FamDroid: Learning-Based Android Malware Family Classification Using Static Analysis
Android是目前世界上使用最广泛的智能手机平台。由于其流行性和开源性，Android恶意软件近年来增长迅速，给用户的隐私带来了极大的风险。恶意软件家族中的恶意软件应用可以具有共同的特征和类似的行为，这对于恶意软件检测和检查是有益的。因此，将Android恶意软件分类到其相应的家族中是恶意软件分析中的重要任务。目前，现有Android恶意软件家族分类研究工作存在的主要问题在于，提取的特征不足以代表恶意软件家族中恶意软件的共同行为特征，且利用单一分类器或静态集成分类器进一步提高分类精度受到限制。在本文中，我们提出了FamDroid，一个基于学习的Android恶意软件家族分类方案，使用静态分析技术。在FamDroid中，从恶意软件应用程序的apk文件中提取显式功能，包括权限、硬件组件、应用程序组件、意图过滤器。此外，从提取的API中生成的隐藏特征用于表示应用程序中的API调用关系。然后，我们设计了一个自适应加权集成分类器，它考虑了样本对每个基分类器的适应性，进行准确的恶意软件家族分类。我们在包含5560个Android恶意应用程序的Drebin数据集上进行了实验。通过与5种传统的机器学习模型和4种最先进的参考方案的比较，证明了FamDroid的优越性。FamDroid可以正确地将98.92%的恶意软件样本分类到它们的家族中，并达到99.12%的F1分数。
2021-01-29 cs.CR
A Longitudinal Study of Cryptographic API: a Decade of Android Malware
密码技术已广泛用于Android应用程序中，以保证安全通信，隐藏关键数据以防止逆向工程，或确保移动用户的隐私。Android的各种基于系统和第三方的库都提供了加密功能，以前的工作主要是探讨在良性应用程序中滥用加密API。然而，加密API的作用尚未在Android恶意软件中被探索。本文对Android恶意软件中的加密API进行了全面的纵向分析。特别是，我们分析了在$2012$和$2020$之间发布的$603\,937$ Android应用程序（其中一半是恶意的，一半是良性的），收集了超过100万个加密API表达式。我们的研究结果揭示了有趣的趋势和见解，如何以及为什么在Android恶意软件中使用加密技术。例如，我们指出了弱散列函数的广泛使用和从不安全的DES到AES的后期过渡。此外，我们表明，密码相关的特性可以帮助提高基于学习的系统在检测恶意应用程序的性能。
2022-07-06 cs.CR
Android Malware Family Classification Based on Resource Consumption over Time
当今绝大多数移动恶意软件都针对Android设备。这推动了过去几年Android恶意软件分析的研究工作。恶意软件分析的一个重要任务是将恶意软件样本分类到已知的家族中。已知静态恶意软件分析不足以对抗改变恶意软件的静态特性（例如，代码混淆）的技术，而动态分析已被证明对抗此类技术是有效的。据我们所知，纯粹基于动态分析的Android恶意软件家族分类最值得注意的工作是DroidScribe。对于DroidScribe，我们的方法更容易复制。我们的方法只使用公开可用的工具，不需要对模拟环境或Android操作系统进行任何修改，并且可以从物理设备收集数据。后者是一个关键因素，因为现代移动恶意软件可以检测模拟环境并隐藏其恶意行为。我们的方法依赖于proc文件系统提供的资源消耗度量。通过去趋势波动分析和相关性提取特征。最后，一个SVM分类恶意软件到家庭。我们对Drebin数据集的恶意软件样本进行了实验评估，获得了82%的分类准确率，证明我们的方法达到了与DroidScribe相当的准确率。此外，我们公开了我们开发的软件，以便于我们结果的重现性。
2017-09-04 cs.CR
Creating Android Malware Knowledge Graph Based on a Malware Ontology
本文通过扩展现有恶意软件本体提出AndMalOnt，并基于MalwareBazaar报告构建覆盖2600余个安卓恶意软件样本的开源知识图谱，以系统化组织威胁情报。
2023-08-04 cs.CR
Android-COCO: Android Malware Detection with Graph Neural Network for Byte- and Native-Code
随着Android的普及率呈指数级增长，恶意软件的数量也大幅激增。这可以说是移动平台上最具病毒性的问题之一。最近，已经引入了各种方法来检测Android恶意软件，其中大多数是基于Manifest File功能或结构信息，例如控制流图和API调用。在这些方法中，几乎所有的方法都只考虑Java字节码作为检测恶意行为的目标。然而，最近的研究和我们自己的统计数据表明，原生负载通常用于良性和恶意应用程序。当前最先进的Android静态分析工具避免处理本机方法调用。这些工具都不具备捕捉语际行为的能力。在这项工作中，我们探讨了合奏机制，它提出了如何结合字节码和原生代码分析的Android应用程序可以有效地用于应付先进的复杂的Android恶意软件。因此，我们提出了一种多层方法，该方法利用深度学习，自然语言处理（NLP）以及图形嵌入技术来处理来自Java字节码和本机代码的Android恶意软件的威胁。在此基础上，设计了一个集成算法，得到了恶意软件检测系统的最终结果。具体来说，我们的检测方法的第一层操作的应用程序的字节码和本地代码的水平，而第二层侧重于集成算法。在100，113个样本（35，113个恶意软件和65，000个良性）上的大规模实验表明，仅字节码子系统的准确率为99.8%，本机代码子系统的准确率为96.6%，而Android-COCO方法的准确率为99.86%，优于各种相关工作。
2022-01-24 cs.CR
DroidNative: Semantic-Based Detection of Android Native Code Malware
根据赛门铁克和F-Secure的威胁报告，2013年和2014年的移动恶意软件开发几乎完全集中在Android平台上。恶意软件编写者正在应用隐形突变（混淆）来创建恶意软件变体，从而阻碍基于签名的检测器的检测。此外，利用静态分析技术来检测这种变体的过多的更复杂的检测器仅在字节码级别操作，这意味着嵌入在本机代码中的恶意软件未被检测到。最近的一项研究表明，86%的最流行的Android应用程序包含本机代码，这使得这成为一个看似合理的威胁。本文提出了DroidNative，一个Android恶意软件检测器，使用特定的控制流模式来减少混淆的影响，提供自动化和平台独立性，据我们所知，它是第一个在Android本机代码级别运行的系统，允许它检测嵌入在本机代码和字节码中的恶意软件。当使用传统的恶意软件变体进行测试时，它的检测率（DR）为99.48%，而学术和商业工具的DR范围为8.33% -93.22%。当使用2240个样本的数据集进行测试时，DroidNative的DR为99.16%，假阳性率为0.4%，平均检测时间为26.87秒/样本。
