Towards Robust Real-Time Hardware-based Mobile Malware Detection using Multiple Instance Learning Formulation
针对实时硬件恶意软件检测中良性片段被误标记导致假阳性增加的问题，本研究提出RT-HMD检测器，利用多示例学习框架和恶意判别得分细化时间序列表示，有效识别局部恶意行为，在保持召回率的同时提升了5%的精确率。
2024-04-19 cs.CR cs.LG
EMMA: A New Platform to Evaluate Hardware-based Mobile Malware Analyses
基于硬件的恶意软件检测器（HMD）是构建可信计算平台（尤其是移动平台）的关键新兴技术。因此，量化HMD对抗恶意对手的功效是一个重要的问题。挑战在于，现实世界的恶意软件通常会适应防御，逃避在实验环境中运行，并隐藏在良性应用程序后面。因此，实现HMD作为防线的潜力-具有小型和电池效率的代码库-需要评估HMD的严格基础。为此，我们引入EMMA -一个平台，以评估HMD的移动平台的有效性。EMMA将恶意软件解构为原子的正交动作，并引入了一种系统化的方法，使不同的HMD与隐藏在良性应用程序中的恶意软件的不同子集相对抗。EMMA通过真实的用户输入驱动恶意软件和良性程序，以产生HMD的有效操作范围-即，特定HMD能够检测到的恶意软件动作。我们发现，小的原子操作，如窃取联系人或短信，具有惊人的大硬件足迹，并使用这种见解来设计HMD算法，比以前的工作侵入性更小，但性能提高24.7%。最后，EMMA提出了一个令人惊讶的新结果-恶意软件用来逃避静态分析的混淆技术使它们更容易被HMD检测到。
2016-03-11 cs.CR
DaDiDroid: An Obfuscation Resilient Tool for Detecting Android Malware via Weighted Directed Call Graph Modelling
自2012年以来，新的移动恶意软件实例的数量每年增长超过50%，移动应用程序中嵌入的恶意软件可以说是移动平台面临的最严重的安全问题之一。虽然混淆技术成功地用于保护应用程序开发人员的知识产权，但不幸的是，它们也经常被网络犯罪分子用来隐藏移动应用程序中的恶意内容并欺骗恶意软件检测工具。因此，大多数移动恶意软件检测方法无法区分良性和混淆的恶意应用程序。我们通过构建API调用的加权有向图来检查移动应用程序代码的图形特征，并验证恶意应用程序通常具有可用于将其与良性应用程序区分开的结构相似性，即使在严重“污染”的训练集下，其中大多数应用程序都被混淆。我们提出DaDiDroid的Android恶意软件应用程序检测工具，利用API调用的加权有向图的功能来检测（混淆）Android应用程序中的恶意软件代码的存在。我们发现DaDiDroid明显优于MaMaDroid [23]，MaMaDroid是最近提出的恶意软件检测工具，已被证明在干净的非混淆环境中检测恶意软件非常有效。我们评估DaDiDroid的准确性和鲁棒性对几个规避技术使用各种数据集，共43，262良性和20，431恶意软件应用程序。我们发现，DaDiDroid正确标记了高达96%的Android恶意软件样本，同时通过独家使用混淆应用程序的训练集实现了91%的准确率。
2019-08-21 cs.CR
Preventing Malware Pandemics in Mobile Devices by Establishing Response-time Bounds
我们研究了恶意软件在移动设备网络中的传播，这些移动设备在特定的城市区域中移动，并建立了激活反措施的时间界限，即，一种抗病毒剂或一种清洁剂，以防止流行病。更准确地说，给定初始感染群体（移动设备），我们建立对抗措施在感染后生效所需的时间（响应时间）的上限，以防止其余易受感染的设备被感染。因此，在一段时间内，我们保证不会让城市中所有易受感染的设备都受到感染，并对受感染的设备进行消毒。在我们的工作中，我们首先提出了一个恶意软件的传播模型，随着设备的移动性模型，然后，利用这些模型，我们开发了一个模拟器，我们用来研究恶意软件在这样的网络中的传播。最后，我们提供了我们的模拟器为各种响应时间间隔采取的流行病预防的实验结果。
2016-07-04 cs.CR
Dynamic detection of mobile malware using smartphone data and machine learning
University of Twente（特温特大学）
移动恶意软件是针对移动设备的恶意程序。它们是一个日益严重的问题，正如每年检测到的移动恶意软件样本的增加所示。活跃的智能手机用户数量预计将增长，强调了对移动恶意软件检测研究的重要性。移动恶意软件的检测方法存在，但仍然有限。在本文中，我们概述了机器学习（ML）技术在Android上检测恶意软件的性能，而不使用特权访问。ML分类器使用设备信息（如CPU使用率、电池使用率和内存使用率）来检测Android操作系统（OS）上的10种移动木马子类型。我们使用了一个真实的数据集，其中包含47名用户一年（2016年）的设备和恶意软件数据。我们检查哪些功能，即方面，一个设备，是最重要的监测检测（亚型）移动木马。本文的重点是动态的硬件功能。使用这些动态特征，我们应用了最先进的机器学习分类器：随机森林、K最近邻和AdaBoost。我们显示了不同功能集的分类结果，区分了全局设备功能和特定应用功能。测量的特征集都不需要特权访问。我们的研究结果表明，随机森林分类器作为一个通用的恶意软件分类器表现最好：在10个子类型的移动木马，它达到了F1得分为0.73，误报率（FPR）为0.009和误报率（FNR）为0.380。当分别训练以检测移动木马的每种亚型时，随机森林、K最近邻和AdaBoost分类器的F1分数高于0.72，FPR低于0.02，FNR低于0.33。
2021-07-23 cs.CR cs.LG
Beyond the Virus: A First Look at Coronavirus-themed Mobile Malware
