An Empirical Study on User Reviews Targeting Mobile Apps' Security & Privacy
University of Calgary(卡尔加里大学)
应用程序市场以应用程序评论的形式为应用程序开发人员和最终用户之间提供了一个沟通渠道,允许用户提供有关应用程序的反馈。虽然移动应用程序的安全和隐私是最大的问题之一,但目前还不清楚有多少人意识到这些问题或在评论中讨论这些问题。在这项研究中,我们探讨了用户在Google Play商店中使用评论的隐私和安全问题。为此,我们进行了一项研究,分析了来自Android市场前539个应用程序的约220万条评论。我们发现,这些评论中有0.5%与用户的安全和隐私问题有关。我们通过执行动态分析进一步调查了这些应用程序,这为我们提供了对其实际行为的宝贵见解。基于不同的视角,我们对应用程序进行了分类,并评估了不同因素如何影响用户对应用程序的感知。从结果中可以明显看出,应用程序请求的权限数量在这件事中起着主导作用。我们还发现,发送位置信息会影响用户对应用程序的看法。其他因素不会直接影响用户的隐私和安全问题。
2020-10-11 cs.AI cs.CR cs.LG
Systematic Evaluation and User Study of Privacy of Default Apps in Apple's Mobile Ecosystem
用户需要在首次开始使用设备时配置默认应用程序。默认应用程序的隐私配置并不总是与用户认为他们最初启用的配置相匹配。我们首先系统地评估了默认应用程序的隐私配置。我们发现默认应用程序的文档存在严重问题。基于这些发现,我们探讨了用户的经验与访谈研究(N=15)。我们从两项研究中发现:设置默认应用程序的隐私配置的说明是模糊的,缺乏必要的步骤;用户无法禁用默认应用程序访问他们的个人信息;用户认为他们正在被一些默认应用程序跟踪;默认应用程序可能会导致家庭关系紧张,因为信息共享。我们的研究结果阐明了配置默认应用程序隐私的隐私和安全影响,以及用户如何感知和理解移动生态系统。
2022-10-10 cs.CR cs.HC
Poster: Sponge ML Model Attacks of Mobile Apps
University of Tartu(塔尔图大学);Telefonica Research(西班牙电信研究院)
机器学习(ML)驱动的应用程序用于手机、平板电脑、智能手表和物联网设备等普及设备。协作分布式机器学习的最新进展,如联邦学习(FL),试图解决用户和数据所有者的隐私问题,因此被谷歌、Facebook和苹果等科技行业领导者所使用。然而,FL系统和模型仍然容易受到敌对成员和属性推断以及模型中毒攻击的影响,特别是在最近提出的FL-as-a-Service生态系统中,这可以使攻击者访问多个ML驱动的应用程序。在这项工作中,我们专注于最近提出的Sponge攻击:它旨在吸收执行ML模型推理(而不是训练)时消耗的能量,而不会妨碍分类器的性能。最近的研究表明,对支持ASCI的GPU的海绵攻击可能会增加功耗和推理时间。在这项工作中,我们第一次调查了移动环境中的这种攻击,并测量了它对移动设备上应用程序内部运行的ML模型的影响。
2023-03-01 cs.CR cs.LG cs.PF
A Study on the Vulnerabilities of Mobile Apps associated with Software Modules
本文报告了一项旨在了解移动应用程序(app)漏洞如何与软件库相关联的大规模研究。我们分析免费和付费应用程序。研究付费应用程序非常有意义,因为它帮助我们了解应用程序开发/维护的差异如何影响与库相关的漏洞。我们分析了从官方Android市场收集的3万个免费和付费应用程序。我们的广泛分析显示,大约70%/50%的免费/付费应用程序漏洞来自软件库,特别是来自第三方库。有些矛盾的是,我们发现更昂贵/更流行的付费应用程序往往有更多的漏洞。这是因为更昂贵/更流行的付费应用程序往往具有更多的功能,即,更多的代码和库,这增加了漏洞的可能性。根据我们的研究结果,我们为移动应用分发生态系统的利益相关者提供了建议。
2017-03-27 cs.CR
Forensics Analysis of Android Mobile VoIP Apps
互联网协议语音(VoIP)应用程序(app)为用户提供了方便且低成本的手段来实时地彼此通信和共享信息。这些应用程序的受欢迎程度与日俱增,人们产生并分享了大量数据,包括他们的个人和敏感信息。这可能会导致一些隐私问题,例如泄露用户联系人,私人消息或个人照片。因此,有必要对这些应用程序进行最新的取证了解。本章分析了Google Play商店中三种流行的移动VoIP(mVoIP)应用程序的有价值的残留物,即Viber,Skype和WhatsApp Messenger,以确定这些应用程序在多大程度上揭示了有关用户活动的有价值的信息。我们对智能手机设备上的这三个mVoIP应用程序进行了彻底的调查研究。我们的实验结果表明,几个文物,如消息,联系方式,电话号码,图像和视频文件,是可恢复的智能手机设备,配备了这些mVoIP应用程序。
2017-09-15 cs.CR
Ecosystem-Driven Privacy Exposure in Mobile Gaming Apps: A Configuration-Aware Empirical Analysis