2016-02-21 cs.CR
DroidAnalytics: A Signature Based Analytic System to Collect, Extract, Analyze and Associate Android Malware
智能手机和移动设备正迅速成为许多用户不可或缺的设备。不幸的是，它们也成为黑客部署恶意软件和传播病毒的肥沃土壤。有一个迫切需要有一个“安全分析和取证系统”，可以方便分析师检查，解剖，关联和关联大量的移动应用程序。一个有效的分析系统需要解决以下问题：如何自动收集和管理大量的移动恶意软件？如何分析零日可疑应用程序，并将其与数据库中现有的恶意软件家族进行比较或关联？如何执行信息检索以揭示与现有恶意软件相似的恶意逻辑，并快速识别新的恶意代码段？在本文中，我们提出了DroidAnalytics的设计和实现，基于签名的分析系统，自动收集，管理，分析和提取Android恶意软件。该系统便于分析人员在“操作码级别”检索、关联和揭示恶意逻辑。我们使用150，368个Android应用程序证明了DroidAnalytics的有效性，并成功确定了来自102个不同家族的2，494个Android恶意软件，其中342个是来自6个不同家族的零日恶意软件样本。据我们所知，这是第一个报告的案例，显示了如此大的Android恶意软件分析/检测。评估表明DroidAnalytics是一个有价值的工具，在分析恶意软件重新包装和突变方面非常有效。
2013-09-23 cs.CR
When the Guard failed the Droid: A case study of Android malware
Android恶意软件是全球数十亿用户的持续威胁。作为一种对策，偶尔会实施Android恶意软件检测系统。然而，这些系统通常易受\emph{evasion attacks}攻击，在这种攻击中，攻击者操纵恶意实例，从而将它们误认为是良性的。在本文中，我们针对几个Android恶意软件检测系统推出了各种创新的规避攻击。所有这些系统固有的漏洞是，它们是Androguard~ \cite{desnos2011androguard}的一部分，这是一个流行的开源库，用于Android恶意软件检测系统。一些检测系统在攻击后检测率下降到0。因此，在恶意软件检测系统中使用开源库需要谨慎。此外，我们提出了一种新的评估方案规避攻击生成，利用已知的Android恶意软件检测系统的弱点。通过这样做，我们评估了规避攻击所创建的操纵实例的功能和恶意性。我们发现，在恶意和功能测试我们操纵的应用程序的变化。我们表明，非功能性的应用程序，而被认为是恶意的，不威胁用户，因此从攻击者的角度来看是无用的。我们的结论是，规避攻击必须评估功能和恶意，以评估其影响，这是一个步骤，这是远远不常见的今天。
2020-03-31 cs.CR
Stimulation and Detection of Android Repackaged Malware with Active Learning
重新打包是一种越来越多的Android恶意软件作者采用的技术。研究社区在设计检测这种恶意软件的技术时面临的主要问题是缺乏准确定位良性应用程序中嫁接的恶意片段的基本事实。如果没有这些关键知识，就很难训练可靠的分类器，能够有效地对新的、样本外重新打包的恶意软件进行分类。为了解决这个问题，我们认为，可靠的分类器可以被训练来检测重新包装的恶意软件，如果他们被允许请求新的，更准确的表示应用程序的行为。这种学习技术被称为主动学习。在本文中，我们提出了使用主动学习训练分类器，能够应付重新包装的恶意软件的模棱两可的性质。我们实现了一个架构，永恒之塔，连接的过程中，刺激和检测重新包装的恶意软件使用反馈回路描绘主动学习。我们使用两个恶意软件数据集（Malgenome和Piggybacking）对Aion的示例实现进行了评估，结果表明，主动学习的性能优于传统的检测技术，因此在检测Android重新打包的恶意软件方面具有很大的潜力。
2018-08-03 cs.CR
Eight Years of Rider Measurement in the Android Malware Ecosystem: Evolution and Lessons Learned
尽管Android恶意软件构成的威胁越来越大，但研究社区仍然缺乏对平台上活跃的恶意软件家族暴露的常见行为和趋势的全面了解。如果没有这样的观点，研究人员就有可能开发出只检测过时威胁的系统，而忽略了最新的威胁。在本文中，我们对Android恶意软件行为进行了迄今为止最大规模的测量，分析了八年内（从2010年到2017年）属于1.2K系列的120多万个恶意软件样本。我们的目标是了解Android恶意软件的行为如何随着时间的推移而演变，重点是重新包装恶意软件。在这种类型的威胁中，不同的无害应用程序都带有恶意负载（骑手），允许廉价的恶意软件制造。研究重新打包的恶意软件时面临的主要挑战之一是将应用程序切片，将良性组件与恶意组件分开。为了解决这个问题，我们使用差异分析来隔离与活动无关的软件组件，并单独研究恶意骑手的行为。我们的分析框架依赖于集体知识库和从多个反病毒供应商提取的情报系统化的最新进展。我们发现，自2010年起步以来，Android恶意软件生态系统已经发生了显着变化，无论是恶意样本执行的恶意活动类型，还是恶意软件为避免检测而使用的混淆级别。然后，我们表明，我们的框架可以帮助分析师谁试图研究未知的恶意软件家族。最后，我们讨论了我们的研究结果对Android恶意软件检测研究的意义，强调了研究社区需要进一步关注的领域。
2020-03-19 cs.CR
Detecting and Classifying Android Malware using Static Analysis along with Creator Information
每天都有数以千计的恶意应用程序针对移动设备，包括流行的Android平台。这些应用程序中有很大一部分是由少数专业的地下行为者创建的，但是以前的研究忽略了这些信息作为检测和分类恶意软件以及将恶意软件归因于创建者的特征。在此基础上，我们提出了一种方法，通过将创建者的信息作为一个特征，并将恶意应用程序分类到类似的组中，来提高Android恶意软件检测的性能。我们开发了一个在实践中实现这种方法的系统。我们的系统可以通过使用创建者的信息，如证书的序列号快速检测恶意软件。此外，它还分析恶意行为者和权限，以提高检测准确性。该系统还可以基于相似性评分对恶意软件进行分类。最后，我们分别以98%和90%的准确率展示了检测和分类性能。