随着2019冠状病毒病疫情于二零二零年初出现，一些恶意行为者开始利用这一话题。尽管有少数媒体报道提到了以冠状病毒为主题的移动恶意软件的存在，但研究界缺乏对以冠状病毒为主题的移动恶意软件的了解。在本文中，我们首次系统地研究了以冠状病毒为主题的Android恶意软件。我们首先努力创建一个每日增长的COVID-19主题移动应用程序数据集，截至2020年11月中旬，该数据集包含4，322个COVID-19主题apk样本（2，500个独特应用程序）和611个潜在恶意软件样本（370个独特恶意应用程序）。然后，我们从多个角度对它们进行了分析，包括趋势和统计数据，安装方法，恶意行为以及背后的恶意行为者。我们观察到，COVID-19主题应用程序以及恶意应用程序几乎在全球疫情爆发后就开始蓬勃发展。大多数恶意应用程序都使用相同的应用程序标识符（例如，应用程序名称、包名称和应用程序图标）。他们的主要目的要么是窃取用户的私人信息，要么是通过使用网络钓鱼和勒索等手段获利。此外，只有四分之一的COVID-19恶意软件创建者是长期活跃的习惯性开发者，而其中75%是这一流行病的新手。恶意开发者主要位于美国，主要针对英语国家，中国，阿拉伯国家和欧洲等国家。为了促进未来的研究，我们已向研究界公开发布了所有标记良好的COVID-19主题应用程序（和恶意软件）。到目前为止，全球已有30多家研究机构要求我们提供数据集，用于…
2021-04-18 cs.CR
The Company You Keep: Mobile Malware Infection Rates and Inexpensive Risk Indicators
在公共领域，关于移动恶意软件感染率的独立来源的信息很少。之前唯一的独立估计值（0.0009%）[12]是基于从域名解析跟踪中获得的间接测量值。在本文中，我们使用直接从超过55，000台Android设备收集的数据，首次对恶意软件感染率和相关风险因素进行了独立研究。我们发现，使用两个恶意软件数据集（0.28%和0.26%）估计的Android设备中的恶意软件感染率虽然很小，但明显高于之前的独立估计。使用我们的数据集，我们研究了从设备中廉价提取的指标如何与恶意软件感染相关。基于这样的假设，即某些应用程序商店的恶意应用程序密度更大，应用程序内的广告和交叉促销交易可能会成为感染媒介，我们调查了设备上使用的应用程序集是否可以作为该设备感染的指标。我们的分析表明，仅凭这一点并不是确定感染的准确指标。然而，这是一种非常便宜但非常有用的方法，可以显著缩小必须部署昂贵的监视和分析机制的设备池。使用我们的两个恶意软件数据集，我们发现该指标在识别受感染设备方面的性能分别比随机检查的基线高4.8和4.6倍。这样的指示符可以用于例如搜索新的或先前未检测到的恶意软件。因此，它是一种可以通过反恶意软件工具补充标准恶意软件扫描的技术。我们的分析还表明，受感染设备和清洁设备之间的电池使用存在轻微的显著差异。
2014-02-27 cs.CR
Metamorphic Detection of Repackaged Malware
基于机器学习的恶意软件检测系统通常容易受到规避攻击，在规避攻击中，恶意软件开发者操纵他们的恶意软件，使得其被错误地分类为良性的。这样的软件隐藏了真实类的一些属性，或者通过应用小的扰动来采用不同类的一些属性。一个特殊的情况下，规避恶意软件隐藏通过重新包装一个真正的良性移动应用程序包含恶意软件除了原来的功能的应用程序，从而保留了大部分的良性属性的原始app.We提出了一种新的恶意软件检测系统的基础上变形测试的原则，可以检测到这样的良性看似恶意软件的应用程序。我们将变形测试应用于移动应用程序的功能表示，而不是应用程序本身。也就是说，源输入是应用的原始特征向量，而派生输入是移除了所选特征的向量。如果应用程序最初被分类为良性并且确实是良性的，则源和派生输入的输出应该是相同的类，即，良性的，但如果它们不同，那么应用程序被暴露为可能的恶意软件。最初被归类为恶意软件的恶意软件应用程序应保留该分类，因为只有良性应用程序中普遍存在的功能才会被删除。这种方法使机器学习模型能够以合理的较少的假阴性和假阳性对重新打包的恶意软件进行分类。我们的训练管道比许多现有的基于ML的恶意软件检测方法更简单，因为网络是端到端训练的，可以学习适当的特征并执行分类。我们在从广泛使用的AndroZoo数据集中收集的300万个应用程序上预训练了我们的分类器模型。我们对其他公开数据集进行了广泛的研究，以显示我们的方法在检测重新包装…
2021-04-27 cs.CR cs.SE
Traffic-aware Patching for Cyber Security in Mobile IoT
物联网（IoT）中的各种类型的通信技术和移动性特征一方面实现了富有成效和有吸引力的应用，但另一方面促进了恶意软件的传播，从而为网络安全处理IoT授权的恶意软件提出了新的挑战。与传统无线网络中节点可以直接修复和保护的恶意软件传播控制方案相比，在物联网中，受损的终端设备很难被修补。或者，通过修补中间结点来阻止恶意软件被证明是更可行和实用的解决方案。具体而言，修补中间结点可以通过保护基础设施链路并将恶意软件传播限制为本地设备到设备传播来有效地防止恶意软件传播的扩散。提出了一种新的流量感知的修补方案，选择重要的中间结点进行修补，适用于修补资源有限、响应时间受限的物联网系统。在物联网网络中的真实跟踪数据集上进行实验，以证明所提出的流量感知补丁方案在减轻恶意软件传播方面的优势。
2017-03-15 cs.CR
DroidAnalytics: A Signature Based Analytic System to Collect, Extract, Analyze and Associate Android Malware
智能手机和移动设备正迅速成为许多用户不可或缺的设备。不幸的是，它们也成为黑客部署恶意软件和传播病毒的肥沃土壤。有一个迫切需要有一个“安全分析和取证系统”，可以方便分析师检查，解剖，关联和关联大量的移动应用程序。一个有效的分析系统需要解决以下问题：如何自动收集和管理大量的移动恶意软件？如何分析零日可疑应用程序，并将其与数据库中现有的恶意软件家族进行比较或关联？如何执行信息检索以揭示与现有恶意软件相似的恶意逻辑，并快速识别新的恶意代码段？在本文中，我们提出了DroidAnalytics的设计和实现，基于签名的分析系统，自动收集，管理，分析和提取Android恶意软件。该系统便于分析人员在“操作码级别”检索、关联和揭示恶意逻辑。我们使用150，368个Android应用程序证明了DroidAnalytics的有效性，并成功确定了来自102个不同家族的2，494个Android恶意软件，其中342个是来自6个不同家族的零日恶意软件样本。据我们所知，这是第一个报告的案例，显示了如此大的Android恶意软件分析/检测。评估表明DroidAnalytics是一个有价值的工具，在分析恶意软件重新包装和突变方面非常有效。
2013-09-23 cs.CR
A general practitioner or a specialist for your infected smartphone?