Computer Science Department, Jamoum University College, Umm Al-Qura University(乌姆·古拉大学贾穆姆学院计算机科学系)
本研究通过配置感知的实证分析,检查Android移动游戏应用的权限、清单配置、导出组件和SDK生态系统复杂性,发现隐私暴露与生态系统级架构决策强相关,而非仅权限请求。
2026-05-25 cs.CR
Buying Privacy: User Perceptions of Privacy Threats from Mobile Apps
随着科技和科技公司的力量、普及和社会影响力的增长,一些公司--尤其是一些移动应用--已经被视为隐私威胁。先前的工作已经考虑了各种因素如何影响威胁的感知,包括社会因素,政治言论和用户界面设计。在这项工作中,我们调查用户可见的上下文线索如何影响感知移动应用程序是否构成隐私威胁。我们对2109名用户进行了一项用户研究,发现用户依赖于上下文线索-例如广告的存在和发生(以及支付时间)-来确定移动应用程序构成隐私威胁的程度。我们还量化了用户评估与已发布的数据汇集实践相匹配的准确程度,并确定了有关支付处理方式的常见误解。这项工作为用户如何评估移动应用程序带来的隐私威胁以及数据汇集的社会规范提供了新的见解。
2022-11-14 cs.CR cs.HC
A First Look at Ad Blocking Apps on Google Play
在线广告商和分析服务(或跟踪器)不断跟踪用户活动,因为他们通过浏览器或移动应用程序访问Web服务。已经提出了许多工具,如浏览器插件和专门的移动应用程序,以限制侵入性广告并防止在桌面计算和移动电话上进行跟踪。对于桌面计算,浏览器插件因其可用性和效率问题而受到大量研究,然而,在移动平台中阻止广告和防止跟踪器的工具受到的关注最少或根本没有。在本文中,我们首先介绍了97个Android广告拦截应用程序(或广告拦截器),这些应用程序从Google Play的150多万个应用程序中提取,这些应用程序承诺阻止广告和分析服务。通过我们对Android广告拦截器的数据汇集和分析管道,我们揭示了第三方跟踪库的存在和用户移动设备上关键资源的敏感权限,以及源代码中的恶意软件。我们分析了用户对广告拦截器在不阻止广告和跟踪器方面的无效性的评论。我们发现,很大一部分广告拦截器没有实现其广告功能。
2017-09-12 cs.CR
Contact Tracing Mobile Apps for COVID-19: Privacy Considerations and Related Trade-offs
接触者追踪是公共卫生官员和当地社区抗击新型疾病传播(如COVID-19大流行)的重要工具。新加坡政府刚刚发布了一款名为TraceTogether的手机应用程序,旨在帮助卫生官员在发现感染者后追踪暴露情况。然而,这种跟踪应用程序的存在对隐私有重要的影响。在这里,我们分析了其中的一些影响,并讨论了改善隐私问题的方法,而不减少对公共卫生的有用性。我们希望通过撰写本文档来确保隐私是围绕移动联系人追踪应用程序的对话的核心特征,并鼓励社区努力开发具有更强隐私保护的替代有效解决方案。重要的是,尽管我们讨论了可能的修改,但本文档并不意味着正式的研究论文,而是对TraceTogether等直接接触追踪应用程序的一些隐私特征的回应,以及对社区的早期评论请求。撰写日期:2020-03-24轻微更正:2020-03-30
2020-03-30 cs.CR
DaDiDroid: An Obfuscation Resilient Tool for Detecting Android Malware via Weighted Directed Call Graph Modelling
自2012年以来,新的移动恶意软件实例的数量每年增长超过50%,移动应用程序中嵌入的恶意软件可以说是移动平台面临的最严重的安全问题之一。虽然混淆技术成功地用于保护应用程序开发人员的知识产权,但不幸的是,它们也经常被网络犯罪分子用来隐藏移动应用程序中的恶意内容并欺骗恶意软件检测工具。因此,大多数移动恶意软件检测方法无法区分良性和混淆的恶意应用程序。我们通过构建API调用的加权有向图来检查移动应用程序代码的图形特征,并验证恶意应用程序通常具有可用于将其与良性应用程序区分开的结构相似性,即使在严重“污染”的训练集下,其中大多数应用程序都被混淆。我们提出DaDiDroid的Android恶意软件应用程序检测工具,利用API调用的加权有向图的功能来检测(混淆)Android应用程序中的恶意软件代码的存在。我们发现DaDiDroid明显优于MaMaDroid [23],MaMaDroid是最近提出的恶意软件检测工具,已被证明在干净的非混淆环境中检测恶意软件非常有效。我们评估DaDiDroid的准确性和鲁棒性对几个规避技术使用各种数据集,共43,262良性和20,431恶意软件应用程序。我们发现,DaDiDroid正确标记了高达96%的Android恶意软件样本,同时通过独家使用混淆应用程序的训练集实现了91%的准确率。
2019-08-21 cs.CR
Eavesdropping Mobile Apps and Actions through Wireless Traffic in the Open World