2019-03-02 cs.CR
Contrastive Learning for Robust Android Malware Familial Classification
Android操作系统由于其开放源代码的特性，一直是攻击者利用的主要目标。恶意软件创建者总是在他们的应用程序上执行不同的代码混淆来隐藏恶意活动。通过程序分析从这些混淆样本中提取的特征包含许多无用和伪装的特征，这导致了许多假阴性。为了解决这个问题，在本文中，我们证明了混淆弹性恶意软件家族分析可以通过对比学习来实现。我们的分析背后的关键见解是，对比学习可以用来减少混淆所引入的差异，同时放大恶意软件和其他类型的恶意软件之间的差异。基于所提出的分析，我们设计了一个系统，可以实现强大的和可解释的Android恶意软件分类。为了实现鲁棒的分类，我们对恶意软件样本执行对比学习，以学习可以从恶意软件样本中自动提取鲁棒特征的编码器。为了实现可解释的分类，我们通过中心性分析将样本的函数调用图转化为图像。然后，可以通过可视化技术获得相应的热图。这些热图可以帮助用户理解为什么恶意软件被归类为这个家族。我们实现了\emph{IFDroid}，并在两个数据集上进行了广泛的评估。实验结果表明，\emph{IFDroid}优于最先进的Android恶意软件家族分类系统。此外，\emph{IFDroid}能够在分类69，421个混淆恶意软件样本时保持98.4\%的F1。
2022-11-01 cs.CR
Android Malware Detection based on Factorization Machine
近年来，随着Android智能手机的普及，恶意应用程序的数量也在增加。由于手机用户面临的数据盗窃的可能性，Android设备上恶意软件的检测已经成为网络安全中越来越重要的问题。基于签名的例程等传统方法无法保护用户免受新型Android恶意软件日益复杂和快速行为变化的影响。因此，最近已经做出了大量努力来使用机器学习模型和方法来表征和概括移动应用的恶意行为模式以用于恶意软件检测。在本文中，我们提出了一种新的和高度可靠的分类器，用于Android恶意软件检测的基础上因式分解机架构和Android应用程序的功能，从清单文件和源代码的提取。我们的研究结果表明，应用程序的数字特征表示通常会导致长且高度稀疏的向量，并且不同特征之间的交互对于揭示恶意行为模式至关重要。在进行了广泛的性能评估后，我们提出的方法在DREBIN数据集上获得了100.00%的准确率，在AMD数据集上获得了99.22%的准确率，只有1.10%的假阳性率。这些指标与最先进的基于机器学习的Android恶意软件检测方法和几种商业防病毒引擎的性能相匹配，其优点是训练速度快50倍。
2019-08-13 cs.CR
Don't Pick the Cherry: An Evaluation Methodology for Android Malware Detection Methods
在评估检测方法时，恶意软件研究社区依赖于从在线平台（如VirusTotal）获得的扫描结果。然而，由于缺乏如何解释所获得的数据来标记应用程序的标准，研究人员依靠他们的直觉并采用不同的标记方案。VirusTotal结果的动态性以及采用不同的标记方案会显著影响任何给定检测方法（即使是在同一数据集上）所实现的准确性，这会对方法的性能产生主观看法，并阻碍不同恶意软件检测技术的比较。在本文中，我们使用超过30，000个真实的Android应用程序，演示了不同的（1）时间，（2）标签方案和（3）攻击场景对Android重新打包的恶意软件检测方法（称为dejavu）的整体性能的影响。我们的研究结果生动地显示了上述3个维度对dejavu性能的影响。有了这样的结果，我们鼓励采用一种标准方法，在评估新设计的检测Android（重新打包）恶意软件的方法时考虑到这三个方面。
2019-03-25 cs.CR
Droidetec: Android Malware Detection and Malicious Code Localization through Deep Learning
Android恶意软件检测是构建安全可信系统的关键一步。特别是对潜在恶意代码的人工搜索一直困扰着程序分析人员。在本文中，我们提出了Droidetec，一种基于深度学习的Android恶意软件检测和恶意代码定位方法，将应用程序建模为自然语言序列。Droidetec采用了一种新颖的特征提取方法，从Android应用程序中获取行为序列。在此基础上，利用双向长短期记忆网络进行恶意软件检测。提取的行为序列中的每个单元都被创造性地表示为向量，这使得Droidetec能够自动分析序列片段的语义，并最终找到恶意代码。对9616个恶意程序和11982个良性程序的实验表明，Droidetec达到了97.22%的准确率和98.21%的F1分数。总的来说，Droidetec在正确查找恶意代码段方面的命中率为91%。
2020-02-10 cs.CR
Characterization of Android malware based on opcode analysis
Android操作系统是世界上最流行的移动平台。因此，攻击者正在为Android制作数量惊人的恶意软件应用程序。我们的目标是检测Android的恶意软件，以保护用户。要做到这一点，通过软件的动态分析可以获得真正好的结果，但它需要复杂的环境。为了达到相同的精度水平，我们分析了机器码和调查的频率的ngrams的操作码，以检测奇异码块。这使我们能够构建受感染代码块的数据库。然后，由于攻击者可能会修改和组织不同的感染注入的代码在他们的新的恶意软件，我们不仅执行测试软件与受感染的代码块的数据库的语义比较，但也结构化的比较。为了进行这种比较，我们计算子图同构。它使我们能够精确地描述测试软件是否是恶意软件，如果是，它属于女巫家族。我们的方法进行了测试，实验室数据库和一组真实的数据。它实现了几乎完美的检测率。
2021-04-08 cs.CR
Characterization of Android malware based on subgraph isomorphism
Android操作系统是世界上最流行的移动平台。因此，攻击者正在为Android制作数量惊人的恶意软件应用程序。我们的目标是检测Android的恶意软件，以保护用户。要做到这一点，通过软件的动态分析可以获得真正好的结果，但它需要复杂的环境。为了达到相同的精度水平，我们分析了机器码和调查的频率的ngrams的操作码，以检测奇异码块。这使我们能够构建受感染代码块的数据库。然后，由于攻击者可能会修改和组织不同的感染注入的代码在他们的新的恶意软件，我们不仅执行测试软件与受感染的代码块的数据库的语义比较，但也结构化的比较。为了进行这种比较，我们计算子图同构。它使我们能够精确地描述测试软件是否是恶意软件，如果是，它属于女巫家族。我们的方法进行了测试，实验室数据库和一组真实的数据。它实现了几乎完美的检测率。
