DetectBERT: Towards Full App-Level Representation Learning to Detect Android Malware
University of Luxembourg（卢森堡大学）；Luxembourg Institute of Science and Technology（卢森堡科学技术研究院）
本文提出 DetectBERT，通过集成相关多示例学习（c-MIL）与 DexBERT，将类级特征聚合为应用级表示，实现高效的 Android 恶意软件检测，性能超越现有方法并适应威胁演变。
2024-08-29 cs.AI cs.CR cs.SE
MASKDROID: Robust Android Malware Detection with Masked Graph Representations
National University of Singapore（新加坡国立大学）
本文提出 MASKDROID，通过在 GNN 框架中引入图掩码重建机制和对比学习模块，增强安卓恶意软件检测器对对抗攻击的鲁棒性和判别能力。
2024-09-29 cs.AI cs.CR cs.SE
Android Malware Characterization using Metadata and Machine Learning Techniques
Universidad Carlos III de Madrid（马德里卡洛斯三世大学）；Telefónica Digital Identity & Privacy（西班牙电信数字身份与隐私部门）
Android恶意软件的出现是智能手机和平板电脑日益普及的结果。虽然以前的大多数工作都集中在Android应用程序的固有特征来检测恶意软件，但本研究分析了间接特征和元数据，以识别恶意软件应用程序中的模式。我们的实验表明：（1）应用程序使用的权限只能提供中等的性能结果;（2）Android Markets中公开的其他功能与检测恶意软件更相关，例如应用程序开发人员和证书颁发者;（3）可以构建紧凑高效的分类器，以便在代码检查或沙箱之前早期检测恶意软件应用程序。
2017-12-12 cs.AI cs.CR
Android Malware Detection using Machine learning: A Review
New Mexico Tech（新墨西哥理工大学）
本文综述了基于机器学习的安卓恶意软件检测方法，系统梳理了监督、无监督和深度学习方法及其性能评价指标，并指出当前方法的局限性和未来研究方向。
2023-03-15 cs.AI cs.CR
MASCOT-Android: A Curated Dataset and Automated Collection Pipeline for Android Malware Source Code Specimens
University of Maryland, Baltimore County（马里兰大学巴尔的摩县分校）
提出MASCOT-Android数据集和自动收集框架，利用仓库级文档（README）训练LinearSVC分类器，以96.28%准确率和1.06%假阳性率从GitHub发现恶意软件源代码。
2026-06-17 cs.AI cs.CR
N-opcode Analysis for Android Malware Classification and Categorization
恶意软件检测是一个日益严重的问题，特别是在Android移动平台上，因为它越来越受欢迎，并且可以访问许多第三方应用程序市场。新兴恶意软件家族采用的日益复杂的检测规避技术也使情况变得更糟。这需要更有效的技术来检测和分类Android恶意软件。因此，在本文中，我们提出了一种基于n-opcode分析的方法，利用机器学习来分类和分类Android恶意软件。这种方法实现了自动化特征发现，消除了应用专家或领域知识来定义所需特征的需要。我们在2520个样本上进行的实验使用了多达10克的操作码特征，结果表明使用这种方法可以实现98%的f-测量。
2016-07-27 cs.AI cs.CR
Android Malware Category and Family Detection and Identification using Machine Learning
Al-Azhar University（爱资哈尔大学）；Egyptian Chinese University（埃中大学）
Android恶意软件是互联网上最危险的威胁之一，并且多年来一直在上升。尽管在从无害的android应用程序中检测和分类android恶意软件方面付出了巨大的努力，但还有很长的路要走。因此，需要对最常见的Android恶意软件类别和系列所显示的行为进行基本了解。每个Android恶意软件家族和类别都有不同的目标。因此，它影响了每个企业领域，包括医疗保健、银行、运输、政府和电子商务。本文提出了两种机器学习方法用于Android恶意软件的动态分析：一种用于检测和识别Android恶意软件类别，另一种用于检测和识别Android恶意软件家族。我们的方法在Android恶意软件类别检测中达到了96%以上的准确率，在Android恶意软件家族检测中达到了99%以上的准确率。我们的方法提供了一种对Android恶意软件进行高准确性动态分析的方法，同时还缩短了分析智能手机恶意软件所需的时间。
2021-07-05 cs.AI cs.CR cs.LG
Android Malware Detection Using Parallel Machine Learning Classifiers
McAfee Labs（迈克菲实验室）
移动恶意软件继续以惊人的速度增长，尽管正在努力减轻这个问题。这在Android上尤其明显，因为它是一个开放平台，随后在移动智能设备市场的份额中超过了其他平台。因此，激励新一波新兴的Android恶意软件足够复杂，可以逃避大多数常见的检测方法。提出并研究了一种基于并行机器学习的Android恶意软件早期检测分类方法。使用真实的恶意软件样本和良性的应用程序，一个复合分类模型开发的异构分类器的并行组合。在不同的组合方案下的模型的实证评估表明，其有效性和潜力，以提高检测精度。更重要的是，通过利用具有不同特征的多个分类器，它们的优势不仅可以用于增强Android恶意软件检测，还可以通过更具可解释性的组成分类器进行更快的白盒分析。
2016-07-27 cs.AI cs.CR
ActDroid: An active learning framework for Android malware detection