针对现有流量分析攻击依赖TCP/IP层、受限于闭世界假设的问题,提出基于WiFi MAC层流量的MACPrint系统,结合自动标注工具与带OpenMax的TCN模型,实现开放世界下移动应用及操作的高准确率识别。
2024-08-14 cs.CR
Beyond Permissions: A Configuration-Aware Empirical Assessment of Privacy Exposure in Children-Oriented and General-Audience Mobile Gaming Apps
Computer Science Department, Jamoum University College, Umm Al-Qura University(乌姆·古拉大学贾穆姆大学学院计算机科学系)
本文通过三阶段方法分析Android游戏隐私风险,发现儿童游戏虽请求权限较少,但配置层面风险高且嵌入第三方跟踪SDK,为隐私设计提供改进方向。
2026-03-30 cs.CR
Review of Mobile Apps Permissions and Associated Intrusive Privacy Threats
技术时代为智能手机和应用程序的使用创造了巨大的市场,并在知识共享的基础上创造了新一代。现在,知识已经很容易通过应用程序访问,但是,用户甚至知道这些应用程序需要的权限和涉及的隐私问题吗?这项研究是根据用户如何使用应用程序进行的。通过仔细选择的第三方应用程序和设备设置对各种应用程序所需的权限进行评估,并对应用程序和隐私领域的现有文献进行审查。将发现,每个安装的应用程序都需要许多不同但详尽的权限列表,并且安装它的设备可以为用户提供信息。此外,并非所有寻求的权限都被发现是有风险的,但有些权限只是为其他恶意程序创建了一个路径或漏洞。
2018-04-17 cs.CR cs.CY
Mobile Cloud Forensics: An Analysis of Seven Popular Android Apps
使用Martini,Do和Choo提出的Android设备的证据收集和分析方法,我们检查和分析了七个流行的Android云应用程序。首先,我们分析了每个应用程序,以查看可以从其私人应用程序存储和SD卡目录中获取哪些信息。我们整理了这些信息并使用它来帮助我们调查每个应用程序数据库文件和AccountManager数据。为了完成我们对所分析的应用程序存储的取证文物的理解,我们对应用程序进行了进一步的分析,以确定是否可以根据在初始分析阶段获得的信息为每个应用程序收集用户身份验证凭据。这项研究的贡献包括对每个分析的应用程序的文物的详细描述,这些文物具有普遍的法医学意义。
2015-06-18 cs.CR cs.CY
End-Users' Knowledge and Perception about Security of Mobile Health Apps: A Case Study with Two Saudi Arabian mHealth Providers
移动健康应用程序(简称mHealth应用程序)在医疗保健领域越来越多地被采用,使政府、卫生单位、医生和患者等利益相关者能够以普遍的方式利用健康服务。尽管mHealth应用程序具有多项已知优势,但仍会带来重大的安全和隐私挑战,可能导致数据泄露,带来严重的社会、法律和经济后果。这项研究提出了一个实证调查的安全意识的最终用户的mHealth应用程序,可在主要的移动平台,包括Android和iOS。我们与沙特阿拉伯的两家移动医疗服务提供商合作,调查了101名最终用户,调查了他们对(i)现有和期望的安全功能,(ii)安全相关问题,以及(iii)提高安全知识的方法的安全意识。调查结果表明,大多数最终用户都知道应用程序提供的现有安全功能(例如,受限的应用程序许可);然而,它们期望可用的安全性(例如,生物测定认证)并且关心他们的健康信息的隐私(例如,数据匿名化)。最终用户建议,会话超时或双因素身份验证(2FA)等协议对安全性有积极影响,但会影响应用程序的可用性。通过社交媒体,同行指导或应用程序提供商的培训提高安全意识可以增加最终用户对mHealth应用程序的信任。这项研究基于经验证据调查了以人为本的知识,并提供了一套指导方针,以开发安全和可用的mHealth应用程序。
2021-09-24 cs.CR cs.SE
(In)Security of Mobile Apps in Developing Countries: A Systematic Literature Review
本文通过系统文献综述考察发展中国家移动应用安全研究,发现相关研究数量少、漏洞检测为主要方向、金融科技应用是主要目标,并指出该领域仍需更多专门化技术。
2024-09-24 cs.CR
DeviceWatch: Identifying Compromised Mobile Devices through Network Traffic Analysis and Graph Inference