2021-04-08 cs.CR
Feature-Centric Approaches to Android Malware Analysis: A Survey
本综述系统分析了静态、动态、混合及基于图方法的Android恶意软件特征提取技术，比较了各自的优劣权衡，并提出了未来增强IoT环境下检测可扩展性与安全性的研究路线图。
2025-09-12 cs.CR
Android Malware Detection using Large-scale Network Representation Learning
近年来，随着移动设备和应用的不断发展，恶意软件的数量也在迅速增加，这就需要开发先进有效的恶意软件检测方法。传统的方法，如基于签名的方法，无法保护用户免受越来越多的新型恶意软件或快速恶意软件行为变化的影响。本文提出了一种基于深度学习和静态分析的Android恶意软件检测方法。我们不再只使用应用程序编程接口（API），而是进一步分析Android应用程序的源代码，并创建其更高级别的图形语义，这使得攻击者更难逃避检测。特别是，我们使用一个调用图的方法调用在Android应用程序来表示应用程序，并进一步分析方法属性，形成一个结构化的程序表示图（PRG）与节点属性。然后，我们使用图卷积网络（GCN）通过将整个图嵌入到密集向量中来产生应用程序的图表示，并对其是否是恶意软件进行分类。为了有效地训练这样的图卷积网络，我们提出了一个批量训练方案，允许多个异构图作为一批输入。据我们所知，这是第一个使用图表示学习进行恶意软件检测的工作。我们进行了广泛的实验，从现实世界的样本集合，并证明我们开发的系统优于其他多种现有的恶意软件检测技术。
2018-12-11 cs.CR
Analyzing, Comparing, and Detecting Emerging Malware: A Graph-based Approach
随着Android和物联网（IoT）设备数量的增长，恶意软件（恶意软件）的数量也随之增加，这就需要新的分析方法。我们使用控制流图（CFG）结构的图形属性表示二进制文件，并对从Android和IoT恶意软件中提取的恶意图形进行深入分析，以了解它们的差异。使用对应于物联网和Android样本的2，874和2，891个恶意软件二进制文件，我们分析了一般特征和图形算法属性。使用CFG作为抽象结构，我们强调了各种有趣的发现，例如Android恶意软件中不可访问代码的流行，通过其CFG中的多个组件以及Android恶意软件中的更多节点来指出，与物联网恶意软件相比，突出了更高的复杂性。我们实现了一个基于机器学习的分类器来检测物联网恶意软件和良性恶意软件，并使用随机森林（RF）实现了97.9%的准确率。
2019-02-11 cs.CR
DaDiDroid: An Obfuscation Resilient Tool for Detecting Android Malware via Weighted Directed Call Graph Modelling
自2012年以来，新的移动恶意软件实例的数量每年增长超过50%，移动应用程序中嵌入的恶意软件可以说是移动平台面临的最严重的安全问题之一。虽然混淆技术成功地用于保护应用程序开发人员的知识产权，但不幸的是，它们也经常被网络犯罪分子用来隐藏移动应用程序中的恶意内容并欺骗恶意软件检测工具。因此，大多数移动恶意软件检测方法无法区分良性和混淆的恶意应用程序。我们通过构建API调用的加权有向图来检查移动应用程序代码的图形特征，并验证恶意应用程序通常具有可用于将其与良性应用程序区分开的结构相似性，即使在严重“污染”的训练集下，其中大多数应用程序都被混淆。我们提出DaDiDroid的Android恶意软件应用程序检测工具，利用API调用的加权有向图的功能来检测（混淆）Android应用程序中的恶意软件代码的存在。我们发现DaDiDroid明显优于MaMaDroid [23]，MaMaDroid是最近提出的恶意软件检测工具，已被证明在干净的非混淆环境中检测恶意软件非常有效。我们评估DaDiDroid的准确性和鲁棒性对几个规避技术使用各种数据集，共43，262良性和20，431恶意软件应用程序。我们发现，DaDiDroid正确标记了高达96%的Android恶意软件样本，同时通过独家使用混淆应用程序的训练集实现了91%的准确率。
2019-08-21 cs.CR
Android HIV: A Study of Repackaging Malware for Evading Machine-Learning Detection
基于机器学习的解决方案已成功用于自动检测Android上的恶意软件。然而，机器学习模型对对抗性示例缺乏鲁棒性，这些示例是通过向正常输入添加精心选择的扰动来制作的。到目前为止，对抗性示例只能欺骗依赖于语法特征的检测器（例如，请求的权限、API调用等），并且扰动只能通过简单地修改应用程序的清单来实现。虽然最近的Android恶意软件检测器更多地依赖于Dalvik字节码的语义特征，而不是清单，但现有的攻击/防御方法不再有效。在本文中，我们介绍了一种新的攻击方法，生成Android恶意软件的对抗性示例，并逃避当前模型的检测。为此，我们提出了一种将最佳扰动应用于Android APK的方法，该方法可以成功欺骗机器学习检测器。我们开发了一个自动化的工具来生成对抗性的例子，而无需人工干预。与现有的作品相比，我们的方法制作的对抗性示例也可以欺骗最近的基于机器学习的检测器，这些检测器依赖于控制流图等语义特征。扰动也可以直接实现到APK的Dalvik字节码上，而不是Android清单，以逃避最近的检测器。我们展示了我们对两个最先进的Android恶意软件检测方案MaMaDroid和Drebin的攻击。我们的研究结果表明，MaMaDroid的恶意软件检测率从96%下降到0%，Drebin的恶意软件检测率从97%下降到0%，只有少量的代码被插入到APK中。
2021-11-16 cs.CR
DeepCatra: Learning Flow- and Graph-based Behaviors for Android Malware Detection
随着Android恶意软件的不断发展和演变，深度学习已被引入恶意软件检测中，产生了巨大的效果。最近的工作正在考虑混合模型和多视图学习。然而，它们只使用简单的特征，限制了这些方法在实践中的准确性。在本文中，我们提出了DeepCatra，一种用于Android恶意软件检测的多视图学习方法，其模型由双向LSTM（BiLSTM）和图神经网络（GNN）组成。这两种方法都依赖于从静态计算的调用跟踪中提取的特征，这些特征导致了从公共漏洞中派生出的关键API。对于每个Android应用程序，DeepCatra首先构建其调用图并计算到达关键API的调用跟踪。然后，BiLSTM子网使用的时间操作码特征从调用跟踪中提取，而GNN子网使用的流图特征从所有调用跟踪和组件间通信中构建。我们通过将DeepCatra与几种最先进的检测方法进行比较来评估其有效性。在超过18，000个真实世界的应用程序和流行的恶意软件上的实验结果表明，DeepCatra实现了相当大的改进，例如，F1测量值为2.7%至14.6%，这证明了DeepCatra在实践中的可行性。