Heriot-Watt University, Dubai, UAE（赫瑞瓦特大学，迪拜，阿联酋）；Heriot-Watt University, Edinburgh EH14 4AS, United Kingdom（赫瑞瓦特大学，爱丁堡，英国）
针对Android恶意软件高频出现带来的检测与标注难题，提出主动在线学习框架ActDroid，以低标注成本实现高检测准确率，可应对概念漂移并分析了不同特征集的分类权衡。
2024-01-30 cs.AI cs.CR
Ontology-driven Knowledge Graph for Android Malware
Rensselaer Polytechnic Institute（伦斯勒理工学院）；IBM TJ Watson Research Center（IBM TJ Watson研究中心）
我们提出MalONT 2.0-恶意软件威胁情报本体\cite{rastogi2020malont}。在扩大核心能力问题范围后，添加了新的类别（攻击模式、支持攻击的基础设施资源、包含静态分析的恶意软件分析以及二进制文件的动态分析）和关系。MalONT 2.0允许研究人员广泛捕获收集Android恶意软件攻击的语义和语法特征的所有必要类和关系。该本体构成了恶意软件威胁情报知识图谱MalKG的基础，我们使用三种不同的、不重叠的演示来验证该知识图谱。恶意软件的特征是从CTI在互联网上共享的Android威胁情报报告中提取的，并以非结构化文本的形式编写。其中一些来源是博客，威胁情报报告，推文和新闻文章。捕获恶意软件特征的最小信息单元被写为包括头部和尾部实体的三元组，每个三元组与关系连接。在海报和演示中，我们讨论了MalONT 2.0，MalKG，以及动态增长的知识图谱，TINKER。
2021-09-03 cs.AI cs.CR
EMULATOR vs REAL PHONE: Android Malware Detection Using Machine Learning
Queen’s University Belfast（英国女王大学）
Android操作系统已成为智能手机和平板电脑最受欢迎的操作系统，导致恶意软件的快速增长。复杂的Android恶意软件采用检测规避技术，以隐藏其恶意活动，使其不受分析工具的影响。这些包括广泛的反仿真器技术，其中恶意软件程序试图通过检测仿真器来隐藏其恶意活动。因此，反仿真对策在Android恶意软件检测中变得越来越重要。基于真实设备的分析和检测可以缓解反仿真问题，提高动态分析的有效性。因此，在本文中，我们提出了一个调查的机器学习的恶意软件检测使用动态分析的真实设备。实现了一个工具来自动从Android手机中提取动态特征，并通过几个实验，通过几种机器学习算法进行了基于仿真器与基于设备的检测的比较分析。我们的研究表明，几个功能可以更有效地提取设备上的动态分析相比，仿真器。研究还发现，在手机上成功分析的应用程序数量增加了约24%。此外，所有研究的基于机器学习的检测在应用于从设备上动态分析提取的特征时表现更好。
2017-03-31 cs.AI cs.CR
Detecting Android Malware: From Neural Embeddings to Hands-On Validation with BERTroid
Laval university（拉瓦尔大学）
针对Android恶意软件威胁加剧的问题，本文提出基于BERT架构的恶意软件检测模型BERTroid，在多数据集上性能优于现有最优方案，同时强调人工验证可强化模型结果，为Android恶意软件主动防御提供新方案。
2024-08-12 cs.AI cs.CR
Android Malware Detection: A Machine Leaning Approach
本研究考察决策树、支持向量机等机器学习技术以检测Android恶意软件，发现集成方法表现优异，但在模型可解释性、效率和准确率之间存在权衡，为未来研究和实际应用提供了指导。
2025-11-02 cs.AI cs.CR cs.LG
LLM-Driven Feature-Level Adversarial Attacks on Android Malware Detectors
本文提出LAMLAD框架，利用大语言模型生成特征扰动以对抗恶意软件检测器，实验显示攻击成功率高达97%，并提出对抗训练防御策略提升模型鲁棒性。
2025-12-24 cs.AI cs.CR
Defending against Adversarial Malware Attacks on ML-based Android Malware Detection Systems
Zhejiang University（浙江大学）；University College London（伦敦大学学院）
本文提出ADD框架，一种插件式防御方案，用于增强基于机器学习的Android恶意软件检测系统对问题空间对抗性攻击的鲁棒性，实验证明其有效且能提升现实防病毒软件的防御能力。
2025-01-23 cs.AI cs.CR cs.LG
Exploring Large Language Models for Semantic Analysis and Categorization of Android Malware
Louisiana State University（路易斯安那州立大学）
本文提出基于GPT-4o-mini的\msp，利用分层摘要链与提示工程实现Android恶意软件语义分析、分类及恶意代码定位，分类准确率最高达77%。
2025-01-08 cs.AI cs.CR
Android Malware Clustering through Malicious Payload Mining
聚类作为一种有效的分流方法已经被广泛研究用于桌面恶意软件分析。然而，由于Android应用程序开发中过度使用第三方库以及恶意软件开发中广泛使用重新打包，传统的基于相似性的聚类技术无法立即应用于Android恶意软件分析。通过迭代挖掘恶意负载并检查恶意样本是否共享相同版本的恶意负载，设计并实现了一个Android恶意软件聚类系统。我们的系统利用层次聚类技术和一个有效的位向量格式来表示Android应用程序。实验结果表明，我们的聚类方法实现了准确率为0.90和召回率为0.75的Android基因组恶意软件数据集，和平均准确率为0.98和召回率为0.96手动验证地面真相。
2017-07-15 cs.CR
DroidMorph: Are We Ready to Stop the Attack of Android Malware Clones?