在本文中,我们建议从网络管理员的角度来识别受损的移动设备。通过不可信市场下载应用程序的无意用户(以及他们的设备)通常会通过应用程序内广告或网络钓鱼来安装恶意应用程序。因此,我们假设共享类似应用程序集的设备将具有类似的被入侵概率,从而导致被入侵设备与设备中的应用程序之间的关联。我们的目标是利用这种关联来识别未知的受损设备(即,设备可能目前还没有已知的恶意应用程序)。诚然,这种关联可能相当弱,因为应用程序在没有用户明确启动的情况下自动下载和安装其他应用程序通常很难(如果不是不可能的话)。我们描述了如何在应用基于图的推理时通过仔细选择参数来放大设备和应用程序之间的这种弱关联。我们经验表明,我们的方法的有效性与一个主要的移动服务提供商提供的移动网络流量的全面研究。具体而言,我们在AUC(ROC曲线下面积)方面达到了近98%的准确性。鉴于关联性相对较弱,我们通过将其与活动DNS数据进行比较,进一步深入分析了图推理方法的不同行为。此外,我们验证了我们的研究结果表明,检测到的受损设备确实存在不良行为方面的隐私泄漏和网络基础设施访问。
2019-11-27 cs.CR
Beyond App Markets: Demystifying Underground Mobile App Distribution Via Telegram
本研究首次全面探索 Telegram 上的地下移动应用生态系统,构建新数据集,揭示其流行度、推广策略及恶意行为,为监管和防护提供洞见。
2024-11-05 cs.CR
Understanding Mobile App Reviews to Guide Misuse Audits
本研究利用应用评论构建计算模型,识别可被利用的应用及其滥用功能,经人工验证确认156个应用,提出四种可被利用功能类型,以支持大规模滥用审计。
2024-11-08 cs.CR
A Large-Scale Empirical Study on Industrial Fake Apps
虽然已经有各种关于Android应用程序及其开发的研究,但对更广泛的应用程序类别的讨论有限。假冒应用程序及其开发与官方应用程序不同,属于移动地下产业。由于缺乏对移动地下产业的了解,虚假应用程序,其生态系统和性质仍然是个谜。为了填补这一空白,我们对一组大规模的虚假应用程序进行了首次系统和全面的实证研究。收集了与前50个热门应用程序相关的超过150,000个样本进行广泛的测量。本文从三个不同的角度,即假样本的特征、假样本的定量研究和假作者的发展趋势三个方面,对假样本的研究进行了综述。此外,有价值的领域知识,如假应用程序的命名趋势和假开发者的规避策略,然后提出并证实了案例研究,展示了假应用程序及其生态系统的清晰愿景。
2019-02-10 cs.CR
Towards Precise Detection of Personal Information Leaks in Mobile Health Apps
该研究针对安卓健康应用的个人信息泄露问题,提出提取UI语义信息、区分一三方泄露的检测方法,经1243款应用验证,揭示了健康类应用PI泄露的特征与规律。
2024-09-30 cs.CR cs.SE
Security Assessment of Mobile Banking Apps in West African Economic and Monetary Union
本研究通过静态分析评估了西非经济货币联盟59个移动银行应用的安全状况,发现其存在开发引入的安全风险且更新后问题常持续,但严重问题少于其他地区,并指出跨国银行分支应用会继承并新增安全问题,强调需加强安全实践。
2024-11-06 cs.CR
LeakSemantic: Identifying Abnormal Sensitive Network Transmissions in Mobile Applications
移动应用程序(app)经常通过网络传输各种意图的敏感数据。需要一些传输来实现应用程序的功能。然而,与恶意接收者的传输可能导致隐私泄露,并且倾向于隐秘地行为以逃避检测。问题是双重的:如何在移动应用程序中揭露敏感传输,以及如何确定敏感传输是否合法?在本文中,我们提出了LeakSemantic,这是一个可以自动定位移动应用程序中异常敏感网络传输的框架。LeakSemantic由一个混合程序分析组件和一个机器学习组件组成。我们的程序分析组件结合了静态分析和动态分析,可精确识别敏感的变速器。与现有的污点分析方法相比,LeakSemantic实现了更高的准确性,误报更少,并且能够收集每次传输的网络流量等运行时数据。基于从运行时数据导出的特征,构建机器学习分类器以进一步区分合法和非法披露。实验表明,LeakSemantic在1404个应用程序的2279个敏感连接上达到了91%的准确率。
2017-02-07 cs.CR
An Empirical Analysis of Google Play Data Safety Disclosures: A Consistency Study of Privacy Indicators in Mobile Gaming Apps
Umm Al-Qura University(乌姆古拉大学)
本研究通过分析41款移动游戏应用,探讨开发者报告的数据安全披露与APK中提取的隐私指标一致性,发现设备ID披露一致性较高,而位置、个人信息和数据共享存在显著不一致。
2026-03-25 cs.CR
mopri - An Analysis Framework for Unveiling Privacy Violations in Mobile Apps
TU Dresden(德累斯顿工业大学);SDTB, Germany(萨克森州数字与技术创新中心)
mopri是一种用于分析移动应用隐私合规性的框架,通过整合静态和动态分析方法,提供模块化流程以检测隐私侵犯。
2026-02-03 cs.CR cs.CY
