DaDiDroid: An Obfuscation Resilient Tool for Detecting Android Malware via Weighted Directed Call Graph Modelling
自2012年以来，新的移动恶意软件实例的数量每年增长超过50%，移动应用程序中嵌入的恶意软件可以说是移动平台面临的最严重的安全问题之一。虽然混淆技术成功地用于保护应用程序开发人员的知识产权，但不幸的是，它们也经常被网络犯罪分子用来隐藏移动应用程序中的恶意内容并欺骗恶意软件检测工具。因此，大多数移动恶意软件检测方法无法区分良性和混淆的恶意应用程序。我们通过构建API调用的加权有向图来检查移动应用程序代码的图形特征，并验证恶意应用程序通常具有可用于将其与良性应用程序区分开的结构相似性，即使在严重“污染”的训练集下，其中大多数应用程序都被混淆。我们提出DaDiDroid的Android恶意软件应用程序检测工具，利用API调用的加权有向图的功能来检测（混淆）Android应用程序中的恶意软件代码的存在。我们发现DaDiDroid明显优于MaMaDroid [23]，MaMaDroid是最近提出的恶意软件检测工具，已被证明在干净的非混淆环境中检测恶意软件非常有效。我们评估DaDiDroid的准确性和鲁棒性对几个规避技术使用各种数据集，共43，262良性和20，431恶意软件应用程序。我们发现，DaDiDroid正确标记了高达96%的Android恶意软件样本，同时通过独家使用混淆应用程序的训练集实现了91%的准确率。
2019-08-21 cs.CR
Light up that Droid! On the Effectiveness of Static Analysis Features against App Obfuscation for Android Malware Detection
University of the Basque Country UPV/EHU（巴斯克大学 UPV/EHU）；University of Genoa（热那亚大学）；CASD - Centre for Advanced Defense Studies（高级防御研究中心（CASD））
本文评估了特定混淆技术对Android静态分析特征的影响，发现部分特征在混淆下仍保持有效性，并据此提出了一种抗混淆且优于现有技术的ML恶意软件检测器。
2023-10-24 cs.CR cs.LG cs.SE
ASTANA: Practical String Deobfuscation for Android Applications Using Program Slicing
Android开发人员广泛使用软件混淆来保护其应用程序的源代码免受对抗性逆向工程的影响。一种特定类型的混淆，字符串混淆，将源代码中所有字符串文字的内容转换为不可解释的文本，并插入逻辑以在运行时对这些字符串文字进行去混淆。在这项工作中，我们证明了字符串混淆是很容易可逆的。我们提出ASTANA，Android应用程序的实用工具，以恢复人类可读的内容从混淆字符串字面量。ASTANA对混淆逻辑或应用程序结构做了最少的假设。关键思想是为特定（模糊）字符串字面量执行去模糊逻辑，这会产生原始字符串值。为了获得相关的去混淆逻辑，我们提出了一个轻量级的乐观算法，基于程序切片技术。通过对100个流行的真实金融应用的实验评估，我们证明了ASTANA的实用性。我们验证了我们的去混淆工具的正确性，并提供了由开发人员评估的Android应用程序的字符串混淆器的行为的见解。
2021-04-06 cs.CR cs.SE
Comment on "AndrODet: An adaptive Android obfuscation detector"
Linköping University（林雪平大学）
我们已经确定了Mirzaei等人在最近的论文“AndrODet：An adaptive Android obfuscation detector”中描述的AndrODet系统的字符串加密检测能力的经验评估中的方法问题。使用AMD和PraGuard恶意软件数据集的样本评估字符串加密检测的准确性。然而，作者没有考虑到许多AMD样本高度相似的事实，因为它们来自同一个恶意软件家族。这引入了在这些样本上训练的机器学习系统可能无法学习用于字符串加密检测的可推广模型的风险，并且可能改为学习基于每个恶意软件家族的特征对样本进行分类。我们自己的评估强烈表明，AndrODet的字符串加密检测的高准确性确实是由于这种现象。当我们评估AndrODet时，我们发现当我们确保来自同一家族的样本从未出现在训练和测试数据中时，准确率下降到50%左右。此外，PraGuard数据集不适合评估静态字符串加密检测器（如AndrODet），因为用于有效生成数据集的特定混淆工具使其无法提取Android应用程序中静态字符串的有意义特征。
2020-01-18 cs.CR cs.LG
Contrastive Learning for Robust Android Malware Familial Classification