随着移动设备数量的爆炸式增长，移动恶意软件也在迅速传播，遇到的恶意软件家族的数量也在增加。现有的解决方案主要基于在手机或云中运行的一个恶意软件检测器，不再有效。主要问题在于，可能不可能创建一个独特的移动恶意软件检测器，该检测器能够以高精度检测不同的恶意软件家族，同时足够轻以不快速消耗电池，并且足够快以及时给出检测结果。所提出的移动恶意软件检测方法类似于处理医疗问题的全科医生与专家方法。类似于全科医生，基于指示性症状识别潜在疾病并将患者发送给适当的专家，我们的检测系统区分代表不同恶意软件家族的症状，一旦检测到症状，它就会触发特定分析。系统监控应用程序的操作方式与全科医生相同。它能够区分不同的症状并触发适当的检测机制。作为对不同专家的类比，使用了一组检测器，其中每个检测器都针对特定的恶意软件家族进行了专门训练。该方法的主要挑战是定义不同恶意软件家族的代表性症状，并相应地对它们进行训练检测器。海报的主要目的是促进对不同恶意软件家族最具代表性的症状的讨论，并讨论通过使用恶意软件基因组项目数据集在这一领域获得的初步结果。
2015-05-13 cs.CR
XMD: An Expansive Hardware-telemetry based Mobile Malware Detector to enhance Endpoint Detection
XMD通过融合SoC中CPU核心与非核心子系统的扩展硬件遥测通道，并利用流形假设证明其可分离性优势，在Android设备上以86.54%的检测率和2.9%的假阳性率显著超越现有HPC检测器及商用杀毒软件。
2023-09-14 cs.CR
Deep learning guided Android malware and anomaly detection
University of Manchester（曼彻斯特大学）；University of Bristol（布里斯托尔大学）
在过去的十年中，与移动设备有关的网络犯罪有所增加。移动设备，特别是运行在Android操作系统上的移动设备对恶意软件创建者特别感兴趣，因为用户通常在其移动设备上保存最大数量的个人信息，例如他们的联系人，社交媒体配置文件，电子邮件和银行账户。动态和静态恶意软件分析对于预防和检测恶意软件都是必要的，因为这两种技术都有各自的优点和缺点。在本文中，我们提出了一种深度学习技术，该技术依赖于LSTM和编码器-解码器神经网络架构，用于基于CPU，内存和电池使用情况的动态恶意软件分析。所提出的系统能够检测并通知用户系统中的异常，这可能是恶意软件行为的后果。该方法作为OWASP Seraphimdroids反恶意软件机制的一部分实现，并通知用户设备上的异常情况。证明该方法的F1评分为79.2%。
2019-10-23 cs.CR cs.CY cs.LG
UIXPOSE: Mobile Malware Detection via Intention-Behaviour Discrepancy Analysis
School of Computing and Information Systems（计算与信息系统学院）；The University of Melbourne（墨尔本大学）
UIXPOSE通过意图-行为不一致分析提升移动恶意软件的动态检测能力
2025-12-16 cs.AI cs.CR
Automated Poisoning Attacks and Defenses in Malware Detection Systems: An Adversarial Machine Learning Approach
移动恶意软件的演变对智能手机安全构成了严重威胁。如今，复杂的攻击者可以通过污染训练数据来最大限度地破坏机器学习分类器，从而使最新的基于机器学习的恶意软件检测工具（如Drebin，DroidAPIMiner和MaMaDroid）无效。在本文中，我们探讨了构建精心制作的恶意软件样本的可行性;研究了机器学习分类器如何在三种不同的威胁模型下被误导;然后得出结论，将精心制作的数据注入训练数据会显着降低检测准确性。为了解决这个问题，我们提出了KuafuDet，这是一种两阶段的学习增强方法，通过对抗性检测来学习移动恶意软件。KuafuDet包括从训练集中选择和提取特征的离线训练阶段，以及利用第一阶段训练的分类器的在线检测阶段。为了进一步解决对抗性环境，这两个阶段通过自适应学习方案交织在一起，其中引入自动伪装检测器来过滤可疑的假阴性并将其反馈到训练阶段。我们最终证明，KuafuDet可以显着减少假阴性，并将检测精度提高至少15%。在超过250，000个移动应用程序上的实验表明，KuafuDet是可扩展的，并且可以作为一个独立的系统非常有效。
2017-10-31 cs.CR
Monet: A User-oriented Behavior-based Malware Variants Detection System for Android
Android是最受欢迎的移动操作系统，拥有约78%的移动市场份额。由于其受欢迎程度，它吸引了许多恶意软件攻击。事实上，人们每季度都发现了大约一百万个新的恶意软件样本，据报道，这些新的恶意软件样本中有超过98%实际上是现有恶意软件家族的“衍生物”（或变体）。在本文中，我们首先表明，恶意软件的核心功能的运行时行为实际上是类似的恶意软件家族。因此，我们提出了一个框架，结合“运行时行为”与“静态结构”来检测恶意软件的变种。我们提出了MONET的设计和实现，它有一个客户端和一个后端服务器模块。客户端模块是一个轻量级的设备内应用程序，用于行为监控和签名生成，我们使用两种新颖的拦截技术实现这一点。后端服务器负责大规模恶意软件检测。我们收集了3723个恶意软件样本和前500个良性应用程序，以进行大量的实验，检测恶意软件变体和防御恶意软件转换。我们的实验表明，MONET在检测恶意软件变体方面可以达到99%左右的准确率。此外，它可以抵御10种不同的混淆和转换技术，而仅产生约7%的性能开销和约3%的电池开销。更重要的是，MONET会自动提醒用户入侵细节，以防止进一步的恶意行为。
2016-12-10 cs.CR
Deep Learning Models for Detecting Malware Attacks
本研究梳理了用于Windows、Linux和Android平台恶意软件检测的深度学习技术，涵盖算法、优化器、框架等相关内容，综述了现有模型并指出未来研究方向。
2024-01-29 cs.CR
MalModel: Hiding Malicious Payload in Mobile Deep Learning Models with Black-box Backdoor Attack
本研究提出MalModel方法，通过黑盒后门攻击将恶意负载隐藏在移动深度学习模型参数中，实现隐蔽运行恶意软件且对模型性能影响极小。
2024-01-05 cs.CR
Android Malware Family Classification Based on Resource Consumption over Time