Is It a Trap? A Large-scale Empirical Study And Comprehensive Assessment of Online Automated Privacy Policy Generators for Mobile Apps
本文首次从多维度评估 10 个移动应用在线隐私政策生成器,并分析 Google Play 的 46,472 份政策,发现约 20.1% 可能由其生成且存在 GDPR、CCPA、LGPD 合规缺陷。
2023-09-23 cs.CR cs.SE
COVID-19 Contact-Tracing Mobile Apps: Evaluation and Assessment for Decision Makers
从政府到非营利组织,许多团体都迅速采取行动,创新了联系人追踪流程:他们正在设计、构建和推出联系人追踪应用程序,以应对COVID-19危机。存在各种各样的方法,为希望在其社区实施接触者追踪技术的官员带来了挑战性的选择,并引起了被要求参与接触者追踪的公民对这些选择的关切。我们经常被问及如何评估和区分联系人追踪应用程序的选项。在这里,我们分享了我们在审查全球舞台上出现的许多联系人追踪应用程序时提出的关于应用程序功能和计划的问题。
2020-06-04 cs.CR cs.CY cs.NI
LLMs on support of privacy and security of mobile apps: state of the art and research directions
Department of Theoretical and Applied Science (DISTA)(理论与应用科学系);University of Insubria(因斯布里亚大学)
本文探讨了大型语言模型在移动应用安全和隐私保护中的应用,分析了其在缓解常见安全风险中的潜力及面临的挑战。
2025-11-28 cs.AI cs.CR
SeMA: Extending and Analyzing Storyboards to Develop Secure Android Apps
本研究提出基于故事板的Android应用安全开发方法SeMA,将安全纳入设计阶段,可检测预防49种已知漏洞,还能缩短开发时间。
2024-03-10 cs.CR cs.PL cs.SE
Assessing and Enhancing Quantum Readiness in Mobile Apps
本研究通过分析超4000个Android应用发现其普遍依赖易受量子攻击的密码算法且缺乏PQC采用,并评估了主流LLM在自动化密码迁移中的表现,指出LLM虽能完成简单哈希替换但无法实现PQC升级,凸显了结构化指导的必要性。
2025-06-01 cs.CR cs.SE
An Android Cloud Storage Apps Forensic Taxonomy
在过去的十年里,手机在我们的日常活动中扮演着非常重要的角色。随着对这些设备需求的增加,人们现在更加依赖智能手机应用程序来完成日常任务,许多人更喜欢将移动数据保存在云平台上,以便在任何设备上的任何地方访问它们。云技术是更好的数据存储的新方法,因为它提供了更好的安全性,更大的灵活性和移动性。许多智能手机已被调查为犯罪的主体,客体或工具。其中许多调查包括分析通过云存储应用程序存储的数据,这有助于移动设备上云应用程序取证的重要性。在本文中,各种云Android应用程序进行了分析,使用取证工具XRY和取证分类调查这些应用程序的建议。拟议的分类反映了从31个不同的云应用程序中检索的残留文物。预计本文提出的分类法和法医调查结果将有助于未来的法医调查,涉及基于云的存储应用程序。
2017-06-25 cs.CR
MobileAppScrutinator: A Simple yet Efficient Dynamic Analysis Approach for Detecting Privacy Leaks across Mobile OSs
智能手机,我们随身携带的设备,正在被大量跟踪,毫无疑问已经成为对我们隐私的主要威胁。由于“跟踪跟踪器”已成为一种必要,过去已开发了各种静态和动态分析工具。然而,今天,我们仍然缺乏合适的工具来检测,测量和比较跨移动操作系统的持续跟踪。为此,我们提出了MobileAppScrutinator,基于一个简单而有效的动态分析方法,适用于Android和iOS(当今最流行的两个操作系统)。为了展示当前的跟踪趋势,我们选择了Android和iOS AppStore上最具代表性的140个应用程序,并使用MobileAppScrutinator进行测试。事实上,在Android和iOS上选择相同的应用程序集也使我们能够比较这两个操作系统上的持续跟踪。最后,我们还讨论了Android和iOS上可用的隐私保护措施的有效性。我们表明,无论是Android还是iOS的隐私保护措施在目前的状态是完全令人满意的。
2016-06-10 cs.CR
On the Usability (In)Security of In-App Browsing Interfaces in Mobile Apps
