这证明了GNN在Android恶意软件检测和分类中的潜力。
2022-06-13 cs.CR cs.LG
Ghera: A Repository of Android App Vulnerability Benchmarks
移动应用程序的安全性影响其用户的安全。这推动了自动检测移动应用程序中的漏洞并帮助开发人员保护其应用程序的技术的发展;特别是在Android平台的背景下，由于平台的开放性和普遍性。尽管在这一领域进行了大量的研究工作，但没有包含大多数已知Android应用程序漏洞的最新和精简基准的综合存储库，因此，可以用于严格评估现有和新的漏洞检测技术，并帮助开发人员了解Android应用程序漏洞。在本文中，我们描述了Ghera，一个开源的基准测试库，它捕获了Android应用程序中的25个已知漏洞（作为被利用/良性和利用/恶意应用程序对）。我们还介绍了我们在创建Ghera时发现的漏洞基准和存储库的理想特征。
2017-08-08 cs.CR cs.SE
Android Malware Characterization using Metadata and Machine Learning Techniques
Universidad Carlos III de Madrid（马德里卡洛斯三世大学）；Telefónica Digital Identity & Privacy（西班牙电信数字身份与隐私部门）
Android恶意软件的出现是智能手机和平板电脑日益普及的结果。虽然以前的大多数工作都集中在Android应用程序的固有特征来检测恶意软件，但本研究分析了间接特征和元数据，以识别恶意软件应用程序中的模式。我们的实验表明：（1）应用程序使用的权限只能提供中等的性能结果;（2）Android Markets中公开的其他功能与检测恶意软件更相关，例如应用程序开发人员和证书颁发者;（3）可以构建紧凑高效的分类器，以便在代码检查或沙箱之前早期检测恶意软件应用程序。
2017-12-12 cs.AI cs.CR
Analysis of Bayesian Classification based Approaches for Android Malware Detection
移动恶意软件的规模和复杂性一直在增长，这是由全球智能手机的持续增长所推动的。Android正在迅速成为最受欢迎的移动平台，导致针对该平台的恶意软件急剧增加。此外，Android恶意软件正在迅速发展，以逃避传统的基于签名的扫描检测。尽管目前的检测措施到位，及时发现新的恶意软件仍然是一个关键问题。这就需要新的方法来缓解零日Android恶意软件日益增长的威胁。因此，在本文中，我们开发和分析基于贝叶斯分类的主动机器学习方法，旨在通过静态分析发现未知的Android恶意软件。该研究基于大多数现有系列的大型恶意软件样本集，展示了高准确性的检测能力。实证结果和比较分析提供了有用的洞察力，有效的静态分析贝叶斯分类为基础的解决方案，用于检测未知的Android恶意软件的发展。
2016-08-20 cs.CR cs.LG
MASCOT-Android: A Curated Dataset and Automated Collection Pipeline for Android Malware Source Code Specimens
University of Maryland, Baltimore County（马里兰大学巴尔的摩县分校）
提出MASCOT-Android数据集和自动收集框架，利用仓库级文档（README）训练LinearSVC分类器，以96.28%准确率和1.06%假阳性率从GitHub发现恶意软件源代码。
2026-06-17 cs.AI cs.CR
Analyzing Confidentiality and Privacy Concerns: Insights from Android Issue Logs
上下文：发布后的用户反馈在提高软件质量和提供新功能方面起着不可或缺的作用。鉴于其日益重要性，关于加强安全的反馈尤其值得注意。在考虑Android的快速发展时，我们研究了其利益相关者报告的Android安全威胁的规模和严重性。目的：我们系统地挖掘Android问题日志，以深入了解利益相关者对某些Android安全问题的看法和经验。方法：我们采用上下文分析技术来研究最近三个主要Android版本中提出的有关机密性和隐私的问题，考虑利益相关者评论的协方差以及用户偏好和优先级的一致性水平。结果：保密和隐私问题的严重程度各不相同，最普遍的果冻豆释放。在保密方面提出的问题主要涉及访问、用户凭证和许可管理，而对隐私的关切主要涉及电话锁定。社区用户对新的安全功能也表达了不同的偏好，从更宽松到非常严格。结论：支持对新旧Android版本采取持续纠正措施的策略可能会保持利益相关者的信心。一种为用户提供基本默认安全设置的方法，但如果需要，可以配置额外的安全功能，这将为Android的广泛利益相关者群体提供最佳平衡。