当今绝大多数移动恶意软件都针对Android设备。这推动了过去几年Android恶意软件分析的研究工作。恶意软件分析的一个重要任务是将恶意软件样本分类到已知的家族中。已知静态恶意软件分析不足以对抗改变恶意软件的静态特性（例如，代码混淆）的技术，而动态分析已被证明对抗此类技术是有效的。据我们所知，纯粹基于动态分析的Android恶意软件家族分类最值得注意的工作是DroidScribe。对于DroidScribe，我们的方法更容易复制。我们的方法只使用公开可用的工具，不需要对模拟环境或Android操作系统进行任何修改，并且可以从物理设备收集数据。后者是一个关键因素，因为现代移动恶意软件可以检测模拟环境并隐藏其恶意行为。我们的方法依赖于proc文件系统提供的资源消耗度量。通过去趋势波动分析和相关性提取特征。最后，一个SVM分类恶意软件到家庭。我们对Drebin数据集的恶意软件样本进行了实验评估，获得了82%的分类准确率，证明我们的方法达到了与DroidScribe相当的准确率。此外，我们公开了我们开发的软件，以便于我们结果的重现性。
2017-09-04 cs.CR
Andro-Simnet: Android Malware Family Classification Using Social Network Analysis
在移动设备的快速适应性使我们的日常生活变得更加便利的同时，来自恶意软件的威胁也在增加。针对恶意软件检测的研究很多，但大多数都采用基于特征码的恶意软件检测方法，容易被多态和变形恶意软件绕过。为了检测恶意软件及其变种，必须采用基于行为的检测来进行有效的恶意软件分类。本文提出了一种系统，分类恶意软件，通过使用共同的行为特征，以及恶意软件的家庭。我们衡量恶意软件家族之间的相似性，精心挑选的功能通常出现在同一个家庭。利用所提出的相似性度量，我们可以根据恶意软件的攻击行为模式和战术特征对恶意软件进行分类。此外，我们应用社区发现算法来提高每个恶意软件家族网络聚合中的模块化程度。为了保持高的分类精度，我们提出了一个过程，以获得建议的相似性度量中的选定功能的最佳权重。在此过程中，我们找出哪些特征对于表示恶意软件样本之间的相似性是重要的。最后，我们提供了一个直观的图形可视化的恶意软件样本，这是有助于了解恶意软件网络的分布和相似性。在实验中，所提出的系统实现了97%的恶意软件分类准确率和95%的预测准确率通过K折交叉验证使用真实的恶意软件数据集。
2019-06-22 cs.CR
Analysis of Bayesian Classification based Approaches for Android Malware Detection
移动恶意软件的规模和复杂性一直在增长，这是由全球智能手机的持续增长所推动的。Android正在迅速成为最受欢迎的移动平台，导致针对该平台的恶意软件急剧增加。此外，Android恶意软件正在迅速发展，以逃避传统的基于签名的扫描检测。尽管目前的检测措施到位，及时发现新的恶意软件仍然是一个关键问题。这就需要新的方法来缓解零日Android恶意软件日益增长的威胁。因此，在本文中，我们开发和分析基于贝叶斯分类的主动机器学习方法，旨在通过静态分析发现未知的Android恶意软件。该研究基于大多数现有系列的大型恶意软件样本集，展示了高准确性的检测能力。实证结果和比较分析提供了有用的洞察力，有效的静态分析贝叶斯分类为基础的解决方案，用于检测未知的Android恶意软件的发展。
2016-08-20 cs.CR cs.LG
Improving the Identification of Real-world Malware's DNS Covert Channels Using Locality Sensitive Hashing
Center for Research and Technology (ZFT), University of Applied Sciences Worms（沃尔姆斯应用科学大学技术研究与应用中心）；Institute of Information Resource Management (IRM), Ulm University（乌尔姆大学信息资源管理研究所）
本文提出利用局部敏感哈希改进恶意软件DNS隐蔽通道识别，通过统计相似性特征和随机森林分类器提升检测准确性和鲁棒性。
2025-11-25 cs.CR cs.NI
SUNDEW: An Ensemble of Predictors for Case-Sensitive Detection of Malware
恶意软件程序多种多样，具有不同的目标，功能和威胁级别，从单纯的弹出窗口到财务损失。因此，它们在整个系统中的运行时足迹不同，影响了最佳数据源（网络，操作系统（OS），硬件）和有助于恶意软件检测的功能。此外，恶意软件类别的威胁级别的变化影响用户对检测的要求。因此，<data-source，features，user-requirements>的最佳元组对于每个恶意软件类别都是不同的，影响了对这些细微差异不可知的最先进的检测解决方案。本文介绍了SUNDEW，一个框架来检测恶意软件类使用其最佳元组的<数据源，功能，用户需求>。SUNDEW使用专门的预测器集合，每个预测器都使用特定的数据源（网络，操作系统和硬件）进行训练，并针对特定类别的功能和要求进行调整。虽然具有跨系统整体视图的专门集成可以提高检测，但聚合来自不同预测器的独立冲突推断是具有挑战性的。SUNDEW通过考虑威胁级别、数据源中的噪声和先前的领域知识的分层聚合来解决此类冲突。我们评估SUNDEW的真实世界的数据集超过10,000恶意软件样本从8类。对于大多数类，它的F1得分为1，平均值为0.93，性能开销为1.5%。
2022-11-14 cs.CR
Android Malware Detection Using Parallel Machine Learning Classifiers
McAfee Labs（迈克菲实验室）
移动恶意软件继续以惊人的速度增长，尽管正在努力减轻这个问题。这在Android上尤其明显，因为它是一个开放平台，随后在移动智能设备市场的份额中超过了其他平台。因此，激励新一波新兴的Android恶意软件足够复杂，可以逃避大多数常见的检测方法。提出并研究了一种基于并行机器学习的Android恶意软件早期检测分类方法。使用真实的恶意软件样本和良性的应用程序，一个复合分类模型开发的异构分类器的并行组合。在不同的组合方案下的模型的实证评估表明，其有效性和潜力，以提高检测精度。更重要的是，通过利用具有不同特征的多个分类器，它们的优势不仅可以用于增强Android恶意软件检测，还可以通过更具可解释性的组成分类器进行更快的白盒分析。
2016-07-27 cs.AI cs.CR
IntelliAV: Building an Effective On-Device Android Malware Detector
对于安全社区来说，采用机器学习进行恶意软件检测的重要性已经变得显而易见。一些反恶意软件供应商声称并宣传了机器学习在其产品中的应用，其中推理阶段在服务器和高性能机器上执行，但研究界尚未评估这种方法在计算资源有限的移动设备上的可行性，供应商仍然持怀疑态度。在本文中，我们的目标是展示设计一个基于学习的Android移动设备上的反恶意软件的实用性，首先。此外，我们的目标是证明这样一个工具的重要性，以阻止新的和逃避恶意软件，不能很容易地被基于签名或离线学习的安全工具。为此，我们首先提出从Android应用程序中提取一组轻量级但功能强大的功能。然后，我们将这些特征嵌入到向量空间中，以构建一个有效的模型。因此，该模型可以对设备执行推断，以检测潜在有害的应用程序。我们表明，不诉诸任何签名，只依赖于一个训练阶段，涉及一组合理的样本，建议的系统，名为IntelliAV，提供更令人满意的性能比流行的主要反恶意软件产品。此外，我们评估了IntelliAV对常见混淆技术的鲁棒性，大多数反恶意软件解决方案都会受到影响。
