A Large-scale Temporal Measurement of Android Malicious Apps: Persistence, Migration, and Lessons Learned
我们通过利用2019年至2020年期间在流行移动安全产品的1170万客户中收集的880万日常设备检测来研究Android上潜在有害应用程序（PHA）的时间动态。我们表明，Android当前的安全模型限制安全产品作为常规应用程序运行，并阻止它们自动删除恶意应用程序，为攻击者打开了一个重要的机会窗口。这些应用程序会警告用户新发现的威胁，但用户不会立即对此信息采取行动，从而使PHA在检测到后平均在设备上持续24天。我们还发现，虽然应用市场在PHA被发现后会将其删除，但在PHA被发现和删除之间存在明显的延迟：PHA在Google Play上平均持续77天，在第三方市场上平均持续34天。最后，我们发现PHA在原始市场上被删除后迁移到其他市场的证据。本文提供了一个前所未有的Android PHA格局，表明目前对Android上PHA的防御并不像通常认为的那样有效，并确定了安全社区应该追求的多个研究方向，从编排更有效的PHA拆除到为移动安全产品设计更好的警报。
2021-08-10 cs.CR
Tackling Android Stego Apps in the Wild
数字图像取证是一个年轻但成熟的领域，包括相机识别，伪造图像检测和隐写分析等关键领域。然而，学术成果和实践法医分析师使用的应用程序之间存在很大的差距。为了使学术发现更接近现实世界的实现，使用代表“野外”场景的数据非常重要。为了检测从隐写术应用程序创建的隐写图像，从这些应用程序生成的图像是理想的使用。在本文中，我们介绍了我们的工作，从移动应用程序使用两种不同的方法进行steg检测图像：“签名”检测，和机器学习方法。ML任务的一个主要挑战是从不同的应用程序中创建大量具有一定嵌入率的隐写图像。我们的主要贡献之一是使用Android模拟器和逆向工程技术生成一个大型图像数据库的过程。我们开发用于隐写应用程序的签名检测的算法和工具，并为创建ML分类器时遇到的问题提供解决方案。
2018-08-01 cs.CR
Android Permission Model
智能手机技术的最新发展使其应用市场变得巨大而不安全。每天都有大量的应用程序在android market（主要是在google play store上）推出，没有任何特别的检查，这造成了很多安全问题，而且这些问题仍然没有得到解决。有很多最近和日益增加的安全问题，主要是由Android应用程序引起的。主要是，通过应用程序访问用户数据依赖于用户对应用程序的权限。因此，Android智能手机上的不同应用程序如何绕过Android权限模型获得root访问权限以及用户数据如何被其应用程序泄露或窃取一直是一个大问题。这并不令人惊讶，谷歌Play商店有大量的恶意应用程序，可能会引起用户的注意，成为受害者之一，但有时它可能比我们想象的更糟糕。在本文中，我们将看看安全问题（即生根手机，恶意软件绕过和辅存）和如何容易获得用户的手机通过使用其应用程序.此外，我将讨论Android更新机制及其功能，以及可能的第三方绕过和根访问的漏洞.此外，一个关键的功能和来源的所有可能的访问路由到android应用程序我将讨论一个android权限模型。最后，我将首次提出基于特征的开发模型的概念，实现基于特征的权限选择作为Android应用系统的解决方案，并详细描述了基于特征的权限模型是如何解决当前使用Android权限模型的有意（恶意编码）或无意（编码不良）编码所导致的安全问题的。
2016-07-15 cs.CR
DaDiDroid: An Obfuscation Resilient Tool for Detecting Android Malware via Weighted Directed Call Graph Modelling