2021-02-24 cs.CR cs.SE
N-opcode Analysis for Android Malware Classification and Categorization
恶意软件检测是一个日益严重的问题，特别是在Android移动平台上，因为它越来越受欢迎，并且可以访问许多第三方应用程序市场。新兴恶意软件家族采用的日益复杂的检测规避技术也使情况变得更糟。这需要更有效的技术来检测和分类Android恶意软件。因此，在本文中，我们提出了一种基于n-opcode分析的方法，利用机器学习来分类和分类Android恶意软件。这种方法实现了自动化特征发现，消除了应用专家或领域知识来定义所需特征的需要。我们在2520个样本上进行的实验使用了多达10克的操作码特征，结果表明使用这种方法可以实现98%的f-测量。
2016-07-27 cs.AI cs.CR
Android Malware Detection Using Autoencoder
North China Electric Power University（华北电力大学）
智能手机已经成为人类生活中不可或缺的一部分。智能手机统一了各种先进的特性。它使用户能够存储各种数据，如照片，健康数据，凭证银行数据和个人信息。Android操作系统是流行的移动操作系统，同时也是恶意软件开发者最有针对性的操作系统。最近，Android恶意软件的空前发展给研究人员带来了压力，要求他们提出有效的方法来抑制恶意软件的传播。在本文中，我们提出了一种用于Android恶意软件检测的深度学习方法。该方法研究了五种不同的特征集，并应用Autoencoder来识别恶意软件。实验结果表明，该方法能够有效地识别恶意软件，具有较高的准确率。
2019-01-14 cs.CR cs.LG
Android Malware Detection Based on RGB Images and Multi-feature Fusion
Beijing Electronic Science and Technology Institute（北京电子科技学院）
本文提出一种基于RGB图像和多特征融合的Android恶意软件端到端检测方法，通过提取DEX、AndroidManifest.xml和API调用并组合为RGB图像，准确率达97.25%，优于现有方法。
2024-08-29 cs.CR cs.LG
Deep Learning for Android Malware Defenses: a Systematic Literature Review
Monash University（莫纳什大学）；Southern University of Science and Technology（南方科技大学）
恶意应用程序（特别是针对Android平台的应用程序）对开发人员和最终用户构成严重威胁。许多研究工作致力于开发有效的方法来防御Android恶意软件。然而，鉴于Android恶意软件的爆炸式增长以及混淆和反射等恶意规避技术的不断进步，基于手动规则或传统机器学习的Android恶意软件防御方法可能无法有效。近年来，被称为深度学习（DL）的主导研究领域提供了强大的特征提取能力，在诸如自然语言处理和计算机视觉的各种领域中已经展示了引人注目的和有前途的性能。为此，采用深度学习技术来阻止Android恶意软件攻击最近引起了相当大的研究关注。然而，目前还没有针对Android恶意软件防御的深度学习方法的系统性文献综述。在本文中，我们进行了系统的文献综述，以搜索和分析深度学习方法如何应用于Android环境中的恶意软件防御。因此，确定了涵盖2014-2021年期间的共计132项研究。我们的调查显示，虽然这些来源中的大多数主要考虑基于DL的Android恶意软件检测，但53项主要研究（40.1%）基于其他场景设计防御方法。本文还讨论了基于DL的Android恶意软件防御的研究趋势、研究重点、面临的挑战和未来的研究方向。
2022-08-09 cs.CR cs.LG cs.SE
CorrNetDroid: Android Malware Detector leveraging a Correlation-based Feature Selection for Network Traffic features