2018-02-04 cs.CR
A New Android Malware Detection Approach Using Bayesian Classification
McAfee Labs（迈克菲实验室）
随着智能手机使用量的不断增加，移动恶意软件的规模和复杂性也在不断增长。Android已经超过其他移动平台成为最受欢迎的平台，同时也见证了针对该平台的恶意软件的急剧增加。一个令人担忧的趋势是，Android恶意软件越来越复杂，以逃避传统的基于签名的扫描仪的检测。因此，Android应用市场仍然存在托管恶意应用程序的风险，这些应用程序可以在被毫无戒心的用户下载之前逃避检测。因此，在本文中，我们提出了一种有效的方法来缓解这个问题的基础上获得静态代码分析的贝叶斯分类模型。这些模型是从代码和应用程序特征的集合中构建的，这些特征提供了潜在恶意活动的指标。该模型与真实的恶意软件样本在野外进行评估，实验结果表明，所提出的方法的有效性。
2016-08-02 cs.CR cs.LG
Two Trends in Mobile Security: Financial Motives and Transitioning from Static to Dynamic Analysis
本文的目的是分析最近几种侵犯隐私的Android广告软件的行为和意图。在这个领域有两个最近的趋势：更多的财务动机而不是自我动机，和更多的动态分析工具的发展。本文首先回顾了Android移动操作系统的安全性，并讨论了开源操作系统安全性的利弊。恶意软件的静态分析提供了高质量的结果，并导致本文所示的良好理解。然而，随着恶意软件在数量和复杂性上的增长，最近已经努力使检测机制和许多静态任务自动化。随着Android的市场份额在全球范围内迅速增长。Android安全将成为IT安全专业人员及其学术同行的一个重要研究领域。目前情况的好处是，由于开源软件开发工具，恶意软件正在迅速暴露。这种合作对于遏制具有货币价值的个人信息的广泛盗窃非常重要。
2015-04-26 cs.CR
Android Malware Detection with Unbiased Confidence Guarantees
Frederick University（弗雷德里克大学）
针对现有Android恶意软件机器学习检测方法未量化不确定性的问题，提出结合Conformal Prediction框架与随机森林的动态分析方法，可提供无偏的有效置信度保证，在含6682个应用的数据集上验证了其有效性与实用性。
2023-12-17 cs.CR cs.LG
NF-GNN: Network Flow Graph Neural Networks for Malware Detection and Classification
LMU Munich（慕尼黑大学）；Siemens Technology（西门子科技）；Siemens AG（西门子股份公司）
随着互联移动设备的数量呈指数级增长，恶意软件（malware）对通信系统的安全性构成越来越大的威胁。虽然一些现有的恶意软件检测和分类方法成功地利用了网络流量数据，但它们独立地处理端点对之间的网络流，因此无法利用完整网络中存在的丰富通信模式。我们的方法首先提取流图，然后使用一种新的基于边缘特征的图神经网络模型进行分类。我们提出了我们的基础模型的三个变体，它们支持在监督和无监督设置中进行恶意软件检测和分类。我们评估我们的方法流图，我们从最近发布的移动恶意软件检测数据集，解决了以前可用的数据集的几个问题提取。四个不同的预测任务的实验一致地证明了我们的方法的优点，并表明我们的图神经网络模型可以显着提高检测性能。
2021-06-04 cs.CR cs.LG
Explainable AI for Android Malware Detection: Towards Understanding Why the Models Perform So Well?
基于机器学习（ML）的Android恶意软件检测一直是移动安全领域最热门的研究课题之一。越来越多的研究表明，机器学习是一种有效的、有前途的恶意软件检测方法，有些研究甚至声称他们提出的模型可以达到99%的检测准确率，几乎没有进一步改进的空间。然而，许多先前的研究表明，不切实际的实验设计会带来很大的偏差，导致恶意软件检测的性能过于乐观。与之前研究ML分类器的检测性能以定位原因不同，本研究采用可解释AI（XAI）方法来探索基于ML的模型在训练过程中学到了什么，检查并解释为什么基于ML的恶意软件分类器在不切实际的实验设置下表现如此出色。我们发现训练数据集中的时间样本不一致性带来了过于乐观的分类性能（高达99%的F1得分和准确率）。重要的是，我们的研究结果表明，ML模型根据恶意软件和良性软件之间的时间差异对恶意软件进行分类，而不是实际的恶意行为。我们的评估还证实了这样一个事实，即不切实际的实验设计不仅导致不切实际的检测性能，而且可靠性差，对现实世界的应用构成了重大障碍。这些发现表明，XAI方法应该用来帮助从业者/研究人员更好地理解AI/ML模型（即，恶意软件检测）的工作-而不仅仅是专注于准确性的提高。
2022-09-02 cs.CR cs.SE
Android Malware Detection using Deep Learning on API Method Sequences
Concordia University（康考迪亚大学）；King Saud University（沙特国王大学）；University of Sharjah（沙迦大学）
Android操作系统经历了一个炽热的流行，因为过去几年。这个占主导地位的平台不仅在移动世界中，而且在物联网（IoT）设备中也建立了自己的地位。然而，这种流行是以牺牲安全为代价的，因为它已成为恶意应用程序的诱人目标。因此，对复杂、自动和便携式恶意软件检测解决方案的需求日益增加。在本文中，我们提出了MalDozer，一个自动的Android恶意软件检测和家庭归因框架，依赖于使用深度学习技术的序列分类。从应用程序API方法调用的原始序列开始，MalDozer自动从实际样本中提取并学习恶意和良性模式，以检测Android恶意软件。MalDozer可以作为无处不在的恶意软件检测系统，不仅部署在服务器上，还可以部署在移动设备甚至物联网设备上。我们在多个Android恶意软件数据集上评估MalDozer，范围从1 K到33 K恶意软件应用程序和38 K良性应用程序。结果表明，MalDozer可以正确地检测恶意软件，并将它们归因于它们的实际家族，在所有测试数据集和设置下，F1分数为96%-99%，误报率为0.06%-2%。
2017-12-25 cs.AI cs.CR
MalLoc: Toward Fine-grained Android Malicious Payload Localization via LLMs