2022-07-16 cs.CR
BPFroid: Robust Real Time Android Malware Detection Framework
我们提出了BPFroid --一个新的Android动态分析框架，它使用Linux内核的eBPF技术来连续监视在真实设备上运行的用户应用程序的事件。所监视的事件是从Android软件堆栈的不同组件收集的：内部内核函数、系统调用、本机库函数和Java API框架。由于BPFroid在内核中挂钩了这些事件，恶意软件无法轻易绕过监控。此外，使用eBPF不需要对Android系统或监控的应用程序进行任何更改。我们还将BPFroid与其他恶意软件检测方法进行了分析比较，并通过开发新的签名来检测基于它的可疑行为来展示其用途。然后使用真实应用程序对这些签名进行评估。我们还演示了如何BPFroid可以用来捕捉法医文物作进一步调查。我们的研究结果表明，BPFroid成功地在实时的报警时，一个可疑的行为签名被检测到，而不会产生显着的运行时性能开销。
2021-05-29 cs.CR
Android Malware Clustering using Community Detection on Android Packages Similarity Network
每天针对应用程序存储库的Android恶意应用程序（应用程序）数量正在增加，其数量超过了指纹识别过程。为了解决这个问题，我们提出了一个增强的Cypider框架，一组技术和工具，旨在通过建立一个可扩展的和混淆弹性相似性网络基础设施的恶意应用程序的移动恶意软件进行系统的检测。我们的方法是基于我们提出的概念，即恶意社区，在其中我们认为共享共同特征的恶意实例是同一恶意软件家族中最有可能的部分。使用这个概念，我们假设多个类似的Android应用程序，不同的作者是最有可能是恶意的。具体来说，Cypider利用这一假设来检测已知恶意软件家族和零日恶意应用程序的变体。Cypider在相似性网络上应用社区发现算法，该算法提取被认为是可疑和可能恶意社区的子图。此外，我们提出了一种新的指纹技术，即社区指纹，基于一类机器学习模型的每个恶意社区。此外，我们提出了一个增强的Cypider框架，它需要更少的内存，x650，和更少的时间来建立相似性网络，x700，与原始版本相比，而不影响指纹性能的框架。我们引入了一个系统的方法来定位不同的特征内容向量的最佳阈值，这简化了整个检测过程。
2020-05-12 cs.CR
Android Inter-App Communication Threats, Solutions, and Challenges
研究人员和商业公司在检测Android平台中的恶意软件方面做了很多努力。然而，最近的恶意软件威胁，应用程序勾结，使恶意软件检测具有挑战性。App合谋是指两个或两个以上App通过相互通信的方式进行恶意操作，这使得单个App分析不足。本文首先介绍了Android的安全机制和Android应用程序使用的通信通道。然后，我们总结了应用程序通信引入的安全漏洞和潜在威胁。最后，我们讨论了应用程序共谋检测的最新研究和挑战。
2018-03-13 cs.CR
Monet: A User-oriented Behavior-based Malware Variants Detection System for Android
Android是最受欢迎的移动操作系统，拥有约78%的移动市场份额。由于其受欢迎程度，它吸引了许多恶意软件攻击。事实上，人们每季度都发现了大约一百万个新的恶意软件样本，据报道，这些新的恶意软件样本中有超过98%实际上是现有恶意软件家族的“衍生物”（或变体）。在本文中，我们首先表明，恶意软件的核心功能的运行时行为实际上是类似的恶意软件家族。因此，我们提出了一个框架，结合“运行时行为”与“静态结构”来检测恶意软件的变种。我们提出了MONET的设计和实现，它有一个客户端和一个后端服务器模块。客户端模块是一个轻量级的设备内应用程序，用于行为监控和签名生成，我们使用两种新颖的拦截技术实现这一点。后端服务器负责大规模恶意软件检测。我们收集了3723个恶意软件样本和前500个良性应用程序，以进行大量的实验，检测恶意软件变体和防御恶意软件转换。我们的实验表明，MONET在检测恶意软件变体方面可以达到99%左右的准确率。此外，它可以抵御10种不同的混淆和转换技术，而仅产生约7%的性能开销和约3%的电池开销。更重要的是，MONET会自动提醒用户入侵细节，以防止进一步的恶意行为。
2016-12-10 cs.CR
HAWK: Rapid Android Malware Detection through Heterogeneous Graph Attention Networks
Android每天都在遭受前所未有的恶意威胁，但现有的恶意软件检测方法往往无法应对恶意软件中不断变化的伪装。为了解决这个问题，我们提出了HAWK，一个新的恶意软件检测框架的进化Android应用程序。我们将Android实体和行为关系建模为异构信息网络（HIN），利用其丰富的语义元结构来指定隐式高阶关系。创建增量学习模型来处理动态表现的应用程序，而不需要重新构建整个HIN和随后的嵌入模型。该模型可以快速定位一个新的应用程序和现有的样本中的应用程序之间的接近度，并聚合不同语义下的数值嵌入。我们的实验检查了在七年内开发的80，860多个恶意应用程序和100，375个良性应用程序，表明HAWK在基线上实现了最高的检测精度，平均只需3.5ms即可检测出样本外的应用程序，加速训练时间比现有方法快50倍。
2021-08-17 cs.CR
DroidMark: A Tool for Android Malware Detection using Taint Analysis and Bayesian Network
随着Android设备用户群的不断增加以及诸如网上银行等技术的出现，脆弱的用户数据很容易被恶意软件和间谍软件应用程序滥用。随着应用程序开发人员社区的增加，无法为每个应用程序提供质量保证，并且可能会出现数据泄漏。在这项研究中，为了确保应用程序的真实性，深度学习方法和污点分析部署在应用程序上。名为DroidMark的检测系统通过对Android生命周期和回调进行建模来查找应用程序中可能的数据泄漏源和汇，这是由APK的逆向工程完成的，进一步监控可疑进程并收集应用程序不同状态下的数据。因此，DroidMark被设计为从应用程序中提取特征，这些特征被馈送到经过训练的贝叶斯网络，用于对恶意和常规应用程序进行分类。实验结果表明，该方法对Android设备恶意软件的检测准确率高达96.87%，错误率出错率为3.13%.