由于在各种应用场景中频繁遇到web URL(例如,聊天和电子邮件阅读),许多移动应用构建其应用内浏览界面(IABI)以提供无缝的用户体验。虽然这通过避免主题应用程序和系统内置浏览器应用程序之间的不断切换实现了用户友好性,但我们发现,如果没有良好的设计或定制,IABI可能会导致可用性安全风险。在本文中,我们对Android和iOS应用程序中应用内浏览界面的可用性(不)安全性进行了首次实证研究。具体来说,我们从包含IABI的五个常见应用程序类别(包括Facebook和Gmail)中收集了25个知名移动应用程序的数据集,并进行了系统分析(但不是最终用户研究),其中包括八个精心设计的安全测试,并涵盖了打开,显示和导航应用程序内网页的整个过程。在这个过程中,我们得到了三个主要的安全发现:(1)大约30%的测试应用无法提供足够的URL信息,让用户在打开URL时做出明智的决定;(2)几乎所有的自定义IABI都存在各种问题,无法提供足够的指示器来忠实地向用户显示应用内页面,而基于Chrome自定义标签和SFSafariViewController的十个IABI通常是安全的;以及(3)只有少数IABI会发出警告,提醒用户在导航(可能是网络钓鱼)登录页面期间输入密码的风险。大多数开发人员已经承认了我们的发现,但他们修复可用性问题的意愿和准备程度与修复技术漏洞相比相当低,这是可用性安全研究中的一个难题。…
2022-09-04 cs.CR cs.HC
iLibScope: Reliable Third-Party Library Detection for iOS Mobile Apps
审查iOS应用中第三方库引入的安全影响需要可靠的库检测技术。特别是当在第三方库中发现新的漏洞(或隐私侵犯行为)时,实际上需要精确识别iOS应用程序的库及其版本的存在。然而,很少有研究已经提出来解决这个问题,他们都遭受不同库中的代码重复问题。在本文中,我们重点关注iOS应用程序中的第三方库检测。给定一个应用程序,我们的目标是识别集成库并确定其版本(或版本范围)。为此,我们首先对iOS第三方库进行深入研究,以消除代码重复挑战的神秘性。通过这样做,我们有两个关键的观察结果:1)即使两个库可以共享类,共享的类也不能同时集成到应用程序中,而不会导致类名冲突; 2)两个库的多个版本之间的代码重复可能会有所不同。基于这些发现,我们提出了一种新的基于配置文件的相似性比较方法来执行检测。具体来说,我们建立了一个库数据库,由具有不同版本的原始库二进制文件组成。在提取每个库版本和目标应用的配置文件后,我们进行相似性比较以找到最佳匹配。我们在iLibScope中实现了这种方法。我们建立了一个由5,807个应用程序和10,495个库集成组成的基准测试,并将我们的工具应用于其中。我们的评估表明,iLibScope实现了库检测的召回率超过99%,准确率超过97%。我们还应用了iLibScope来检测现实世界中iOS移动应用程序中存在的知名易受攻击的第三方库,以显示我们的工具的前景。它成功地从4,249个应用程序…
2022-07-05 cs.CR cs.SE
Characterizing Location-based Mobile Tracking in Mobile Ad Networks
如今,移动应用程序通常与第三方广告库打包在一起,以利用用户数据赚钱。
2019-03-24 cs.CR
Beyond the Virus: A First Look at Coronavirus-themed Mobile Malware
随着2019冠状病毒病疫情于二零二零年初出现,一些恶意行为者开始利用这一话题。尽管有少数媒体报道提到了以冠状病毒为主题的移动恶意软件的存在,但研究界缺乏对以冠状病毒为主题的移动恶意软件的了解。在本文中,我们首次系统地研究了以冠状病毒为主题的Android恶意软件。我们首先努力创建一个每日增长的COVID-19主题移动应用程序数据集,截至2020年11月中旬,该数据集包含4,322个COVID-19主题apk样本(2,500个独特应用程序)和611个潜在恶意软件样本(370个独特恶意应用程序)。然后,我们从多个角度对它们进行了分析,包括趋势和统计数据,安装方法,恶意行为以及背后的恶意行为者。我们观察到,COVID-19主题应用程序以及恶意应用程序几乎在全球疫情爆发后就开始蓬勃发展。大多数恶意应用程序都使用相同的应用程序标识符(例如,应用程序名称、包名称和应用程序图标)。他们的主要目的要么是窃取用户的私人信息,要么是通过使用网络钓鱼和勒索等手段获利。此外,只有四分之一的COVID-19恶意软件创建者是长期活跃的习惯性开发者,而其中75%是这一流行病的新手。恶意开发者主要位于美国,主要针对英语国家,中国,阿拉伯国家和欧洲等国家。为了促进未来的研究,我们已向研究界公开发布了所有标记良好的COVID-19主题应用程序(和恶意软件)。到目前为止,全球已有30多家研究机构要求我们提供数据集,用于…
2021-04-18 cs.CR
Security Apps under the Looking Glass: An Empirical Analysis of Android Security Apps