Android操作系统由于其开放源代码的特性，一直是攻击者利用的主要目标。恶意软件创建者总是在他们的应用程序上执行不同的代码混淆来隐藏恶意活动。通过程序分析从这些混淆样本中提取的特征包含许多无用和伪装的特征，这导致了许多假阴性。为了解决这个问题，在本文中，我们证明了混淆弹性恶意软件家族分析可以通过对比学习来实现。我们的分析背后的关键见解是，对比学习可以用来减少混淆所引入的差异，同时放大恶意软件和其他类型的恶意软件之间的差异。基于所提出的分析，我们设计了一个系统，可以实现强大的和可解释的Android恶意软件分类。为了实现鲁棒的分类，我们对恶意软件样本执行对比学习，以学习可以从恶意软件样本中自动提取鲁棒特征的编码器。为了实现可解释的分类，我们通过中心性分析将样本的函数调用图转化为图像。然后，可以通过可视化技术获得相应的热图。这些热图可以帮助用户理解为什么恶意软件被归类为这个家族。我们实现了\emph{IFDroid}，并在两个数据集上进行了广泛的评估。实验结果表明，\emph{IFDroid}优于最先进的Android恶意软件家族分类系统。此外，\emph{IFDroid}能够在分类69，421个混淆恶意软件样本时保持98.4\%的F1。
2022-11-01 cs.CR
DWFS-Obfuscation: Dynamic Weighted Feature Selection for Robust Malware Familial Classification under Obfuscation
本文提出动态加权特征选择方法DWFS-Obfuscation，结合图神经网络提升Android恶意软件家族分类在混淆攻击下的鲁棒性，在8,664个样本和44,940个混淆变体上取得95.56%和92.28%的F1分数。
2025-04-10 cs.CR
Resilient and Adaptive Framework for Large Scale Android Malware Fingerprinting using Deep Learning and NLP Techniques
Android恶意软件检测是一个严重的问题，影响了现有市场中使用数百万Android应用程序（应用程序）的数十亿用户。本文提出了PetaDroid，一个准确的Android恶意软件检测和家庭聚类的框架上的静态分析。PetaDroid自动适应Android恶意软件和随着时间的推移与常见的二进制混淆技术的弹性良性变化。该框架采用了基于自然语言处理（NLP）和机器学习技术的新技术，以实现准确、自适应和弹性的Android恶意软件检测和家族聚类。PetaDroid使用卷积神经网络（CNN）的集成来识别恶意软件。该框架利用使用深度神经自动编码器生成的样本特征聚类将检测到的恶意软件样本聚类到恶意软件家族组中。为了适应变化，PetaDroid在部署过程中利用检测置信概率自动收集扩展数据集，并定期使用它们来构建新的恶意软件检测模型。此外，PetaDroid在训练过程中使用代码片段随机化，以增强对常见混淆技术的弹性。我们在多个参考数据集上广泛评估了PetaDroid。PetaDroid在不同的评估设置下实现了高检测率（98- 99%f1评分），在生成的聚类中具有高同质性（96%）。我们与最先进的解决方案MaMaDroid、DroidAPIMiner、MalDozer进行了彻底的定量比较，其中PetaDroid在所有评估设置下都优于它们。
2021-05-27 cs.CR
Tackling Android Stego Apps in the Wild
数字图像取证是一个年轻但成熟的领域，包括相机识别，伪造图像检测和隐写分析等关键领域。然而，学术成果和实践法医分析师使用的应用程序之间存在很大的差距。为了使学术发现更接近现实世界的实现，使用代表“野外”场景的数据非常重要。为了检测从隐写术应用程序创建的隐写图像，从这些应用程序生成的图像是理想的使用。在本文中，我们介绍了我们的工作，从移动应用程序使用两种不同的方法进行steg检测图像：“签名”检测，和机器学习方法。ML任务的一个主要挑战是从不同的应用程序中创建大量具有一定嵌入率的隐写图像。我们的主要贡献之一是使用Android模拟器和逆向工程技术生成一个大型图像数据库的过程。我们开发用于隐写应用程序的签名检测的算法和工具，并为创建ML分类器时遇到的问题提供解决方案。
2018-08-01 cs.CR
Hidden in Plain Sight: Obfuscated Strings Threatening Your Privacy
字符串模糊处理是专有的、封闭源代码的应用程序用来保护知识产权的一种成熟技术。此外，它还经常用于隐藏应用程序中的间谍软件或恶意软件。在这两种情况下，技术范围从XOR运算上的位操作到AES加密。然而，字符串混淆技术/工具有一个共同的弱点：它们通常必须将必要的逻辑嵌入到应用程序代码中以消除字符串的混淆。在本文中，我们展示了Android恶意和良性应用程序中发现的大多数字符串混淆技术可以很容易地以自动化的方式被破坏。我们开发了StringHound，这是一个开源工具，它使用新颖的技术来识别混淆的字符串并使用切片重建原始字符串。我们在良性和恶意Android应用程序上评估了StringHound。总之，我们对混淆字符串的去混淆处理几乎是其他字符串去混淆工具的30倍。此外，我们分析了100，000个Google Play商店应用程序，发现了多个模糊字符串，这些字符串隐藏了易受攻击的加密用法，不安全的互联网访问，API密钥，硬编码密码以及在开发人员不知情的情况下利用特权。此外，我们的分析表明，不仅恶意软件使用字符串混淆，而且良性应用程序也广泛使用字符串混淆。
2020-09-09 cs.CR