2018-06-15 cs.CR
IntelliAV: Building an Effective On-Device Android Malware Detector
对于安全社区来说，采用机器学习进行恶意软件检测的重要性已经变得显而易见。一些反恶意软件供应商声称并宣传了机器学习在其产品中的应用，其中推理阶段在服务器和高性能机器上执行，但研究界尚未评估这种方法在计算资源有限的移动设备上的可行性，供应商仍然持怀疑态度。在本文中，我们的目标是展示设计一个基于学习的Android移动设备上的反恶意软件的实用性，首先。此外，我们的目标是证明这样一个工具的重要性，以阻止新的和逃避恶意软件，不能很容易地被基于签名或离线学习的安全工具。为此，我们首先提出从Android应用程序中提取一组轻量级但功能强大的功能。然后，我们将这些特征嵌入到向量空间中，以构建一个有效的模型。因此，该模型可以对设备执行推断，以检测潜在有害的应用程序。我们表明，不诉诸任何签名，只依赖于一个训练阶段，涉及一组合理的样本，建议的系统，名为IntelliAV，提供更令人满意的性能比流行的主要反恶意软件产品。此外，我们评估了IntelliAV对常见混淆技术的鲁棒性，大多数反恶意软件解决方案都会受到影响。
2018-02-04 cs.CR
Deep Learning Based Android Malware Detection Framework
随着智能手机领域的发展和互联网不断增长的基础，各种软件容易受到许多恶意活动的影响，如pharming，钓鱼，勒索软件，垃圾邮件，欺骗，间谍软件，窃听等，这些威胁并没有幸免于同样容易受到它们的智能手机。在这项工作中，我们的目标是检测这些恶意软件的准确性和效率。这本质上是一个分类问题，我们使用各种机器学习方法来完成这项任务。我们观察到，在所有模型中，基于注意力的人工神经网络（ANN），或者广义上说，深度学习，最适合解决这个问题。基于注意力的人工神经网络是准确性和效率的结合，这是我们工作的关键。我们的模型达到的准确率约为96.75%。我们的模型在Android软件包文件（APK）上运行测试，通过对所考虑的Android应用程序进行行为分析来确定特定应用程序是否是恶意的。
2019-12-10 cs.CR
Glassbox: Dynamic Analysis Platform for Malware Android Applications on Real Devices
Android是使用最广泛的智能手机操作系统，2015年的市场份额为82.8%。因此，它是恶意软件作者最广泛的目标系统。研究人员依赖于动态分析来提取恶意软件行为，并且经常使用仿真器来这样做。然而，使用仿真器会导致新的问题。恶意软件可能会检测到仿真，因此它不会执行有效负载以阻止分析。处理虚拟设备规避是一场永无休止的战争，并带来不可忽视的计算成本。为了克服这种状况，我们提出了一个系统，不使用虚拟设备来分析恶意软件的行为。Glassbox是一个用于恶意软件应用程序动态分析的功能原型。它在受监控和控制的环境中在真实设备上执行应用程序。它是一个完全自动化的系统，可以安装，测试和提取应用程序中的功能以进行进一步分析。我们提出了该平台的架构，并将其与现有的Android动态分析平台进行了比较。最后，我们通过测量AndroCoverage数据集上基本块的平均覆盖率来评估Glassbox触发应用程序行为的能力。我们表明，它执行的平均13.52%以上的基本块比猴子程序。
2016-09-15 cs.CR
MaMaDroid: Detecting Android Malware by Building Markov Chains of Behavioral Models
随着Android平台的普及，针对该平台的恶意软件威胁激增。随着Android恶意软件和操作系统本身的不断发展，设计强大的恶意软件缓解技术非常具有挑战性，这些技术可以长时间运行，而无需修改或昂贵的重新培训。在本文中，我们介绍了MaMaDroid，一个依赖于应用程序行为的Android恶意软件检测系统。MaMaDroid以马尔可夫链的形式，从应用程序执行的抽象API调用序列中构建行为模型，并使用它来提取特征和执行分类。通过抽象调用它们的包或家族，MaMaDroid保持对API更改的弹性，并保持功能集大小可管理。我们在六年内收集的8.5K良性应用程序和35.5K恶意应用程序的数据集上评估了其准确性，结果表明，它不仅可以有效地检测恶意软件（高达99%的F测量值），而且系统构建的模型可以长时间保持其检测能力（平均值分别为86%和75%的F测量值，训练后一年和两年）。最后，我们与DroidAPIMiner进行了比较，DroidAPIMiner是一个依赖于应用程序执行API调用频率的最先进的系统，表明MaMaDroid的性能明显优于它。
2017-11-20 cs.CR
On Impact of Semantically Similar Apps in Android Malware Datasets
恶意软件作者重复使用在其他应用程序中发现的相同程序段来执行类似的恶意活动，例如信息窃取，发送SMS等。因此，在一个家族/数据集中可能存在多个语义相似的恶意软件样本。许多研究人员不知道这些语义相似的应用程序，并在其ML模型中使用它们的功能进行评估。因此，性能指标可能会受到这些类似应用程序的严重影响。在本文中，我们研究了语义相似的应用程序在基于机器学习的Android恶意软件检测器的性能指标的影响。为此，我们提出了一种新的基于操作码子序列的恶意软件聚类算法来识别语义相似的恶意软件和好软件应用程序。为了研究语义相似的应用程序在性能指标中的影响，我们测试了不同ML模型的性能，这些模型基于具有/不具有语义相似应用程序的恶意软件和好软件应用程序的API调用和权限特征。在我们对Drebin数据集的实验中，我们发现，在从数据集中删除完全重复的应用程序后（？= 0）基于API调用的ML模型的恶意软件检测率（TPR）从0.95下降到0.91，基于权限的模型从0.94下降到0.90。为了克服这个问题，我们建议研究界在评估恶意软件检测机制之前，使用我们的聚类算法来去除语义相似的应用程序。
2021-12-05 cs.CR
HomDroid: Detecting Android Covert Malware by Social-Network Homophily Analysis
Android已经成为最流行的移动操作系统。与此相对应，越来越多的Android恶意软件被开发和传播，以窃取用户的私人信息。存在一种类型的恶意软件，其良性行为被开发来伪装恶意行为。恶意组件只占应用程序（简称app）整个代码的一小部分，并且恶意部分与良性部分强耦合。在这种情况下，当恶意软件检测器从整个应用程序中提取特征以进行分类时，恶意软件可能导致误报，因为这些应用程序的恶意特征可能隐藏在良性特征中。此外，以前的一些工作旨在将整个应用程序划分为几个部分以发现恶意部分。然而，这些方法开始应用程序分区的前提是正常部分和恶意部分之间的连接是弱的。在本文中，我们将这种类型的恶意软件称为Android隐蔽恶意软件，并生成隐蔽恶意软件的第一个数据集。为了检测它们，我们首先进行静态分析以提取调用图。通过对图的深入分析，我们发现虽然这些图中正常部分和恶意部分之间的相关性很高，但这些相关性的程度具有分布性。在此基础上，我们设计了HomDroid，通过分析调用图的同质性来检测隐藏的恶意软件。我们根据4，840个良性应用程序和3，385个隐蔽恶意应用程序的数据集的评估结果确定了区分正常部分和恶意部分的理想相关性阈值。根据我们的评估结果，HomDroid能够检测96.8%的隐蔽恶意软件，而另外四个最先进的系统（即，PerDroid、Drebin、MaMaDroid和IntDroid）分别为30.7%、16.…
2021-07-10 cs.CR
Android Malware Detection using Markov Chain Model of Application Behaviors in Requesting System Services