自2012年以来，新的移动恶意软件实例的数量每年增长超过50%，移动应用程序中嵌入的恶意软件可以说是移动平台面临的最严重的安全问题之一。虽然混淆技术成功地用于保护应用程序开发人员的知识产权，但不幸的是，它们也经常被网络犯罪分子用来隐藏移动应用程序中的恶意内容并欺骗恶意软件检测工具。因此，大多数移动恶意软件检测方法无法区分良性和混淆的恶意应用程序。我们通过构建API调用的加权有向图来检查移动应用程序代码的图形特征，并验证恶意应用程序通常具有可用于将其与良性应用程序区分开的结构相似性，即使在严重“污染”的训练集下，其中大多数应用程序都被混淆。我们提出DaDiDroid的Android恶意软件应用程序检测工具，利用API调用的加权有向图的功能来检测（混淆）Android应用程序中的恶意软件代码的存在。我们发现DaDiDroid明显优于MaMaDroid [23]，MaMaDroid是最近提出的恶意软件检测工具，已被证明在干净的非混淆环境中检测恶意软件非常有效。我们评估DaDiDroid的准确性和鲁棒性对几个规避技术使用各种数据集，共43，262良性和20，431恶意软件应用程序。我们发现，DaDiDroid正确标记了高达96%的Android恶意软件样本，同时通过独家使用混淆应用程序的训练集实现了91%的准确率。
2019-08-21 cs.CR
Characterizing Sensor Leaks in Android Apps
虽然手机传感器对于实现高级功能非常有价值，但攻击者可能会滥用手机传感器在Android应用程序中实施恶意活动，正如许多最先进的研究所证明的那样。因此，迫切需要规范移动传感器的使用，以防止它们被恶意攻击者利用。然而，尽管为实现这一目标作出了各种努力，检测Android应用程序中的隐私泄漏，我们还没有找到自动检测Android应用程序中传感器泄漏的方法。为了填补这一空白，我们设计并实现了一个新颖的原型工具SEEKER，它扩展了著名的FlowDroid工具，以检测Android应用程序中基于传感器的数据泄漏。SEEKER直接对Android应用程序的字节码进行以传感器为中心的静态污点分析，不仅报告传感器触发的隐私泄露，还报告泄露中涉及的传感器类型。使用超过40，000个真实Android应用程序的实验结果表明，SEEKER可以有效地检测Android应用程序中的传感器泄漏，恶意应用程序比良性应用程序对泄漏传感器数据更感兴趣。
2022-01-17 cs.CR cs.SE
On the (Un)Reliability of Privacy Policies in Android Apps
在Android上访问隐私敏感信息是移动社区日益关注的问题。尽管Google Play最近推出了一些隐私准则，但要彻底验证应用程序是否真正遵守这些规则仍然是一个悬而未决的问题。为此，在本文中，我们讨论了一种新的方法的基础上，一个富有成效的组合静态分析，动态分析，和机器学习技术，它允许评估这样的遵守。更详细地说，我们的方法检查每个应用程序是否i）包含符合Google Play隐私准则的隐私政策，以及ii）仅在用户接受该政策时才访问隐私敏感信息。此外，该方法还允许检查嵌入在应用w.r.t.同样的隐私政策。我们在一个工具3PDroid中实现了我们的方法，并对Google Play商店中最近下载量最大的一组Android应用进行了评估。实验结果表明，超过95%的应用程序会访问用户的隐私敏感信息，但其中只有一小部分（约1%）完全符合Google Play隐私准则。
2020-04-18 cs.CR
Automatic Investigation Framework for Android Malware Cyber-Infrastructures
Android系统的普及，不仅在手机设备中，而且在物联网设备中，使其成为恶意软件非常有吸引力的目的地。事实上，恶意软件正在以类似的速度扩张，目标是在大多数情况下依赖互联网正常工作的设备。最先进的恶意软件缓解解决方案主要集中在使用动态和静态分析特征来区分恶意应用程序和良性应用程序的实际恶意Android应用程序的检测上。然而，Android恶意应用程序的互联网/网络维度的覆盖范围很小。在本文中，我们提出了ToGather，一个自动调查框架，以Android恶意软件样本，作为输入，并产生一个关于这些样本家庭的恶意网络基础设施的情况意识。ToGather利用最先进的图论技术来生成可操作的粒度智能，以减轻Android恶意软件应用程序的恶意互联网活动所带来的威胁。我们对来自不同Android家族的真实恶意软件样本进行了ToGather实验，获得的结果非常有趣，非常有前途
2018-06-23 cs.CR
On Impact of Semantically Similar Apps in Android Malware Datasets