An Empirical Study of Code Obfuscation Practices in the Google Play Store
University of New South Wales (UNSW)（新南威尔士大学）；University of Sydney（悉尼大学）
本文对 Google Play 商店八年内超 50 万个 Android APK 进行大规模实证分析，提出分类器检测混淆代码与工具，揭示混淆使用率增长 13% 的趋势及其在热门应用和游戏类中的更高普及度。
2025-02-07 cs.AI cs.CR cs.SE
Characterizing SEAndroid Policies in the Wild
从5.0 Lollipop版本开始，所有Android进程都必须在受限的SEAndroid访问控制域中运行。因此，Android设备制造商被迫开发SEAndroid专业知识，以便为其设备特定组件创建策略。在本文中，我们分析了市场上一些5.0 Lollipop设备的SEAndroid策略，并确定了我们发现的常见问题的模式。我们还提出了一些可以改进策略设计和分析的实用工具。我们实现了第一个这样的工具，SEAL。
2015-10-28 cs.CR
Mapping System Level Behaviors with Android APIs via System Call Dependence Graphs
由于Android的开源特性和开发者进入门槛低，数百万开发者和第三方组织被吸引到Android生态系统中。然而，超过90%的移动恶意软件都是针对Android的。虽然Android提供了多种安全功能和层次来保护用户数据和系统资源，但在Google Play商店或第三方Android应用商店中仍然存在一些特权过大的应用程序。在本文中，我们提出了一种映射系统级行为和Android API的方法，基于观察到系统级行为无法避免，但敏感的Android API可以规避。据我们所知，我们的方法提供了通过系统调用依赖图映射系统级行为和Android API的第一项工作。研究还表明，我们的方法可以有效地识别潜在的权限滥用，几乎可以忽略不计的性能影响。
2019-06-24 cs.CR
Encryption and Real Time Decryption for protecting Machine Learning models in Android Applications
随着机器学习在Android应用程序中的使用越来越多，越来越多的研究和努力被投入到开发具有大量数据的性能更好的机器学习算法中。随着移动电话的机器学习，存在通过逆向工程从应用程序包（APK）提取训练好的机器学习模型的威胁。目前，有一些方法可以保护移动应用程序中的模型，例如名称混淆，云部署，最后一层隔离。尽管如此，它们提供的安全性较低，并且它们的实现需要更多的努力。本文提出了一种在Android应用程序中保护训练好的机器学习模型的算法，该算法通过对模型进行加密，并在运行的应用程序中使用256位高级加密标准（AES）实时解密来保证模型的安全性。它可以有效地处理大型模型文件，而不会中断用户界面（UI）线程。与其他方法相比，它更快，更安全，而且工作量更少。该算法为开发人员和研究人员提供了一种方法来保护他们的行为，并使所有人都可以毫无顾虑地获得结果。
2021-09-06 cs.CR
Review of Deep Learning-based Malware Detection for Android and Windows System
Chosun University（朝鲜大学）
本文综述了分别针对Windows和Android系统的两种AI赋能恶意软件检测技术，二者在检测多种恶意软件家族时均达到完美准确率，证明AI方法能有效对抗具备混淆能力的现代恶意软件。
2023-07-04 cs.CR cs.LG
Measuring and Explaining the Effects of Android App Transformations in Online Malware Detection
本文提出数据驱动方法，通过六种Android应用变换、一个月VirusTotal跟踪及971K余份报告，分析并解释杀毒引擎检测机制与规避影响。
2025-07-27 cs.CR
Demystifying security and compatibility issues in Android Apps
从来没有任何操作系统像Android这样受欢迎。现有的移动电话不仅仅是用于打电话和接收SMS消息的设备，而是用于网上冲浪、社交网络等的强大的通信和娱乐平台。即使Android OS提供强大的通信和应用执行能力，但它也充满了缺陷（例如，安全风险和兼容性问题），每天都有新的漏洞出现，漏洞每年给经济造成数百亿美元的损失。例如，恶意应用程序（例如，后门、欺诈应用程序、勒索软件、间谍软件等）据报道[Google，2022]显示出恶意行为，包括隐私窃取、安装不需要的程序等。为了对抗这些威胁，已经提出了许多依赖于静态分析技术来检测这些问题的工作。然而，静态技术本身不足以精确地检测这种缺陷。这将可能产生假阳性结果，因为静态分析在处理复杂情况时必须做出一些权衡（例如，对象敏感对对象不敏感）。此外，静态分析技术还可能遭受可靠性问题，因为某些复杂的特征（例如，反射、混淆和硬化）是难以处理的[Sun等人，2021 b，Samhi等人，2022年]。
2023-02-15 cs.CR cs.SE