Android恶意软件变体（克隆）的数量正在增加，为了阻止这种克隆攻击，我们需要开发新的方法和技术来分析和检测它们。作为第一步，我们需要研究这些恶意软件克隆是如何生成的。这将帮助我们更好地预测和识别这些克隆。在本文中，我们提出了一个新的工具，名为DroidMorph，提供变形的Android应用程序（APK）在不同层次的抽象，并可用于创建Android应用程序（恶意软件/良性）克隆。作为一个案例研究，我们执行测试和评估当前的商业反恶意软件产品对DroidMorph生成的Android恶意软件克隆攻击的弹性。我们发现，17个领先的商业反恶意软件程序中有8个无法检测到任何变形的APK。我们希望DroidMorph将用于未来的研究，以改善Android恶意软件克隆的分析和检测，并帮助阻止它们。
2021-06-17 cs.CR
Android Malware Detection: an Eigenspace Analysis Approach
随着融合了日益复杂的规避技术的新菌株的出现，缓解Android恶意软件的战斗变得更加关键，这反过来又需要更先进的检测功能。因此，在本文中，我们提出并评估了一个基于机器学习的方法，基于特征空间分析的Android恶意软件检测使用的功能来自Android应用程序的静态分析表征。实际恶意软件和良性样本数据集的实证评估表明，使用该方法可以实现超过96%的检测率和非常低的误报率。
2016-07-27 cs.CR
Improving Android Malware Detection Through Data Augmentation Using Wasserstein Generative Adversarial Networks
Northwestern Polytechnical University（西北工业大学）
提出将 Android 恶意软件特征转为灰度图像并用 WGAN 等生成合成数据增强 CNN 训练，实验表明其可提升检测性能 1.5%–7%，F1 最高达 0.975。
2024-03-05 cs.AI cs.CR
Automatic Investigation Framework for Android Malware Cyber-Infrastructures
Android系统的普及，不仅在手机设备中，而且在物联网设备中，使其成为恶意软件非常有吸引力的目的地。事实上，恶意软件正在以类似的速度扩张，目标是在大多数情况下依赖互联网正常工作的设备。最先进的恶意软件缓解解决方案主要集中在使用动态和静态分析特征来区分恶意应用程序和良性应用程序的实际恶意Android应用程序的检测上。然而，Android恶意应用程序的互联网/网络维度的覆盖范围很小。在本文中，我们提出了ToGather，一个自动调查框架，以Android恶意软件样本，作为输入，并产生一个关于这些样本家庭的恶意网络基础设施的情况意识。ToGather利用最先进的图论技术来生成可操作的粒度智能，以减轻Android恶意软件应用程序的恶意互联网活动所带来的威胁。我们对来自不同Android家族的真实恶意软件样本进行了ToGather实验，获得的结果非常有趣，非常有前途
2018-06-23 cs.CR
Analysis, Detection, and Classification of Android Malware using System Calls
随着Android在过去十年中的日益普及，Android在用户和攻击者中很受欢迎。大量的android用户吸引了android攻击者的注意力。由于android恶意软件的种类和攻击技术的不断发展，我们的检测方法也需要更新。研究者的工作大多是基于静态特征，很少关注动态特征。在本文中，我们通过使用系统调用检测Android恶意软件来填补文献空白。我们正在使用模拟器检测恶意软件的监控和控制环境中运行恶意应用程序。恶意行为在其运行期间通过一些模拟事件来激活其敌对行为。在应用程序运行时收集的恶意软件将被分析并提供给不同的机器学习模型，用于恶意软件的检测和家族分类。结果表明，K-最近邻和决策树分别给出了最高的准确率在恶意软件检测和家庭分类。
2022-08-12 cs.CR
DySign: Dynamic Fingerprinting for the Automatic Detection of Android Malware
Android操作系统的惊人普及，不仅在智能手机和平板电脑中，而且在物联网设备中，使这个操作系统成为恶意软件威胁的非常诱人的目标。事实上，后者正在以类似的速度扩张。在这方面，恶意软件指纹，无论是基于加密还是模糊散列，都是抵御此类攻击的第一道防线。模糊散列指纹适用于捕获恶意软件静态特征。此外，它们对恶意软件文件的实际静态内容的微小变化更具弹性。另一方面，动态分析是另一种恶意软件检测技术，它使用仿真环境来提取Android恶意软件的行为特征。然而，据我们所知，没有这样的指纹技术，利用动态分析，并将作为第一个防御Android恶意软件攻击。在本文中，我们解决了以下问题：我们可以生成有效的指纹Android恶意软件通过动态分析？为此，我们提出了DySign，一种新的技术指纹Android恶意软件的动态行为。这是通过从对现有已知恶意软件的恶意软件样本的动态分析生成摘要来实现的。值得一提的是：（i）DySign指纹近似于动态分析期间观察到的行为，以便实现对未来恶意软件变体行为中的微小变化的弹性;（ii）指纹计算与分析的恶意软件样本或系列无关。DySign利用最先进的自然语言处理（NLP）技术来生成上述指纹，然后利用这些指纹构建具有家庭归属的增强型Android恶意软件检测系统。
2017-02-19 cs.CR
Resilient and Adaptive Framework for Large Scale Android Malware Fingerprinting using Deep Learning and NLP Techniques
Android恶意软件检测是一个严重的问题，影响了现有市场中使用数百万Android应用程序（应用程序）的数十亿用户。本文提出了PetaDroid，一个准确的Android恶意软件检测和家庭聚类的框架上的静态分析。PetaDroid自动适应Android恶意软件和随着时间的推移与常见的二进制混淆技术的弹性良性变化。该框架采用了基于自然语言处理（NLP）和机器学习技术的新技术，以实现准确、自适应和弹性的Android恶意软件检测和家族聚类。PetaDroid使用卷积神经网络（CNN）的集成来识别恶意软件。该框架利用使用深度神经自动编码器生成的样本特征聚类将检测到的恶意软件样本聚类到恶意软件家族组中。为了适应变化，PetaDroid在部署过程中利用检测置信概率自动收集扩展数据集，并定期使用它们来构建新的恶意软件检测模型。此外，PetaDroid在训练过程中使用代码片段随机化，以增强对常见混淆技术的弹性。我们在多个参考数据集上广泛评估了PetaDroid。PetaDroid在不同的评估设置下实现了高检测率（98- 99%f1评分），在生成的聚类中具有高同质性（96%）。我们与最先进的解决方案MaMaDroid、DroidAPIMiner、MalDozer进行了彻底的定量比较，其中PetaDroid在所有评估设置下都优于它们。