恶意软件作者重复使用在其他应用程序中发现的相同程序段来执行类似的恶意活动，例如信息窃取，发送SMS等。因此，在一个家族/数据集中可能存在多个语义相似的恶意软件样本。许多研究人员不知道这些语义相似的应用程序，并在其ML模型中使用它们的功能进行评估。因此，性能指标可能会受到这些类似应用程序的严重影响。在本文中，我们研究了语义相似的应用程序在基于机器学习的Android恶意软件检测器的性能指标的影响。为此，我们提出了一种新的基于操作码子序列的恶意软件聚类算法来识别语义相似的恶意软件和好软件应用程序。为了研究语义相似的应用程序在性能指标中的影响，我们测试了不同ML模型的性能，这些模型基于具有/不具有语义相似应用程序的恶意软件和好软件应用程序的API调用和权限特征。在我们对Drebin数据集的实验中，我们发现，在从数据集中删除完全重复的应用程序后（？= 0）基于API调用的ML模型的恶意软件检测率（TPR）从0.95下降到0.91，基于权限的模型从0.94下降到0.90。为了克服这个问题，我们建议研究界在评估恶意软件检测机制之前，使用我们的聚类算法来去除语义相似的应用程序。
2021-12-05 cs.CR
Forensics Analysis of Android Mobile VoIP Apps
互联网协议语音（VoIP）应用程序（app）为用户提供了方便且低成本的手段来实时地彼此通信和共享信息。这些应用程序的受欢迎程度与日俱增，人们产生并分享了大量数据，包括他们的个人和敏感信息。这可能会导致一些隐私问题，例如泄露用户联系人，私人消息或个人照片。因此，有必要对这些应用程序进行最新的取证了解。本章分析了Google Play商店中三种流行的移动VoIP（mVoIP）应用程序的有价值的残留物，即Viber，Skype和WhatsApp Messenger，以确定这些应用程序在多大程度上揭示了有关用户活动的有价值的信息。我们对智能手机设备上的这三个mVoIP应用程序进行了彻底的调查研究。我们的实验结果表明，几个文物，如消息，联系方式，电话号码，图像和视频文件，是可恢复的智能手机设备，配备了这些mVoIP应用程序。
2017-09-15 cs.CR
A Sink-driven Approach to Detecting Exposed Component Vulnerabilities in Android Apps
Android应用程序可以公开其组件，以便与其他应用程序协作。然而，这种便利性使应用程序容易受到暴露组件漏洞（ECV）的影响，其中组件内的危险API（通常称为sink）可以由其他（恶意）应用程序触发。在先前的工作中，检测这些ECV使用与检测中的ECV有关的一组汇。在本文中，我们认为，一个更全面，更有效的方法应该开始系统的选择和分类的特定功能汇（VSinks）。VSink的集合比以前的作品中使用的要大得多。基于这些VSinks，我们的sink驱动方法可以通过两个步骤检测应用程序中不同类型的ECV。首先，VSink和他们的类别是通过一个典型的前向可达性分析。其次，基于每个VSink的类别，使用相应的检测方法通过定制的后向马尔可夫分析来识别ECV。我们还设计了一个半自动引导的分析和验证功能，用于仅限系统的广播检查，以消除一些误报。我们在一个名为ECVDetector的工具中实现了我们的sink驱动方法，并使用顶级1K Android应用程序对其进行了评估。使用ECVDetector，我们成功地识别了我们定义的所有四个ECV类别中的49个易受攻击的应用程序。据我们所知，其中大部分是以前未公开的，如非常流行的Go SMS Pro和Clean Master。此外，ECVDetector的性能很高，处理每个组件平均只需9.257秒。
2014-05-24 cs.CR
Cross-Platform Analysis of Indirect File Leaks in Android and iOS Applications
如今，我们的大部分敏感信息都存储在移动应用程序（app）中，例如浏览历史记录和聊天记录。为了保护这些隐私文件，现代移动系统，特别是Android和iOS，使用沙箱来隔离应用程序的文件区域。然而，我们在本文中表明，这些私人文件仍然可以通过间接利用受害者应用程序信任的组件来泄露。特别是，我们设计了新的间接文件泄漏（IFL）攻击，利用浏览器接口，命令解释器和嵌入式应用服务器泄漏非常流行的应用程序，如Evernote和QQ的数据。与以前的攻击不同，我们证明这些IFL可以影响Android和iOS。此外，我们的IFL方法允许对手远程发起攻击，而无需在受害者的智能手机中植入恶意应用程序。最后，我们比较了四种不同类型的IFL攻击对Android和iOS的影响，并提出了几种缓解方法。