第三方安全应用程序是Android应用程序生态系统不可或缺的一部分。许多用户安装它们作为其设备的额外保护层。有数百个这样的安全应用程序,在谷歌Play商店免费和付费,其中一些被下载了数百万次。通过安装安全应用程序,智能手机用户对开发这些应用程序的安全公司产生了极大的信任,因为功能齐全的移动安全应用程序需要访问许多智能手机资源,例如存储,短信和电子邮件,浏览器历史记录以及有关其他已安装应用程序的信息。这些资源通常包含高度敏感的个人信息。因此,必须了解移动安全应用程序生态系统,以评估安装它们是否确实有益。为此,在本文中,我们提出了Android安全应用程序的第一个实证研究。我们从元数据、静态分析和动态分析等多个方面分析了100个Android安全应用程序,并对其操作和行为进行了深入分析。我们的研究结果显示,在我们研究的安全应用程序中,有20%可能会将从智能手机收集的数据转售给第三方;在某些情况下,甚至未经用户同意。此外,我们的实验表明,大约50%的安全应用程序无法识别安装在智能手机上的恶意软件。
2020-07-08 cs.CR
Characterizing Sensor Leaks in Android Apps
虽然手机传感器对于实现高级功能非常有价值,但攻击者可能会滥用手机传感器在Android应用程序中实施恶意活动,正如许多最先进的研究所证明的那样。因此,迫切需要规范移动传感器的使用,以防止它们被恶意攻击者利用。然而,尽管为实现这一目标作出了各种努力,检测Android应用程序中的隐私泄漏,我们还没有找到自动检测Android应用程序中传感器泄漏的方法。为了填补这一空白,我们设计并实现了一个新颖的原型工具SEEKER,它扩展了著名的FlowDroid工具,以检测Android应用程序中基于传感器的数据泄漏。SEEKER直接对Android应用程序的字节码进行以传感器为中心的静态污点分析,不仅报告传感器触发的隐私泄露,还报告泄露中涉及的传感器类型。使用超过40,000个真实Android应用程序的实验结果表明,SEEKER可以有效地检测Android应用程序中的传感器泄漏,恶意应用程序比良性应用程序对泄漏传感器数据更感兴趣。
2022-01-17 cs.CR cs.SE
Demystifying COVID-19 digital contact tracing: A survey on frameworks and mobile apps
新型冠状病毒大流行是一个新的现实,它严重影响了国际社会的权宜之计。在这种情况下,各国政府正急于设计或采用新的监测机制和监测系统来抗击疫情。数字追踪应用程序的开发,除其他外,旨在以保护隐私的方式自动化和全球化地及时提醒处于风险中的个人,是这一持续努力的一个突出例子。很快,一些数字接触追踪架构已经萌芽,随后是全球政府采用的相关应用程序实现。蓝牙,特别是其低功耗(BLE)节能变体,已经成为实现联系人追踪服务的最有前途的短距离无线网络技术。这项工作提供了第一个我们所知的,全面审查的最具体的接触跟踪架构提出迄今为止在全球范围内。这一努力不仅包括不同类型的架构和系统,即集中式,分散式或混合式,而且同样解决了客户端,即,每个国家已经在欧洲部署的应用程序。还有一个全谱的对手模型部分,它不仅融合了以前的工作,而且还带来了新的见解和角度来思考。
2020-09-17 cs.CR
AuDroid: Preventing Attacks on Audio Channels in Mobile Devices
话音控制是操作移动设备的流行方式,使用户能够向其设备传送请求。然而,攻击者可以利用话音控制来欺骗移动设备执行命令以泄露机密或修改关键信息。当代移动操作系统无法防止此类攻击,因为它们根本不控制对扬声器的访问,并且无法控制不受信任的应用何时可以使用麦克风,从而使得授权的应用能够创建可利用的通信信道。在本文中,我们提出了一种安全机制,明确地跟踪创建的音频通信通道,并控制这些通道上的信息流,以防止几种类型的attacks.We设计和实现AuDroid,扩展SELinux参考监视器集成到Android操作系统的动态变化的系统音频资源的使用强制执行晶格安全策略。为了增强灵活性,当检测到信息流错误时,设备所有者、系统应用程序和服务有机会使用已知方法解决信息流错误,使AuDroid能够安全地运行许多配置。我们在17个广泛使用麦克风和扬声器的应用程序上评估了我们的方法,发现AuDroid可以防止音频通道上的六种类型的攻击场景,同时允许所有17个应用程序有效运行。AuDroid表明,它可以防止使用音频通道的攻击,而不会影响功能或引入显着的性能开销。
2016-04-01 cs.CR cs.OS
SeMA: A Design Methodology for Building Secure Android Apps
UX(用户体验)设计师通过故事板直观地捕捉应用程序的UX。这种方法也用于Android应用程序开发,以概念化和设计应用程序。最近,安全性已成为Android应用程序UX不可或缺的一部分,因为移动应用程序用于执行银行、通信和健康等关键活动。因此,保护用户信息在移动应用程序中至关重要。在这种情况下,故事板工具提供了有限的能力来捕获和推理应用程序的安全需求。因此,安全性不能在设计时融入应用程序。因此,由设计缺陷引起的漏洞经常会出现在应用程序中。为了解决这个问题,在本文中,我们提出了一个基于故事板的设计方法,使规范和验证的Android应用程序的安全属性在设计时。
2019-09-20 cs.CR cs.PL cs.SE
Listen to the Voices of Everyday Users: Democratizing Privacy Ratings for Sensitive Data Access in Mobile Apps
Huazhong University of Science and Technology(华中科技大学);Beijing University of Posts and Telecommunications(北京邮电大学)