针对传统技术无法细粒度定位Android恶意负载的局限，提出利用大语言模型代码理解能力的MalLoc方法，实验证明其可行性与有效性，能提升分析精度和可解释性，为恶意软件研究开辟新方向。
2025-08-25 cs.CR cs.SE
Android Malware Detection based on Factorization Machine
近年来，随着Android智能手机的普及，恶意应用程序的数量也在增加。由于手机用户面临的数据盗窃的可能性，Android设备上恶意软件的检测已经成为网络安全中越来越重要的问题。基于签名的例程等传统方法无法保护用户免受新型Android恶意软件日益复杂和快速行为变化的影响。因此，最近已经做出了大量努力来使用机器学习模型和方法来表征和概括移动应用的恶意行为模式以用于恶意软件检测。在本文中，我们提出了一种新的和高度可靠的分类器，用于Android恶意软件检测的基础上因式分解机架构和Android应用程序的功能，从清单文件和源代码的提取。我们的研究结果表明，应用程序的数字特征表示通常会导致长且高度稀疏的向量，并且不同特征之间的交互对于揭示恶意行为模式至关重要。在进行了广泛的性能评估后，我们提出的方法在DREBIN数据集上获得了100.00%的准确率，在AMD数据集上获得了99.22%的准确率，只有1.10%的假阳性率。这些指标与最先进的基于机器学习的Android恶意软件检测方法和几种商业防病毒引擎的性能相匹配，其优点是训练速度快50倍。
2019-08-13 cs.CR
A Blockchain-based Framework for Detecting Malicious Mobile Applications in App Stores
智能手机恶意软件的急剧增长表明，恶意程序开发人员正在从传统的PC系统转向智能手机设备。因此，安全研究人员也在努力提出新的反恶意软件方法，以提供足够的保护。本文提出了一种基于区块链的恶意软件检测框架（B2S），用于检测移动应用市场（应用商店）中的恶意移动应用程序。该框架由两个内部和外部私有区块链组成，形成一个双重私有区块链以及一个用于最终决策的联盟区块链。内部私有区块链存储由静态和动态特征提取器提取的特征块，而外部区块链将检测结果存储为当前版本应用程序的块。B2C还与第三方共享功能块，这有助于反恶意软件供应商提供更准确的解决方案。
2019-06-12 cs.CR
Security through the Eyes of AI: How Visualization is Shaping Malware Detection
本文综述了100多篇论文，提出新框架系统分析可视化技术在恶意软件检测中的应用，揭示挑战并展望未来方向。
2025-10-08 cs.CR
Mobile Network Anomaly Detection and Mitigation: The NEMESYS Approach
随着智能手机和平板电脑的日益普及，移动恶意软件和移动网络攻击正在成为一个重大威胁。因此，在本文中，我们提出了我们的研究愿景，旨在开发一种基于网络的安全解决方案，结合分析建模，模拟和学习，以及计费和控制平面数据，以检测异常和攻击，并消除或减轻其影响，作为欧盟FP7 NEMESYS项目的一部分。这些想法的补充与国家的最先进的异常检测技术，移动网络运营商可能会使用，以保护他们的基础设施和安全用户免受恶意软件的仔细审查。
2013-05-18 cs.CR cs.NI
Integrating APK Image and Text Data for Enhanced Threat Detection: A Multimodal Deep Learning Approach to Android Malware
Boise State University（博伊西州立大学）；The University of Tennessee（田纳西大学）
本文提出一种多模态深度学习方法，通过整合APK图像和文本数据提升Android恶意软件检测效果，系统评估不同图像类型和分辨率，并利用CLIP模型增强分析能力。
2026-01-13 cs.CR cs.SE
A machine learning approach to anomaly-based detection on Android platforms
具有增加的存储和计算能力的移动平台的出现以及这些平台对于诸如在线银行、电子商务之类的敏感应用以及在这些移动设备上存储敏感信息的普遍使用已经导致与针对这些设备的恶意软件相关联的危险增加。检测这样的恶意软件提出了不可模仿的挑战，因为当今可用的基于签名的检测技术在检测新的和未知的恶意软件方面变得低效。在这项研究中，机器学习的方法来检测Android平台上的恶意软件。检测系统在执行时从应用程序中监视和提取特征，并使用它们来使用经训练的K最近邻分类器执行设备内检测。实验结果表明，该分类器具有较高的检测准确率（93.75%）、较低的出错率（6.25%）和较低的误报率，能够检测出真正的Android恶意软件。
2015-12-13 cs.CR
Malware MultiVerse: From Automatic Logic Bomb Identification to Automatic Patching and Tracing
恶意软件和其他可疑软件通常将行为和组件隐藏在逻辑炸弹和上下文敏感的执行路径之后。发现这些路径对于应对现代威胁至关重要，但目前的解决方案还没有准备好以完全自动化的方式检测这些路径。为了弥合这一差距，我们提出了恶意软件多重宇宙（MalVerse），一个解决方案，能够检查多个执行路径，通过符号执行，旨在发现函数输入和返回，触发恶意行为。MalVerse会自动为上下文敏感函数打上已识别符号值的补丁，以允许在传统沙箱中执行软件。我们在angr之上实现了MalVerse，并使用一组Linux和Windows规避示例对其进行了评估。我们发现MalVerse能够为最常见的规避技术（例如，ptrace检查）。
2021-09-13 cs.CR
Creating Android Malware Knowledge Graph Based on a Malware Ontology
本文通过扩展现有恶意软件本体提出AndMalOnt，并基于MalwareBazaar报告构建覆盖2600余个安卓恶意软件样本的开源知识图谱，以系统化组织威胁情报。
2023-08-04 cs.CR
All Infections are Not Created Equal: Time-Sensitive Prediction of Malware Generated Network Attacks
已经提出了许多技术来快速检测和遏制恶意软件生成的网络攻击，例如大规模拒绝服务攻击;不幸的是，在攻击的最初几分钟内，在它被识别和遏制之前，已经造成了很大的损害。需要一种预警系统，可以在攻击实际出现之前预测它们，以便通过阻止可能参与攻击的主机来完全防止即将到来的攻击。但是，阻止响应可能会中断被阻止主机上的合法进程;为了尽量减少用户的不便，还必须预测预测攻击发生的时间，以便只有最紧急的威胁才会导致自动阻止响应，而不太紧急的威胁则首先进行手动调查。为此，我们确定了一个典型的感染序列，然后是现代恶意软件;将此序列建模为马尔可夫链，并在真实的恶意流量上对其进行训练，我们能够识别最有可能导致攻击的行为，并在发生之前预测98%的真实垃圾邮件和端口扫描攻击。此外，使用半马尔可夫链模型，我们能够预测即将到来的攻击的时间，这是一种新的功能，可以准确预测97%的真实恶意软件攻击的时间。我们的工作代表了实现灵活的威胁响应模型的重要而及时的一步，这些模型可以最大限度地减少对合法用户的干扰。