Android恶意软件的广泛增长促使安全研究人员提出不同的方法来分析和检测应用程序中的恶意行为。然而，目前的解决方案不适合准确有效地提取Android应用程序的细粒度行为。在本文中，我们提出了ServiceMonitor，一个轻量级的基于主机的检测系统，动态检测恶意应用程序直接在移动设备上。ServiceMonitor基于一种新的系统服务使用分析技术重构应用程序的细粒度行为。使用建议的系统服务使用的角度来看，使我们能够建立一个统计马尔可夫链模型来表示什么和如何系统服务被用来访问系统资源。然后，我们考虑以特征向量的形式构建马尔可夫链，并使用随机森林分类算法将应用程序行为分类为恶意或良性。ServiceMonitor优于当前基于主机的解决方案，评估它对4034恶意软件和10024良性应用程序，并获得96%的准确率和微不足道的开销和性能损失。
2017-11-15 cs.CR
Multi-label Classification for Android Malware Based on Active Learning
针对现有Android恶意软件分类方法无法全面反映多恶意行为的问题，提出基于主动学习与数据增强的多标签分类方法MLCDroid，实现细粒度恶意行为识别，准确率提升至86.7%。
2024-10-09 cs.CR
Android Malware Category and Family Detection and Identification using Machine Learning
Al-Azhar University（爱资哈尔大学）；Egyptian Chinese University（埃中大学）
Android恶意软件是互联网上最危险的威胁之一，并且多年来一直在上升。尽管在从无害的android应用程序中检测和分类android恶意软件方面付出了巨大的努力，但还有很长的路要走。因此，需要对最常见的Android恶意软件类别和系列所显示的行为进行基本了解。每个Android恶意软件家族和类别都有不同的目标。因此，它影响了每个企业领域，包括医疗保健、银行、运输、政府和电子商务。本文提出了两种机器学习方法用于Android恶意软件的动态分析：一种用于检测和识别Android恶意软件类别，另一种用于检测和识别Android恶意软件家族。我们的方法在Android恶意软件类别检测中达到了96%以上的准确率，在Android恶意软件家族检测中达到了99%以上的准确率。我们的方法提供了一种对Android恶意软件进行高准确性动态分析的方法，同时还缩短了分析智能手机恶意软件所需的时间。
2021-07-05 cs.AI cs.CR cs.LG
Can you See me? On the Visibility of NOPs against Android Malware Detectors
针对Android恶意软件检测，提出一种可见性度量来评估NOP类非操作代码的发现难度，并在基于操作码的深度学习检测器上验证，揭示了攻击逃避性与可检测性之间的权衡。
2023-12-28 cs.CR
The Sound of Malware: A Memory Forensics Approach for Android Malware Analysis via Audio Signals
Università degli Studi di Cagliari（卡利亚里大学）；Università Roma Sapienza（罗马大学）；CINI, Consorzio Interuniversitario Nazionale per l’Informatica（意大利国家信息学大学联盟）
提出一种内存取证框架，将Android恶意软件的静态字节码和内存快照转换为音频波形，利用频谱描述符、CNN和Transformer嵌入实现高达98.0%的准确率。
2026-06-05 cs.CR
Android App Feature Extraction: A review of approaches for malware and app similarity detection
本文综述了2002至2022年Android恶意软件与相似性检测研究，指出缺乏跨领域数据集的问题，并提供了构建可访问、文档完善的数据集的指南与示意方法。
2024-12-16 cs.CR
hybrid-Falcon: Hybrid Pattern Malware Detection and Categorization with Network Traffic and Program Code
如今，Android是移动生态系统中最具统治力的操作系统，每天有数十亿人使用其应用程序。正如预期的那样，这种趋势并没有被歹徒忽视，Android成为通过恶意应用程序发现新受害者的最佳平台。此外，这些应用程序已经变得如此复杂，以至于它们可以绕过反恶意软件措施来保护用户。因此，我们可以肯定地承认，传统的反恶意软件技术已经变得很麻烦，这引发了开发一种有效的方法来检测Android恶意软件的冲动。本文介绍了一个混合模式的Android恶意软件检测和分类框架hybrid-Flacon。它结合了Android恶意软件的动态和静态特征，这些特征来自网络流量和代码图结构。在混合Flacon中，我们将网络流量视为动态特征，并将其作为2D图像序列进行处理。同时，hybrid-Flacon将数据包中的每个网络流作为2D图像处理，并使用双向LSTM网络来处理这些2D图像序列，以获得表示网络数据包的向量。我们使用程序代码图的静态功能，并介绍自然语言处理（NLP）启发的技术上的函数调用图（FCG）。我们设计了一种基于图神经网络的方法来将Android应用程序的整个图结构转换为向量。最后，我们利用这些转换的向量，网络和程序代码的功能，并连接它们来检测和分类的恶意软件。我们的研究结果表明，混合Flacon产生更好的结果，因为我们得到97.16%的准确率平均恶意软件检测和88.32%的准确率恶意软件分类。此外，我们…
2022-01-22 cs.CR
Analysis of Bayesian Classification based Approaches for Android Malware Detection
移动恶意软件的规模和复杂性一直在增长，这是由全球智能手机的持续增长所推动的。Android正在迅速成为最受欢迎的移动平台，导致针对该平台的恶意软件急剧增加。此外，Android恶意软件正在迅速发展，以逃避传统的基于签名的扫描检测。尽管目前的检测措施到位，及时发现新的恶意软件仍然是一个关键问题。这就需要新的方法来缓解零日Android恶意软件日益增长的威胁。因此，在本文中，我们开发和分析基于贝叶斯分类的主动机器学习方法，旨在通过静态分析发现未知的Android恶意软件。该研究基于大多数现有系列的大型恶意软件样本集，展示了高准确性的检测能力。实证结果和比较分析提供了有用的洞察力，有效的静态分析贝叶斯分类为基础的解决方案，用于检测未知的Android恶意软件的发展。
2016-08-20 cs.CR cs.LG
Android Malware Characterization using Metadata and Machine Learning Techniques
Universidad Carlos III de Madrid（马德里卡洛斯三世大学）；Telefónica Digital Identity & Privacy（西班牙电信数字身份与隐私部门）
Android恶意软件的出现是智能手机和平板电脑日益普及的结果。虽然以前的大多数工作都集中在Android应用程序的固有特征来检测恶意软件，但本研究分析了间接特征和元数据，以识别恶意软件应用程序中的模式。我们的实验表明：（1）应用程序使用的权限只能提供中等的性能结果;（2）Android Markets中公开的其他功能与检测恶意软件更相关，例如应用程序开发人员和证书颁发者;（3）可以构建紧凑高效的分类器，以便在代码检查或沙箱之前早期检测恶意软件应用程序。
2017-12-12 cs.AI cs.CR
Malware Detection Approach for Android systems Using System Call Logs
基于特征码的静态检测技术被广泛应用于Android平台的恶意应用检测。通过从测试数据中提取特征码，并将测试数据与病毒样本和良性样本的特征码样本进行比较，可以准确地检测出恶意软件。然而，这种方法通常无法检测未知的恶意软件应用程序。这是因为，有时候，机器码可以转换成汇编代码，这可以很容易地阅读和理解的人。此外，攻击者可以理解汇编指令，并从中了解程序的功能。因此，我们专注于观察恶意软件在主机系统上实际运行时的行为。应用程序的动态行为是由最后的系统调用序列进行的。因此，我们观察每个应用程序的系统调用日志，将其用于构建数据集，并最终使用该数据集将未知应用程序分类为恶意或良性。