本文提出民主化隐私评估范式,通过用户参与设计开发DePRa系统,评估用户对敏感数据访问的隐私评分,验证其在补充专家审计中的可行性与包容性。
2026-04-27 cs.CR cs.HC
MadDroid: Characterising and Detecting Devious Ad Content for Android Apps
广告推动了移动应用生态系统的经济发展。作为移动广告商业模式中的关键组成部分,移动广告内容一直被研究界所忽视,这带来了许多威胁,例如,传播恶意软件和不良内容。为了了解这些不正当广告行为的做法,我们对通过自动化应用程序测试收集的应用程序内容进行了大规模研究。在这项工作中,我们首先提供了一个全面的分类不正当的广告内容,包括五种行为属于两个类别:\emph{ad loading content}和\emph{ad clicking content}。然后,我们提出了MadDroid,一个框架,用于自动检测不正当的广告内容。MadDroid利用自动化应用程序测试框架和复杂的广告视图探索策略,有效收集广告相关的网络流量,并随后提取广告内容。然后,我们将专门的方法集成到框架中,以识别不正当的广告内容。我们已经将MadDroid应用于40,000个Android应用程序,发现大约6%的应用程序提供了不正当的广告内容,例如,分发无法通过传统应用市场下载的恶意应用。实验结果表明,不正当的广告内容是普遍存在的,这表明我们的社区应该投入更多的精力来检测和缓解不正当的广告,以建立一个值得信赖的移动广告生态系统。
2020-02-05 cs.CR cs.SE
Uncovering and Exploiting Hidden APIs in Mobile Super Apps
本研究针对移动超级应用中存在的无文档、不安全隐藏API风险,开发结合静态与动态分析的APIScope工具,在五款热门超级应用中发现大量可被利用的隐藏API并验证其安全危害,相关漏洞已上报厂商并获部分修复。
2023-06-13 cs.CR
Mobile App Security Trends and Topics: An Examination of Questions From Stack Overflow
该研究挖掘并定量、定性分析 Stack Overflow 上的移动应用安全问题,识别出七类主题,揭示开发者实际安全需求,为工具与资源开发提供依据。
2024-09-14 cs.CR cs.SE
Discovering and Understanding the Security Hazards in the Interactions between IoT Devices, Mobile Apps, and Clouds on Smart Home Platforms
灵巧家庭将数十个家庭设备连接到互联网,物联网云运行各种家庭自动化应用程序。在带来前所未有的便利性和可访问性的同时,也给用户带来了各种安全隐患。以前的研究从几个方面研究了灵巧家庭的安全性。然而,我们发现,参与实体之间的相互作用的复杂性(即,设备、物联网云和移动应用程序)尚未得到系统的研究。在这项工作中,我们对五个广泛使用的灵巧家庭平台进行了深入分析。结合固件分析、网络流量拦截和黑盒测试,我们对参与实体之间的交互细节进行了逆向工程。在此基础上,我们分别推导出了三个实体的合法状态转换图。使用这些状态机作为参考模型,我们确定了一组意外的状态转换。为了确认和触发意外的状态转换,我们实现了一组幻影设备来模拟真实设备。通过指示幻影设备干预正常的实体间交互,我们发现了几个新的漏洞和一系列针对现实世界灵巧家庭平台的攻击。
2019-06-26 cs.CR cs.NI
An Empirical Study on Android-related Vulnerabilities
移动设备在日常生活中的使用越来越多。它们是我们的相机、钱包和钥匙。基本上,它们将我们的大部分私人信息嵌入我们的口袋里。由于这个原因和其他原因,移动设备,特别是在它们上运行的软件,被认为是软件漏洞领域的一等公民。一些研究调查了移动应用程序以及更广泛的移动设备背景下的软件漏洞现象。这些研究大多集中在可能影响移动应用程序的漏洞上,而只有少数研究影响移动应用程序运行的底层平台的漏洞:操作系统(OS)。此外,这些研究是在非常有限的一组漏洞上进行的。在本文中,我们提出了迄今为止调查Android相关漏洞的最大研究,特别关注影响Android操作系统的漏洞。特别是,我们(i)定义了Android相关漏洞类型的详细分类;(ii)调查受漏洞影响的Android操作系统的层和子系统;(iii)研究漏洞的生存能力(即,漏洞引入和修复之间的天数)。我们的发现可以帮助操作系统和应用程序开发人员专注于他们的验证和验证活动,并帮助研究人员构建为移动世界量身定制的漏洞检测工具。
2017-04-11 cs.CR cs.SE
A Developer-Centric Study Exploring Mobile Application Security Practices and Challenges
该研究通过对全球137名资深移动应用开发者的调查,梳理了开发者的移动应用安全实践现状与面临的漏洞、权限、隐私等挑战,指出学习材料的不足并给出相关建议,为优化安全实践、工具及培训提供参考。
2024-08-16 cs.CR cs.SE