Android Malware Detection Based on RGB Images and Multi-feature Fusion
Beijing Electronic Science and Technology Institute（北京电子科技学院）
本文提出一种基于RGB图像和多特征融合的Android恶意软件端到端检测方法，通过提取DEX、AndroidManifest.xml和API调用并组合为RGB图像，准确率达97.25%，优于现有方法。
2024-08-29 cs.CR cs.LG
MalLoc: Toward Fine-grained Android Malicious Payload Localization via LLMs
针对传统技术无法细粒度定位Android恶意负载的局限，提出利用大语言模型代码理解能力的MalLoc方法，实验证明其可行性与有效性，能提升分析精度和可解释性，为恶意软件研究开辟新方向。
2025-08-25 cs.CR cs.SE
Obfuscating Code Vulnerabilities against Static Analysis in JavaScript Code
University of Verona（维罗纳大学）；University of Cagliari（卡利亚里大学）；School of Advanced Defense Studies (CASD)（高级防务研究学院（CASD））；National Interuniversity Consortium for Informatics（国家大学间信息学联盟）
本文研究了JavaScript代码混淆对静态应用安全测试工具的影响，通过实证分析发现常见混淆技术可显著降低漏洞检测率，揭示当前SAST工具在面对混淆代码时的不足。
2026-04-01 cs.CR
Context-Aware Functional Modeling for Android Third-Party Library Detection
Beihang University（北京航空航天大学）；Nanyang Technological University（南洋理工大学）
本文提出LibFan，一种基于上下文感知功能建模的Android第三方库检测方法，通过方法级对比学习和库级功能划分，在R8完整模式下F1分数显著优于现有方法。
2026-09-28 cs.CR cs.SE
Automated Synthesis of Semantic Malware Signatures using Maximum Satisfiability
本文提出了一种从恶意软件家族的极少数样本中自动学习Android语义恶意软件签名的技术。我们的技术的关键思想是寻找一个最大的可疑公共子图（MSCS）之间共享的恶意软件家族的所有已知实例。MSCS根据组件间调用关系及其语义元数据（例如，数据流属性）。我们的方法确定这样的最大可疑的公共子图减少问题的最大可满足性。一旦语义签名被学习，我们的方法使用的组合静态分析和一个新的近似签名匹配算法，以确定Android应用程序是否匹配的语义签名表征一个给定的恶意软件家族。我们已经实现了我们的方法，在一个名为ASTROID的工具，并表明它具有许多优势，超过国家的最先进的恶意软件检测技术。首先，我们将ASTROID自动合成的语义恶意软件签名与以前工作中使用的手动编写的签名进行比较，并表明ASTROID学习的签名在准确性和精度方面表现更好。其次，我们比较ASTROID对两个国家的最先进的恶意软件检测工具，并证明其优势的可解释性和准确性。最后，我们证明了ASTROID的近似签名匹配算法是抵抗行为混淆，它可以用来检测零日恶意软件。特别是，我们能够在Google Play中找到22个零日恶意软件实例，这些实例未被现有工具报告为恶意软件。
2017-06-16 cs.CR
Version-level Third-Party Library Detection in Android Applications via Class Structural Similarity
针对现有Android第三方库检测工具版本级检测误报率高的问题，提出基于类依赖图结构相似性的SAD工具，在混淆应用上的版本级检测F1达84.82%，优于现有最先进工具。
2025-06-18 cs.CR cs.SE
From Obfuscated to Obvious: A Comprehensive JavaScript Deobfuscation Tool for Security Analysis
Beijing University of Post and Telecommunication（北京邮电大学）
JSIMPLIFIER是一种全面的JavaScript去混淆工具，通过多阶段管道和多维评估指标，在20种混淆技术上实现100%处理能力，提升代码可读性四倍以上。
2025-12-16 cs.CR cs.SE
Towards Understanding and Characterizing the Arbitrage Bot Scam In the Wild
本文首次全面分析了在线社交网络上的“套利机器人”加密货币骗局，开发了全自动检测系统 CryptoScamHunter，在一年内发现上万条骗局视频及上千个骗局地址，揭示其导致超2.5万名受害者损失达1500万美元。
2023-10-18 cs.CR cs.SI