2021-02-03 cs.CR
A Preliminary Study On the Sustainability of Android Malware Detection
Washington State University（华盛顿州立大学）
基于机器学习的恶意软件检测主导了当前Android应用的安全防御方法。然而，由于Android平台和恶意软件的发展，现有的这种技术受到其对成本高昂的持续再训练的需要以及对可能无法及时获得的新恶意软件样本的依赖的广泛限制。因此，新的和新兴的恶意软件溜过，从恶意软件在野外的持续激增可以看出。因此，一个更实用的探测器不仅需要精确，更重要的是，它要能够在不频繁重新训练的情况下长期保持其能力。在本文中，我们研究了Android应用程序如何随着时间的推移而演变为一个群体，在他们的行为相关的访问敏感信息和操作。我们首先对七年来开发的6K良性和恶意应用程序进行纵向表征，重点关注应用程序执行中的这些敏感访问。我们的研究表明，在长期的演变过程中，恶意软件和良性应用程序之间关于此类访问的一致，明确的区别，通过相关方法调用的相对统计数据来衡量。根据这些发现，我们开发了DroidSpan，这是一种基于Android应用程序新行为特征的新型分类系统。通过广泛的评估，我们发现DroidSpan不仅可以有效地检测恶意软件，而且可以在四年内保持高检测准确率（93%的F1测量值）（五年内81%的F1测量值）。通过一项专门的研究，我们还展示了它对复杂规避方案的弹性。通过与最先进的恶意软件检测器进行比较，我们证明了我们的方法在合理的成本下具有很大程度上优越的可持续性。
2018-08-03 cs.CR cs.LG cs.SE
Advances In Malware Detection- An Overview
近几十年来，由于恶意软件使用了各种新的混淆技术，恶意软件已经成为网络攻击中广泛使用的手段。为了保护系统、数据和信息，需要尽早检测恶意软件。有各种研究的恶意软件检测技术已经完成，但没有一种方法，可以完全检测恶意软件，使恶意软件检测的问题。静态恶意软件分析对已知恶意软件非常有效，但它对零日恶意软件不起作用，这导致需要动态恶意软件检测，并且基于行为的恶意软件检测在所有检测技术中相对较好，例如基于签名的，基于深度学习的，移动/物联网和基于云的检测，但它仍然无法检测所有零日恶意软件，这表明恶意软件检测是非常具有挑战性的任务，需要更多的恶意软件检测技术。本文介绍了各种恶意软件检测方法的文献综述。每种方法的简短描述，并讨论了各种研究已经完成的先进的恶意软件检测领域和它们的比较的基础上使用的检测方法，准确性和其他参数。除此之外，我们将讨论各种恶意软件检测工具，数据集及其来源，可用于进一步研究。本文为您提供了高级恶意软件的详细知识，其检测方法，如何保护您的设备和数据免受恶意软件攻击，并比较了恶意软件检测的不同研究。
2021-05-08 cs.CR
Detecting and Classifying Android Malware using Static Analysis along with Creator Information
每天都有数以千计的恶意应用程序针对移动设备，包括流行的Android平台。这些应用程序中有很大一部分是由少数专业的地下行为者创建的，但是以前的研究忽略了这些信息作为检测和分类恶意软件以及将恶意软件归因于创建者的特征。在此基础上，我们提出了一种方法，通过将创建者的信息作为一个特征，并将恶意应用程序分类到类似的组中，来提高Android恶意软件检测的性能。我们开发了一个在实践中实现这种方法的系统。我们的系统可以通过使用创建者的信息，如证书的序列号快速检测恶意软件。此外，它还分析恶意行为者和权限，以提高检测准确性。该系统还可以基于相似性评分对恶意软件进行分类。最后，我们分别以98%和90%的准确率展示了检测和分类性能。
2019-03-02 cs.CR
Android Malware Detection Using Autoencoder
North China Electric Power University（华北电力大学）
智能手机已经成为人类生活中不可或缺的一部分。智能手机统一了各种先进的特性。它使用户能够存储各种数据，如照片，健康数据，凭证银行数据和个人信息。Android操作系统是流行的移动操作系统，同时也是恶意软件开发者最有针对性的操作系统。最近，Android恶意软件的空前发展给研究人员带来了压力，要求他们提出有效的方法来抑制恶意软件的传播。在本文中，我们提出了一种用于Android恶意软件检测的深度学习方法。该方法研究了五种不同的特征集，并应用Autoencoder来识别恶意软件。实验结果表明，该方法能够有效地识别恶意软件，具有较高的准确率。
2019-01-14 cs.CR cs.LG
Malware Detection and Prevention using Artificial Intelligence Techniques
Kennesaw State University（肯尼索州立大学）；Tennessee Tech university（田纳西理工大学）；University of Calabria（卡拉布里亚大学）；LORIA（洛林计算机科学及其应用实验室）；Tuskegee University（塔斯基吉大学）
随着技术的快速进步，由于恶意软件活动的增加，安全性已经成为一个主要问题，恶意软件活动对计算机系统和利益相关者的安全性和安全性构成严重威胁。为了维护利益相关者，特别是最终用户的安全，保护数据免受欺诈行为的侵害是最紧迫的问题之一。恶意软件是一组恶意编程代码、脚本、活动内容或侵入性软件，旨在破坏预期的计算机系统和程序或移动和Web应用程序。根据一项研究，天真的用户无法区分恶意和良性应用程序。因此，计算机系统和移动应用程序应被设计为检测恶意活动以保护利益相关者。许多算法可用于通过利用包括人工智能、机器学习和深度学习的新颖概念来检测恶意软件活动。在这项研究中，我们强调基于人工智能（AI）的技术，用于检测和防止恶意软件活动。我们提出了一个详细的审查目前的恶意软件检测技术，其缺点，以及如何提高效率。我们的研究表明，采用未来的方法来开发恶意软件检测应用程序将提供显着的优势。对这种综合的理解将有助于研究人员进一步研究使用AI进行恶意软件检测和预防。
2022-06-26 cs.AI cs.CR cs.LG
A Survey on Smartphones Security: Software Vulnerabilities, Malware, and Attacks