2021-05-27 cs.CR
FamDroid: Learning-Based Android Malware Family Classification Using Static Analysis
Android是目前世界上使用最广泛的智能手机平台。由于其流行性和开源性，Android恶意软件近年来增长迅速，给用户的隐私带来了极大的风险。恶意软件家族中的恶意软件应用可以具有共同的特征和类似的行为，这对于恶意软件检测和检查是有益的。因此，将Android恶意软件分类到其相应的家族中是恶意软件分析中的重要任务。目前，现有Android恶意软件家族分类研究工作存在的主要问题在于，提取的特征不足以代表恶意软件家族中恶意软件的共同行为特征，且利用单一分类器或静态集成分类器进一步提高分类精度受到限制。在本文中，我们提出了FamDroid，一个基于学习的Android恶意软件家族分类方案，使用静态分析技术。在FamDroid中，从恶意软件应用程序的apk文件中提取显式功能，包括权限、硬件组件、应用程序组件、意图过滤器。此外，从提取的API中生成的隐藏特征用于表示应用程序中的API调用关系。然后，我们设计了一个自适应加权集成分类器，它考虑了样本对每个基分类器的适应性，进行准确的恶意软件家族分类。我们在包含5560个Android恶意应用程序的Drebin数据集上进行了实验。通过与5种传统的机器学习模型和4种最先进的参考方案的比较，证明了FamDroid的优越性。FamDroid可以正确地将98.92%的恶意软件样本分类到它们的家族中，并达到99.12%的F1分数。
2021-01-29 cs.CR
A Longitudinal Study of Cryptographic API: a Decade of Android Malware
密码技术已广泛用于Android应用程序中，以保证安全通信，隐藏关键数据以防止逆向工程，或确保移动用户的隐私。Android的各种基于系统和第三方的库都提供了加密功能，以前的工作主要是探讨在良性应用程序中滥用加密API。然而，加密API的作用尚未在Android恶意软件中被探索。本文对Android恶意软件中的加密API进行了全面的纵向分析。特别是，我们分析了在$2012$和$2020$之间发布的$603\,937$ Android应用程序（其中一半是恶意的，一半是良性的），收集了超过100万个加密API表达式。我们的研究结果揭示了有趣的趋势和见解，如何以及为什么在Android恶意软件中使用加密技术。例如，我们指出了弱散列函数的广泛使用和从不安全的DES到AES的后期过渡。此外，我们表明，密码相关的特性可以帮助提高基于学习的系统在检测恶意应用程序的性能。
2022-07-06 cs.CR
Android Malware Family Classification Based on Resource Consumption over Time
当今绝大多数移动恶意软件都针对Android设备。这推动了过去几年Android恶意软件分析的研究工作。恶意软件分析的一个重要任务是将恶意软件样本分类到已知的家族中。已知静态恶意软件分析不足以对抗改变恶意软件的静态特性（例如，代码混淆）的技术，而动态分析已被证明对抗此类技术是有效的。据我们所知，纯粹基于动态分析的Android恶意软件家族分类最值得注意的工作是DroidScribe。对于DroidScribe，我们的方法更容易复制。我们的方法只使用公开可用的工具，不需要对模拟环境或Android操作系统进行任何修改，并且可以从物理设备收集数据。后者是一个关键因素，因为现代移动恶意软件可以检测模拟环境并隐藏其恶意行为。我们的方法依赖于proc文件系统提供的资源消耗度量。通过去趋势波动分析和相关性提取特征。最后，一个SVM分类恶意软件到家庭。我们对Drebin数据集的恶意软件样本进行了实验评估，获得了82%的分类准确率，证明我们的方法达到了与DroidScribe相当的准确率。此外，我们公开了我们开发的软件，以便于我们结果的重现性。
2017-09-04 cs.CR
Flexible Android Malware Detection Model based on Generative Adversarial Networks with Code Tensor
Alibaba Group（阿里巴巴集团）；Huazhong University of Science and Technology（华中科技大学）；Xi’an International Studies University（西安外国语大学）
恶意软件威胁的行为正在逐渐增加，提高了对恶意软件检测的需求。然而，现有的恶意软件检测方法仅针对已有的恶意样本，对新的恶意代码和恶意代码变种的检测能力有限。在本文中，我们提出了一种新的方案，检测恶意软件及其变种有效。基于生成对抗网络（GANs）的思想，获取符合真实恶意软件特征的“真实”样本分布，利用它们欺骗恶意软件，从而实现对恶意代码攻击的防御，提高恶意软件检测能力。首先，提出了一种新的Android恶意软件APK对图像纹理特征提取的分割方法--分段自生长纹理分割算法。其次，基于低秩的张量奇异值分解（tSVD）将不同大小的恶意特征统一转换为固定的三阶张量，输入神经网络进行训练学习。最后，提出了一种基于带代码张量的GANs（MTFD-GANs）的Android恶意软件检测模型。实验结果表明，该模型总体上优于传统的恶意软件检测模型，最高效率提高了41.6%.同时，GANs生成器新生成的样本极大地丰富了样本多样性。对恶意软件检测器进行再训练，可以有效提高传统模型的检测效率和鲁棒性。
2022-10-25 cs.AI cs.CR cs.LG
Robust Android Malware Detection System against Adversarial Attacks using Q-Learning
BITS Pilani（比尔拉科学技术学院）；Microsoft（微软）