本文提出基于动态网络流量分析的Android恶意软件检测系统CorrNetDroid，通过结合crRelevance和NMRS度量提出新的特征选择算法筛选最优特征子集，仅用两个特征即达99.50%准确率，优于现有统计检验和最先进技术。
2025-03-03 cs.CR cs.MM
Android Malware Detection: A Machine Leaning Approach
本研究考察决策树、支持向量机等机器学习技术以检测Android恶意软件，发现集成方法表现优异，但在模型可解释性、效率和准确率之间存在权衡，为未来研究和实际应用提供了指导。
2025-11-02 cs.AI cs.CR cs.LG
Brief View and Analysis to Latest Android Security Issues and Approaches
由于性能和功能的不断改进，Android仍然是当今手机上最受欢迎的操作系统。然而，各种恶意应用程序给系统带来了极大的威胁。在过去的几年里，恶意软件和反措施都发生了重大变化。具体而言，恶意软件不断发展，并采用先进的方法进行更准确的检测。为了跟上最新的形势，在本文中，我们进行了广泛的分析，包括最新的恶意软件，Android安全功能和方法。我们也提供了一些我们在收集资料和进行实验时所发现的，我们认为对进一步的研究是有用的，在以前的工作中没有提到。
2021-09-02 cs.CR cs.LG
Android Malware Detection Using Parallel Machine Learning Classifiers
McAfee Labs（迈克菲实验室）
移动恶意软件继续以惊人的速度增长，尽管正在努力减轻这个问题。这在Android上尤其明显，因为它是一个开放平台，随后在移动智能设备市场的份额中超过了其他平台。因此，激励新一波新兴的Android恶意软件足够复杂，可以逃避大多数常见的检测方法。提出并研究了一种基于并行机器学习的Android恶意软件早期检测分类方法。使用真实的恶意软件样本和良性的应用程序，一个复合分类模型开发的异构分类器的并行组合。在不同的组合方案下的模型的实证评估表明，其有效性和潜力，以提高检测精度。更重要的是，通过利用具有不同特征的多个分类器，它们的优势不仅可以用于增强Android恶意软件检测，还可以通过更具可解释性的组成分类器进行更快的白盒分析。
2016-07-27 cs.AI cs.CR
Identification of Significant Permissions for Efficient Android Malware Detection
BITS Pilani（BITS Pilani（比拉斯布尔理工学院））；Microsoft R&D（微软研发部门）
自从谷歌推出智能手机Android操作系统以来，恶意软件正以3V（即数量、速度和多样性）蓬勃发展。最近的一份报告显示，每五个企业/行业移动应用程序中就有一个泄露敏感的个人数据。传统的基于签名/密码学的恶意软件检测系统无法应对当前的恶意软件挑战，从而威胁到Android生态系统。因此，最近研究人员已经开始探索基于机器学习和深度学习的恶意软件检测系统。在本文中，我们进行了全面的特征分析，以确定显着的Android权限，并提出了一个有效的Android恶意软件检测系统，使用机器学习和深度神经网络。我们构建了一组$16$权限（总集合的$8\%$），这些权限来自方差阈值、自动编码器和主成分分析，以构建一个恶意软件检测引擎，该引擎消耗较少的训练和测试时间，而不会显著影响模型准确性。实验结果表明，基于随机森林分类器的Android恶意软件检测模型是最均衡的，达到了最高的曲线下面积分数$97.7\%$，优于当前最先进的系统。我们还观察到，深度神经网络达到了与基线结果相当的准确性，但计算量很大。
2021-02-28 cs.CR cs.LG
Automatic Feature Extraction, Categorization and Detection of Malicious Code in Android Applications
由于Android最近已成为移动设备的流行软件平台;它们提供与个人电脑几乎相同的功能。恶意软件也成为一个大问题。随着新的Android应用程序的数量在不久的将来迅速增加，需要快速有效地自动检测恶意软件。在本文中，我们定义了一个简单的静态分析方法，首先根据应用程序的意图和类别提取Android应用程序的特征，然后将其与应用程序请求的权限进行映射，并将其与类别中最明显的意图进行比较。因此，了解哪些应用程序正在使用他们不应该使用或不需要的功能。
2020-06-04 cs.CR cs.SE