2017-09-26 cs.CR
AndroWasm: an Empirical Study on Android Malware Obfuscation through WebAssembly
University Of Cagliari（卡利亚里大学）；Consorzio Interuniversitario Nazionale per l’Informatica (CINI)（意大利国家信息学大学联盟）
本文通过实证研究探讨了Android恶意软件利用WebAssembly技术进行混淆和规避检测的方法及效果。
2026-02-20 cs.CR
Yes, Machine Learning Can Be More Secure! A Case Study on Android Malware Detection
为了应对现代攻击日益增加的可变性和复杂性，机器学习已被广泛采用作为恶意软件检测的可靠工具。然而，其针对精心设计的攻击的安全性不仅最近受到质疑，而且已经表明，机器学习表现出固有的漏洞，可以在测试时被利用来逃避检测。换句话说，机器学习本身可能是安全系统中最薄弱的环节。在本文中，我们依靠以前提出的攻击框架，通过对具有不同技能和能力的攻击者进行建模，对基于学习的恶意软件检测工具的潜在攻击场景进行分类。然后，我们定义并实现了一组相应的规避攻击，以彻底评估Drebin，Android恶意软件检测器的安全性。这项工作的主要贡献是提出了一个简单且可扩展的安全学习范式，该范式减轻了规避攻击的影响，同时在没有攻击的情况下只会略微恶化检测率。最后，我们认为，我们的安全学习方法也可以很容易地应用到其他恶意软件检测任务。
2017-04-28 cs.CR
Android Malware Detection Using Autoencoder
North China Electric Power University（华北电力大学）
智能手机已经成为人类生活中不可或缺的一部分。智能手机统一了各种先进的特性。它使用户能够存储各种数据，如照片，健康数据，凭证银行数据和个人信息。Android操作系统是流行的移动操作系统，同时也是恶意软件开发者最有针对性的操作系统。最近，Android恶意软件的空前发展给研究人员带来了压力，要求他们提出有效的方法来抑制恶意软件的传播。在本文中，我们提出了一种用于Android恶意软件检测的深度学习方法。该方法研究了五种不同的特征集，并应用Autoencoder来识别恶意软件。实验结果表明，该方法能够有效地识别恶意软件，具有较高的准确率。
2019-01-14 cs.CR cs.LG
A Survey on the Detection of Android Malicious Apps
基于Android的智能设备呈指数级增长，并且由于互联网的普及，这些设备在全球范围内连接到不同的设备/网络。它的受欢迎程度，有吸引力的功能和移动性使得恶意软件创建者在市场上投放大量恶意应用程序来扰乱和骚扰受害者。虽然为了识别恶意应用程序，不时提出各种技术。然而，恶意软件开发人员似乎总是领先于反恶意软件小组，反恶意软件小组提出的技术不足以对抗高级恶意应用程序。因此，要了解提出/用于识别Android恶意应用程序的各种技术，在本文中，我们提出了一个调查，我们在这一领域的研究人员所做的工作。
2019-05-30 cs.CR
DMLDroid: Deep Multimodal Fusion Framework for Android Malware Detection with Resilience to Code Obfuscation and Adversarial Perturbations
提出DMLDroid，一种基于多模态融合的Android恶意软件检测框架，融合权限与意图、DEX文件和API调用特征，在CICMalDroid 2020数据集上实现高准确率，并在代码混淆与对抗攻击下保持强鲁棒性。
2025-09-14 cs.CR
Improving Dynamic Analysis of Android Apps Using Hybrid Test Input Generation
Android操作系统已成为最流行的移动操作系统，导致Android恶意软件的传播显著增加。因此，一些静态和动态分析系统已被开发来检测Android恶意软件。利用动态分析，需要高效的测试输入生成，以便触发潜在的运行时恶意行为。大多数现有的动态分析系统采用基于随机的输入生成方法，通常使用Android Monkey工具构建。基于随机的输入生成有几个缺点，包括有限的代码覆盖率，这促使我们探索将其与基于状态的方法相结合，以提高效率。因此，在本文中，我们提出了一种新的混合测试输入生成方法，旨在提高实际设备上的动态分析。我们通过将基于随机的工具（Monkey）与基于状态的工具（DroidBot）集成来实现混合系统，以提高代码覆盖率并可能发现更多的恶意行为。该系统使用2，444个Android应用程序进行评估，其中包含来自Android恶意软件基因组项目的1222个良性和1222个恶意软件样本。三种情况下，随机的，基于状态的，只有我们提出的混合方法进行了研究，比较评估其性能。我们的研究表明，该混合方法显着提高了从良性和恶意软件样本中提取的动态特征的量基于状态和常用的随机测试输入生成方法。
2017-05-18 cs.CR
Android Malware Detection using Machine learning: A Review
New Mexico Tech（新墨西哥理工大学）
本文综述了基于机器学习的安卓恶意软件检测方法，系统梳理了监督、无监督和深度学习方法及其性能评价指标，并指出当前方法的局限性和未来研究方向。
2023-03-15 cs.AI cs.CR
Android Code Protection via Obfuscation Techniques: Past, Present and Future Directions
由于私人用户信息、联系人、消息和多个传感器的集中化，移动设备已经变得无处不在。Google Android是一种开源移动操作系统（OS），目前是市场领导者。Android的流行促使恶意软件作者利用代码混淆技术进行一系列网络攻击。混淆是修改应用程序（app）代码的操作，保留原始语义和功能以逃避反恶意软件。代码混淆是一个有争议的问题。理论代码分析技术表明，实现可验证和安全的混淆是不可能的。然而，混淆工具和技术在恶意软件开发人员（以逃避反恶意软件）和商业软件开发人员（保护知识产权）中都很受欢迎。我们进行了一项调查，以揭示有关Android代码混淆和保护技术的具体和相关问题的答案。本文的目的是审查代码混淆和代码保护的做法，并评估现有的代码去混淆工具的有效性。特别是，我们将讨论Android代码混淆方法、自定义应用保护技术和各种去混淆方法。此外，我们审查和分析恶意软件作者使用的混淆技术，以逃避分析工作。我们认为，有必要调查用于代码保护的防御技术的效率。这项调查将有利于研究人员和从业人员了解混淆和去混淆技术，以提出Android上的新解决方案。
2016-11-30 cs.CR
Andro-profiler: Detecting and Classifying Android Malware based on Behavioral Profiles
由于移动技术的发展和移动设备的普及，大众市场的移动安全威胁最近有所增加。因此，已经引入了用于利用静态、动态、设备上、设备外和混合方法来识别、分类和防御移动威胁的技术。在本文中，我们通过引入Andro-profiler，一个混合的基于行为的分析和分类系统的移动恶意软件的移动安全防御态势。Andro-profiler通过利用从集成系统日志（包括系统调用）中提取的行为分析来对恶意软件进行分类，这些日志隐含地等同于不同的行为特征。Andro-profiler在模拟器上执行恶意应用程序以生成集成系统日志，并通过分析集成系统日志创建人类可读的行为配置文件。通过将恶意应用程序的行为特征与每个恶意软件家族的代表性行为特征进行比较，Andro-profiler检测并将其分类为恶意软件家族。实验结果表明，Andro-profiler具有良好的可扩展性，在恶意软件检测和分类方面表现良好，准确率高于$98\%$，优于现有的最先进的工作，并且能够识别零日移动恶意软件样本。
2016-06-04 cs.CR