当前最先进的Android恶意软件检测系统基于机器学习和深度学习模型。尽管具有优越的性能，这些模型容易受到对抗攻击。因此，在本文中，我们开发了八种基于机器学习和深度神经网络的Android恶意软件检测模型，并研究了它们对对抗攻击的鲁棒性。为此，我们使用强化学习创建了新的恶意软件变体，这些变体将被现有的Android恶意软件检测模型错误分类为良性。我们提出了两种新的攻击策略，即使用强化学习的白盒和灰盒场景下的单策略攻击和多策略攻击。站在对手的立场上，我们设计了针对检测模型的对抗攻击，目标是最大化欺骗率，同时对Android应用程序进行最少的修改，并确保应用程序的功能和行为不会发生变化。我们在所有8个检测模型中分别实现了44.21%和53.20%的平均欺骗率，最多使用单策略攻击和多策略攻击进行5次修改。采用多策略方法，对基于决策树的模型进行了5次修改，取得了86.09%的最高欺骗率。最后，我们提出了一种对抗性防御策略，该策略可以将针对单个策略攻击的平均欺骗率降低三倍至15.22%，从而提高检测模型的鲁棒性，即所提出的模型可以有效地检测恶意软件的变体（变形）。实验分析表明，我们提出的基于强化学习的Android恶意软件检测系统对对抗攻击具有更强的鲁棒性。
2021-01-27 cs.AI cs.CR cs.LG
Creating Android Malware Knowledge Graph Based on a Malware Ontology
本文通过扩展现有恶意软件本体提出AndMalOnt，并基于MalwareBazaar报告构建覆盖2600余个安卓恶意软件样本的开源知识图谱，以系统化组织威胁情报。
2023-08-04 cs.CR
Android-COCO: Android Malware Detection with Graph Neural Network for Byte- and Native-Code
随着Android的普及率呈指数级增长，恶意软件的数量也大幅激增。这可以说是移动平台上最具病毒性的问题之一。最近，已经引入了各种方法来检测Android恶意软件，其中大多数是基于Manifest File功能或结构信息，例如控制流图和API调用。在这些方法中，几乎所有的方法都只考虑Java字节码作为检测恶意行为的目标。然而，最近的研究和我们自己的统计数据表明，原生负载通常用于良性和恶意应用程序。当前最先进的Android静态分析工具避免处理本机方法调用。这些工具都不具备捕捉语际行为的能力。在这项工作中，我们探讨了合奏机制，它提出了如何结合字节码和原生代码分析的Android应用程序可以有效地用于应付先进的复杂的Android恶意软件。因此，我们提出了一种多层方法，该方法利用深度学习，自然语言处理（NLP）以及图形嵌入技术来处理来自Java字节码和本机代码的Android恶意软件的威胁。在此基础上，设计了一个集成算法，得到了恶意软件检测系统的最终结果。具体来说，我们的检测方法的第一层操作的应用程序的字节码和本地代码的水平，而第二层侧重于集成算法。在100，113个样本（35，113个恶意软件和65，000个良性）上的大规模实验表明，仅字节码子系统的准确率为99.8%，本机代码子系统的准确率为96.6%，而Android-COCO方法的准确率为99.86%，优于各种相关工作。
2022-01-24 cs.CR
Analysis of Bayesian Classification based Approaches for Android Malware Detection
移动恶意软件的规模和复杂性一直在增长，这是由全球智能手机的持续增长所推动的。Android正在迅速成为最受欢迎的移动平台，导致针对该平台的恶意软件急剧增加。此外，Android恶意软件正在迅速发展，以逃避传统的基于签名的扫描检测。尽管目前的检测措施到位，及时发现新的恶意软件仍然是一个关键问题。这就需要新的方法来缓解零日Android恶意软件日益增长的威胁。因此，在本文中，我们开发和分析基于贝叶斯分类的主动机器学习方法，旨在通过静态分析发现未知的Android恶意软件。该研究基于大多数现有系列的大型恶意软件样本集，展示了高准确性的检测能力。实证结果和比较分析提供了有用的洞察力，有效的静态分析贝叶斯分类为基础的解决方案，用于检测未知的Android恶意软件的发展。
2016-08-20 cs.CR cs.LG
DroidNative: Semantic-Based Detection of Android Native Code Malware
根据赛门铁克和F-Secure的威胁报告，2013年和2014年的移动恶意软件开发几乎完全集中在Android平台上。恶意软件编写者正在应用隐形突变（混淆）来创建恶意软件变体，从而阻碍基于签名的检测器的检测。此外，利用静态分析技术来检测这种变体的过多的更复杂的检测器仅在字节码级别操作，这意味着嵌入在本机代码中的恶意软件未被检测到。最近的一项研究表明，86%的最流行的Android应用程序包含本机代码，这使得这成为一个看似合理的威胁。本文提出了DroidNative，一个Android恶意软件检测器，使用特定的控制流模式来减少混淆的影响，提供自动化和平台独立性，据我们所知，它是第一个在Android本机代码级别运行的系统，允许它检测嵌入在本机代码和字节码中的恶意软件。当使用传统的恶意软件变体进行测试时，它的检测率（DR）为99.48%，而学术和商业工具的DR范围为8.33% -93.22%。当使用2240个样本的数据集进行测试时，DroidNative的DR为99.16%，假阳性率为0.4%，平均检测时间为26.87秒/样本。
2016-02-21 cs.CR
DroidAnalytics: A Signature Based Analytic System to Collect, Extract, Analyze and Associate Android Malware
智能手机和移动设备正迅速成为许多用户不可或缺的设备。不幸的是，它们也成为黑客部署恶意软件和传播病毒的肥沃土壤。有一个迫切需要有一个“安全分析和取证系统”，可以方便分析师检查，解剖，关联和关联大量的移动应用程序。一个有效的分析系统需要解决以下问题：如何自动收集和管理大量的移动恶意软件？如何分析零日可疑应用程序，并将其与数据库中现有的恶意软件家族进行比较或关联？如何执行信息检索以揭示与现有恶意软件相似的恶意逻辑，并快速识别新的恶意代码段？在本文中，我们提出了DroidAnalytics的设计和实现，基于签名的分析系统，自动收集，管理，分析和提取Android恶意软件。该系统便于分析人员在“操作码级别”检索、关联和揭示恶意逻辑。我们使用150，368个Android应用程序证明了DroidAnalytics的有效性，并成功确定了来自102个不同家族的2，494个Android恶意软件，其中342个是来自6个不同家族的零日恶意软件样本。据我们所知，这是第一个报告的案例，显示了如此大的Android恶意软件分析/检测。评估表明DroidAnalytics是一个有价值的工具，在分析恶意软件重新包装和突变方面非常有效。
2013-09-23 cs.CR
GANG-MAM: GAN based enGine for Modifying Android Malware
University of Kerala（喀拉拉大学）；University of Sannio（桑尼奥大学）；Cochin University of Science and Technology（科钦科技大学）