如今，智能手机及其应用程序的使用在人们的日常生活中已经变得越来越流行。在过去的十年中，移动支付系统和应用程序市场等移动货币服务的可用性显着增加，这是由于移动设备提供的不同形式的应用程序和连接，如3G，4G，GPRS和Wi-Fi等。因此，智能手机已成为恶意程序员的理想目标设备。随着安全漏洞和攻击数量的增加，研究人员提出的安全对策也相应上升。由于这些原因，支付系统的安全性是移动支付系统中最重要的问题之一。在本次调查中，我们的目标是为智能手机设备的安全解决方案的研究提供一个全面和结构化的概述。该调查回顾了2011年至2017年期间安全解决方案、威胁和漏洞的最新技术水平，重点关注软件攻击，例如针对智能手机应用程序的攻击。我们概述了一些对策，旨在保护智能手机免受这些群体的攻击，基于检测规则，数据汇集和操作系统，特别是专注于开源应用程序。通过这种分类，我们希望为用户和研究人员提供一个简单的理解，以提高他们对智能手机安全和隐私的了解。
2020-01-26 cs.CR
Malware Resistant Data Protection in Hyper-connected Networks: A survey
该综述针对现有研究未同时涵盖恶意软件攻击模式与防御策略的空白，整合了现代复杂恶意软件的攻击模式分类与基于机器学习的检测方法，梳理了分析技术并指出未来研究方向。
2023-07-24 cs.CR
N-opcode Analysis for Android Malware Classification and Categorization
恶意软件检测是一个日益严重的问题，特别是在Android移动平台上，因为它越来越受欢迎，并且可以访问许多第三方应用程序市场。新兴恶意软件家族采用的日益复杂的检测规避技术也使情况变得更糟。这需要更有效的技术来检测和分类Android恶意软件。因此，在本文中，我们提出了一种基于n-opcode分析的方法，利用机器学习来分类和分类Android恶意软件。这种方法实现了自动化特征发现，消除了应用专家或领域知识来定义所需特征的需要。我们在2520个样本上进行的实验使用了多达10克的操作码特征，结果表明使用这种方法可以实现98%的f-测量。
2016-07-27 cs.AI cs.CR
Why an Android App is Classified as Malware? Towards Malware Classification Interpretation
Nanyang Technological University（南洋理工大学）；Peking University（北京大学）；College of Intelligence and Computing, Tianjin University（天津大学智能与计算学部）；Harbin Institute of Technology (Shenzhen)（哈尔滨工业大学（深圳））；College of Cyber Science, Nankai University（南开大学网络空间安全学院）；Chinese University of Hong Kong（香港中文大学）
基于机器学习（ML）的方法被认为是Android恶意软件检测的最有前途的技术之一，并且通过利用常用的功能实现了高准确性。在实践中，大多数ML分类只为移动用户和应用程序安全分析师提供二进制标签。然而，利益相关者更感兴趣的是为什么应用程序在学术界和工业界都被归类为恶意应用程序。这属于可解释ML的研究领域，但在特定的研究领域（即，移动恶意软件检测）。尽管已经展示了几种可解释的ML方法来解释许多前沿人工智能（AI）研究领域的最终分类结果，但到目前为止，还没有研究解释为什么应用程序被归类为恶意软件或揭示特定领域的挑战。在本文中，为了填补这一空白，我们提出了一种新的和可解释的ML为基础的方法（命名为XMal）分类恶意软件具有高精度，同时解释分类结果。(1)XMal的第一个分类阶段融合了多层感知器（MLP）和注意力机制，并确定了与分类结果最相关的关键特征。(2)第二个解释阶段旨在自动生成神经语言描述，以解释应用程序中的核心恶意行为。我们通过与现有的可解释的基于ML的方法（即，Drebin和LIME）来证明XMal的有效性。我们发现，XMal能够更准确地揭示恶意行为。此外，我们的实验表明，XMal也可以解释为什么一些样本被ML分类器错误分类的原因。我们的研究通过对Android恶意软件检测和分析的研究来窥视可解释的ML。
2020-09-04 cs.CR cs.LG
Vulnerability Detection Approaches on Application Behaviors in Mobile Environment
本文研究了基于应用行为分析的Android恶意软件检测技术，介绍了多种方法的特征与结果，并指出了当前检测手段在多态性恶意软件识别及执行路径覆盖上的不足及未来研究方向。
2023-07-29 cs.CR cs.ET
BERTDetect: A Neural Topic Modelling Approach for Android Malware Detection
针对传统Android恶意软件检测方法无法捕捉应用描述细微语义的问题，提出基于BERTopic神经主题建模的BERTDetect方法，其主题聚类一致性更高，F1分数较基线提升约10%。
2025-03-23 cs.CR cs.IR
DroidNative: Semantic-Based Detection of Android Native Code Malware
根据赛门铁克和F-Secure的威胁报告，2013年和2014年的移动恶意软件开发几乎完全集中在Android平台上。恶意软件编写者正在应用隐形突变（混淆）来创建恶意软件变体，从而阻碍基于签名的检测器的检测。此外，利用静态分析技术来检测这种变体的过多的更复杂的检测器仅在字节码级别操作，这意味着嵌入在本机代码中的恶意软件未被检测到。最近的一项研究表明，86%的最流行的Android应用程序包含本机代码，这使得这成为一个看似合理的威胁。本文提出了DroidNative，一个Android恶意软件检测器，使用特定的控制流模式来减少混淆的影响，提供自动化和平台独立性，据我们所知，它是第一个在Android本机代码级别运行的系统，允许它检测嵌入在本机代码和字节码中的恶意软件。当使用传统的恶意软件变体进行测试时，它的检测率（DR）为99.48%，而学术和商业工具的DR范围为8.33% -93.22%。当使用2240个样本的数据集进行测试时，DroidNative的DR为99.16%，假阳性率为0.4%，平均检测时间为26.87秒/样本。
2016-02-21 cs.CR
Characterization of Android malware based on opcode analysis
Android操作系统是世界上最流行的移动平台。因此，攻击者正在为Android制作数量惊人的恶意软件应用程序。我们的目标是检测Android的恶意软件，以保护用户。要做到这一点，通过软件的动态分析可以获得真正好的结果，但它需要复杂的环境。为了达到相同的精度水平，我们分析了机器码和调查的频率的ngrams的操作码，以检测奇异码块。这使我们能够构建受感染代码块的数据库。然后，由于攻击者可能会修改和组织不同的感染注入的代码在他们的新的恶意软件，我们不仅执行测试软件与受感染的代码块的数据库的语义比较，但也结构化的比较。为了进行这种比较，我们计算子图同构。它使我们能够精确地描述测试软件是否是恶意软件，如果是，它属于女巫家族。我们的方法进行了测试，实验室数据库和一组真实的数据。它实现了几乎完美的检测率。
2021-04-08 cs.CR