基于机器学习的恶意软件检测器容易受到对抗攻击的攻击。生成对抗网络（GAN）是基于神经网络的架构，可以生成成功的对抗样本。对这项技术的兴趣正在迅速增长。在本文中，我们提出了一个系统，产生一个特征向量，使Android恶意软件强烈回避，然后相应地修改恶意程序。这样的系统可以有双重贡献：它可以用来生成数据集，以验证检测基于GAN的恶意软件的系统，并扩大训练和测试数据集，以制作更强大的恶意软件分类器。
2021-09-27 cs.AI cs.CR cs.LG
When the Guard failed the Droid: A case study of Android malware
Android恶意软件是全球数十亿用户的持续威胁。作为一种对策，偶尔会实施Android恶意软件检测系统。然而，这些系统通常易受\emph{evasion attacks}攻击，在这种攻击中，攻击者操纵恶意实例，从而将它们误认为是良性的。在本文中，我们针对几个Android恶意软件检测系统推出了各种创新的规避攻击。所有这些系统固有的漏洞是，它们是Androguard~ \cite{desnos2011androguard}的一部分，这是一个流行的开源库，用于Android恶意软件检测系统。一些检测系统在攻击后检测率下降到0。因此，在恶意软件检测系统中使用开源库需要谨慎。此外，我们提出了一种新的评估方案规避攻击生成，利用已知的Android恶意软件检测系统的弱点。通过这样做，我们评估了规避攻击所创建的操纵实例的功能和恶意性。我们发现，在恶意和功能测试我们操纵的应用程序的变化。我们表明，非功能性的应用程序，而被认为是恶意的，不威胁用户，因此从攻击者的角度来看是无用的。我们的结论是，规避攻击必须评估功能和恶意，以评估其影响，这是一个步骤，这是远远不常见的今天。
2020-03-31 cs.CR
Stimulation and Detection of Android Repackaged Malware with Active Learning
重新打包是一种越来越多的Android恶意软件作者采用的技术。研究社区在设计检测这种恶意软件的技术时面临的主要问题是缺乏准确定位良性应用程序中嫁接的恶意片段的基本事实。如果没有这些关键知识，就很难训练可靠的分类器，能够有效地对新的、样本外重新打包的恶意软件进行分类。为了解决这个问题，我们认为，可靠的分类器可以被训练来检测重新包装的恶意软件，如果他们被允许请求新的，更准确的表示应用程序的行为。这种学习技术被称为主动学习。在本文中，我们提出了使用主动学习训练分类器，能够应付重新包装的恶意软件的模棱两可的性质。我们实现了一个架构，永恒之塔，连接的过程中，刺激和检测重新包装的恶意软件使用反馈回路描绘主动学习。我们使用两个恶意软件数据集（Malgenome和Piggybacking）对Aion的示例实现进行了评估，结果表明，主动学习的性能优于传统的检测技术，因此在检测Android重新打包的恶意软件方面具有很大的潜力。
2018-08-03 cs.CR
Interpretable by Design: MH-AutoML for Transparent and Efficient Android Malware Detection without Compromising Performance
Federal University of Amazonas (UFAM)（亚马逊联邦大学）；Federal University of Pampa (UNIPAMPA)（帕尔马联邦大学）
提出MH-AutoML框架，通过自动化ML流水线并集成可解释性、调试和实验跟踪功能，在保持计算效率的同时提升Android恶意软件检测的透明度、召回率与控制力。
2025-06-29 cs.AI cs.CR
Eight Years of Rider Measurement in the Android Malware Ecosystem: Evolution and Lessons Learned
尽管Android恶意软件构成的威胁越来越大，但研究社区仍然缺乏对平台上活跃的恶意软件家族暴露的常见行为和趋势的全面了解。如果没有这样的观点，研究人员就有可能开发出只检测过时威胁的系统，而忽略了最新的威胁。在本文中，我们对Android恶意软件行为进行了迄今为止最大规模的测量，分析了八年内（从2010年到2017年）属于1.2K系列的120多万个恶意软件样本。我们的目标是了解Android恶意软件的行为如何随着时间的推移而演变，重点是重新包装恶意软件。在这种类型的威胁中，不同的无害应用程序都带有恶意负载（骑手），允许廉价的恶意软件制造。研究重新打包的恶意软件时面临的主要挑战之一是将应用程序切片，将良性组件与恶意组件分开。为了解决这个问题，我们使用差异分析来隔离与活动无关的软件组件，并单独研究恶意骑手的行为。我们的分析框架依赖于集体知识库和从多个反病毒供应商提取的情报系统化的最新进展。我们发现，自2010年起步以来，Android恶意软件生态系统已经发生了显着变化，无论是恶意样本执行的恶意活动类型，还是恶意软件为避免检测而使用的混淆级别。然后，我们表明，我们的框架可以帮助分析师谁试图研究未知的恶意软件家族。最后，我们讨论了我们的研究结果对Android恶意软件检测研究的意义，强调了研究社区需要进一步关注的领域。
2020-03-19 cs.CR
Android Malware Detection Using Autoencoder
North China Electric Power University（华北电力大学）
智能手机已经成为人类生活中不可或缺的一部分。智能手机统一了各种先进的特性。它使用户能够存储各种数据，如照片，健康数据，凭证银行数据和个人信息。Android操作系统是流行的移动操作系统，同时也是恶意软件开发者最有针对性的操作系统。最近，Android恶意软件的空前发展给研究人员带来了压力，要求他们提出有效的方法来抑制恶意软件的传播。在本文中，我们提出了一种用于Android恶意软件检测的深度学习方法。该方法研究了五种不同的特征集，并应用Autoencoder来识别恶意软件。实验结果表明，该方法能够有效地识别恶意软件，具有较高的准确率。
2019-01-14 cs.CR cs.LG
Detecting and Classifying Android Malware using Static Analysis along with Creator Information
每天都有数以千计的恶意应用程序针对移动设备，包括流行的Android平台。这些应用程序中有很大一部分是由少数专业的地下行为者创建的，但是以前的研究忽略了这些信息作为检测和分类恶意软件以及将恶意软件归因于创建者的特征。在此基础上，我们提出了一种方法，通过将创建者的信息作为一个特征，并将恶意应用程序分类到类似的组中，来提高Android恶意软件检测的性能。我们开发了一个在实践中实现这种方法的系统。我们的系统可以通过使用创建者的信息，如证书的序列号快速检测恶意软件。此外，它还分析恶意行为者和权限，以提高检测准确性。该系统还可以基于相似性评分对恶意软件进行分类。最后，我们分别以98%和90%的准确率展示了检测和分类性能。
2019-03-02 cs.CR
On labeling Android malware signatures using minhashing and further classification with Structural Equation Models
Universidad Carlos III de Madrid（马德里卡洛斯三世大学）；Telefónica Digital Identity & Privacy（西班牙电信数字身份与隐私部门）
多扫描程序防病毒系统提供有关可疑应用程序性质的深入信息;然而，不同的防病毒引擎之间往往缺乏共识和一致性。在这篇文章中，我们分析了超过25万恶意软件签名生成的61个不同的反病毒引擎后，分析了82万不同的Android恶意软件应用程序。我们确定了41种不同的恶意软件类别，分为三大类，即广告软件，有害威胁和未知或通用签名。我们进一步调查这41类之间的关系，使用社区发现算法从图论中识别它们之间的相似性，我们最后提出了一个结构方程模型，以确定哪些反病毒引擎更强大的检测每个宏类别。作为一个应用程序，我们展示了这些模型如何帮助识别未知恶意软件应用程序是否更有可能是有害的或广告软件类型。
2017-09-13 cs.AI cs.CR stat.ML
LAMD: Context-driven Android Malware Detection and Classification with LLMs
University College London（伦敦大学学院）；University of Hong Kong（香港大学）
针对安卓恶意软件检测中LLM上下文限制与结构复杂性问题，提出LAMD框架，通过关键上下文提取和分层代码推理实现有效检测与解释，在真实环境中优于传统方法。
2025-04-21 cs.AI cs.CR cs.LG
Contrastive Learning for Robust Android Malware Familial Classification
Android操作系统由于其开放源代码的特性，一直是攻击者利用的主要目标。恶意软件创建者总是在他们的应用程序上执行不同的代码混淆来隐藏恶意活动。通过程序分析从这些混淆样本中提取的特征包含许多无用和伪装的特征，这导致了许多假阴性。为了解决这个问题，在本文中，我们证明了混淆弹性恶意软件家族分析可以通过对比学习来实现。我们的分析背后的关键见解是，对比学习可以用来减少混淆所引入的差异，同时放大恶意软件和其他类型的恶意软件之间的差异。基于所提出的分析，我们设计了一个系统，可以实现强大的和可解释的Android恶意软件分类。为了实现鲁棒的分类，我们对恶意软件样本执行对比学习，以学习可以从恶意软件样本中自动提取鲁棒特征的编码器。为了实现可解释的分类，我们通过中心性分析将样本的函数调用图转化为图像。然后，可以通过可视化技术获得相应的热图。这些热图可以帮助用户理解为什么恶意软件被归类为这个家族。我们实现了\emph{IFDroid}，并在两个数据集上进行了广泛的评估。实验结果表明，\emph{IFDroid}优于最先进的Android恶意软件家族分类系统。此外，\emph{IFDroid}能够在分类69，421个混淆恶意软件样本时保持98.4\%的F1。
2022-11-01 cs.CR
Android Malware Detection based on Factorization Machine
近年来，随着Android智能手机的普及，恶意应用程序的数量也在增加。由于手机用户面临的数据盗窃的可能性，Android设备上恶意软件的检测已经成为网络安全中越来越重要的问题。基于签名的例程等传统方法无法保护用户免受新型Android恶意软件日益复杂和快速行为变化的影响。因此，最近已经做出了大量努力来使用机器学习模型和方法来表征和概括移动应用的恶意行为模式以用于恶意软件检测。在本文中，我们提出了一种新的和高度可靠的分类器，用于Android恶意软件检测的基础上因式分解机架构和Android应用程序的功能，从清单文件和源代码的提取。我们的研究结果表明，应用程序的数字特征表示通常会导致长且高度稀疏的向量，并且不同特征之间的交互对于揭示恶意行为模式至关重要。在进行了广泛的性能评估后，我们提出的方法在DREBIN数据集上获得了100.00%的准确率，在AMD数据集上获得了99.22%的准确率，只有1.10%的假阳性率。这些指标与最先进的基于机器学习的Android恶意软件检测方法和几种商业防病毒引擎的性能相匹配，其优点是训练速度快50倍。
2019-08-13 cs.CR
Don't Pick the Cherry: An Evaluation Methodology for Android Malware Detection Methods
在评估检测方法时，恶意软件研究社区依赖于从在线平台（如VirusTotal）获得的扫描结果。然而，由于缺乏如何解释所获得的数据来标记应用程序的标准，研究人员依靠他们的直觉并采用不同的标记方案。VirusTotal结果的动态性以及采用不同的标记方案会显著影响任何给定检测方法（即使是在同一数据集上）所实现的准确性，这会对方法的性能产生主观看法，并阻碍不同恶意软件检测技术的比较。在本文中，我们使用超过30，000个真实的Android应用程序，演示了不同的（1）时间，（2）标签方案和（3）攻击场景对Android重新打包的恶意软件检测方法（称为dejavu）的整体性能的影响。我们的研究结果生动地显示了上述3个维度对dejavu性能的影响。有了这样的结果，我们鼓励采用一种标准方法，在评估新设计的检测Android（重新打包）恶意软件的方法时考虑到这三个方面。
2019-03-25 cs.CR
Droidetec: Android Malware Detection and Malicious Code Localization through Deep Learning
Android恶意软件检测是构建安全可信系统的关键一步。特别是对潜在恶意代码的人工搜索一直困扰着程序分析人员。在本文中，我们提出了Droidetec，一种基于深度学习的Android恶意软件检测和恶意代码定位方法，将应用程序建模为自然语言序列。Droidetec采用了一种新颖的特征提取方法，从Android应用程序中获取行为序列。在此基础上，利用双向长短期记忆网络进行恶意软件检测。提取的行为序列中的每个单元都被创造性地表示为向量，这使得Droidetec能够自动分析序列片段的语义，并最终找到恶意代码。对9616个恶意程序和11982个良性程序的实验表明，Droidetec达到了97.22%的准确率和98.21%的F1分数。总的来说，Droidetec在正确查找恶意代码段方面的命中率为91%。
2020-02-10 cs.CR
Characterization of Android malware based on opcode analysis
Android操作系统是世界上最流行的移动平台。因此，攻击者正在为Android制作数量惊人的恶意软件应用程序。我们的目标是检测Android的恶意软件，以保护用户。要做到这一点，通过软件的动态分析可以获得真正好的结果，但它需要复杂的环境。为了达到相同的精度水平，我们分析了机器码和调查的频率的ngrams的操作码，以检测奇异码块。这使我们能够构建受感染代码块的数据库。然后，由于攻击者可能会修改和组织不同的感染注入的代码在他们的新的恶意软件，我们不仅执行测试软件与受感染的代码块的数据库的语义比较，但也结构化的比较。为了进行这种比较，我们计算子图同构。它使我们能够精确地描述测试软件是否是恶意软件，如果是，它属于女巫家族。我们的方法进行了测试，实验室数据库和一组真实的数据。它实现了几乎完美的检测率。
2021-04-08 cs.CR
CorrNetDroid: Android Malware Detector leveraging a Correlation-based Feature Selection for Network Traffic features
本文提出基于动态网络流量分析的Android恶意软件检测系统CorrNetDroid，通过结合crRelevance和NMRS度量提出新的特征选择算法筛选最优特征子集，仅用两个特征即达99.50%准确率，优于现有统计检验和最先进技术。
2025-03-03 cs.CR cs.MM
Characterization of Android malware based on subgraph isomorphism
Android操作系统是世界上最流行的移动平台。因此，攻击者正在为Android制作数量惊人的恶意软件应用程序。我们的目标是检测Android的恶意软件，以保护用户。要做到这一点，通过软件的动态分析可以获得真正好的结果，但它需要复杂的环境。为了达到相同的精度水平，我们分析了机器码和调查的频率的ngrams的操作码，以检测奇异码块。这使我们能够构建受感染代码块的数据库。然后，由于攻击者可能会修改和组织不同的感染注入的代码在他们的新的恶意软件，我们不仅执行测试软件与受感染的代码块的数据库的语义比较，但也结构化的比较。为了进行这种比较，我们计算子图同构。它使我们能够精确地描述测试软件是否是恶意软件，如果是，它属于女巫家族。我们的方法进行了测试，实验室数据库和一组真实的数据。它实现了几乎完美的检测率。
2021-04-08 cs.CR
Feature-Centric Approaches to Android Malware Analysis: A Survey
本综述系统分析了静态、动态、混合及基于图方法的Android恶意软件特征提取技术，比较了各自的优劣权衡，并提出了未来增强IoT环境下检测可扩展性与安全性的研究路线图。
2025-09-12 cs.CR
Deep Learning for Android Malware Defenses: a Systematic Literature Review
Monash University（莫纳什大学）；Southern University of Science and Technology（南方科技大学）
恶意应用程序（特别是针对Android平台的应用程序）对开发人员和最终用户构成严重威胁。许多研究工作致力于开发有效的方法来防御Android恶意软件。然而，鉴于Android恶意软件的爆炸式增长以及混淆和反射等恶意规避技术的不断进步，基于手动规则或传统机器学习的Android恶意软件防御方法可能无法有效。近年来，被称为深度学习（DL）的主导研究领域提供了强大的特征提取能力，在诸如自然语言处理和计算机视觉的各种领域中已经展示了引人注目的和有前途的性能。为此，采用深度学习技术来阻止Android恶意软件攻击最近引起了相当大的研究关注。然而，目前还没有针对Android恶意软件防御的深度学习方法的系统性文献综述。在本文中，我们进行了系统的文献综述，以搜索和分析深度学习方法如何应用于Android环境中的恶意软件防御。因此，确定了涵盖2014-2021年期间的共计132项研究。我们的调查显示，虽然这些来源中的大多数主要考虑基于DL的Android恶意软件检测，但53项主要研究（40.1%）基于其他场景设计防御方法。本文还讨论了基于DL的Android恶意软件防御的研究趋势、研究重点、面临的挑战和未来的研究方向。
2022-08-09 cs.CR cs.LG cs.SE
Synthetic Data: AI's New Weapon Against Android Malware
Federal University of Pampa (UNIPAMPA)（帕默大学）；Federal University of Rio Grande do Sul (UFRGS)（里奥格兰德-do-.sul大学）；Federal University of Amazonas (UFAM)（亚马逊大学）
本文提出MalSynGen方法，利用cGAN生成合成数据以提升安卓恶意软件检测性能，解决真实数据稀缺和质量低的问题。
2025-11-24 cs.AI cs.CR cs.LG
Identification of Significant Permissions for Efficient Android Malware Detection
BITS Pilani（BITS Pilani（比拉斯布尔理工学院））；Microsoft R&D（微软研发部门）
自从谷歌推出智能手机Android操作系统以来，恶意软件正以3V（即数量、速度和多样性）蓬勃发展。最近的一份报告显示，每五个企业/行业移动应用程序中就有一个泄露敏感的个人数据。传统的基于签名/密码学的恶意软件检测系统无法应对当前的恶意软件挑战，从而威胁到Android生态系统。因此，最近研究人员已经开始探索基于机器学习和深度学习的恶意软件检测系统。在本文中，我们进行了全面的特征分析，以确定显着的Android权限，并提出了一个有效的Android恶意软件检测系统，使用机器学习和深度神经网络。我们构建了一组$16$权限（总集合的$8\%$），这些权限来自方差阈值、自动编码器和主成分分析，以构建一个恶意软件检测引擎，该引擎消耗较少的训练和测试时间，而不会显著影响模型准确性。实验结果表明，基于随机森林分类器的Android恶意软件检测模型是最均衡的，达到了最高的曲线下面积分数$97.7\%$，优于当前最先进的系统。我们还观察到，深度神经网络达到了与基线结果相当的准确性，但计算量很大。
2021-02-28 cs.CR cs.LG