2017-02-09 cs.CR
Dexteroid: Detecting Malicious Behaviors in Android Apps Using Reverse-Engineered Life Cycle Models
Android恶意软件的数量在过去几年中大幅增加。静态分析广泛用于通过分析代码而不执行来检测此类恶意软件。当前工具的有效性依赖于应用模型以及分析应用模型的恶意软件检测算法。如果模型和/或算法不充分，则由特定事件序列触发的复杂攻击将不会被检测到。本文提出了一个静态分析框架Dexteroid，它使用逆向工程的生存周期模型来准确捕获Android组件的行为。Dexteroid系统地从模型中导出事件序列，并使用它们来检测由特定事件顺序发起的攻击。Dexteroid的原型实现检测两种类型的攻击：（1）泄露私人信息，以及（2）向高级号码发送SMS。在1526个Google Play应用程序、1259个Genome恶意软件应用程序和一套名为DroidBench的基准应用程序上进行了一系列实验，并将结果与最先进的静态分析工具FlowDroid进行了比较。评估结果表明，该框架是有效的和高效的精度，召回率和执行时间。
2016-04-08 cs.CR
A Case Study of Intra-library Privacy Issues on Android GPS Navigation Apps
Android不受限制的应用程序市场具有开源性质，使其成为全球数百万智能设备上第三方应用程序的流行平台。具有广泛API（包括访问手机硬件、设置和用户数据）的应用程序的巨大增长引发了对用户隐私的担忧，因为从应用程序收集的信息可能用于分析目的。在这方面，本文侧重于地理定位数据和分析五个GPS应用程序，以确定隐私风险，如果没有适当的保障措施。我们的研究结果表明，GPS导航应用程序可以访问几种类型的设备数据，同时它们可能允许个人数据泄露给第三方，如图书馆提供商或跟踪服务，而不向用户提供足够或准确的信息。此外，由于他们使用的是第三方图书馆，他们遭受了图书馆内勾结的问题，这可能会被广告和分析公司通过应用程序利用，并在未经用户明确同意的情况下收集大量个人信息。
2021-09-08 cs.CR
An Android Cloud Storage Apps Forensic Taxonomy
在过去的十年里，手机在我们的日常活动中扮演着非常重要的角色。随着对这些设备需求的增加，人们现在更加依赖智能手机应用程序来完成日常任务，许多人更喜欢将移动数据保存在云平台上，以便在任何设备上的任何地方访问它们。云技术是更好的数据存储的新方法，因为它提供了更好的安全性，更大的灵活性和移动性。许多智能手机已被调查为犯罪的主体，客体或工具。其中许多调查包括分析通过云存储应用程序存储的数据，这有助于移动设备上云应用程序取证的重要性。在本文中，各种云Android应用程序进行了分析，使用取证工具XRY和取证分类调查这些应用程序的建议。拟议的分类反映了从31个不同的云应用程序中检索的残留文物。预计本文提出的分类法和法医调查结果将有助于未来的法医调查，涉及基于云的存储应用程序。
2017-06-25 cs.CR
NatiDroid: Cross-Language Android Permission Specification
Android系统通过权限实施来管理对敏感API的访问。应用程序（app）必须在调用特定Android API之前声明适当的权限。但是，到目前为止，还没有官方文档提供受权限保护的API的完整列表和相应的权限。研究人员花费了大量精力从Android API框架中提取此类API保护映射，该框架利用静态代码分析来确定在访问API之前是否需要特定权限。然而，他们中没有一个试图分析本机库中的保护映射（即，用C和C++编写的代码），这是Android框架的一个重要组件，负责处理与较低级别硬件（如摄像头和传感器）的通信。虽然保护映射可用于检测Android应用程序中的各种安全漏洞，例如权限过度特权和组件劫持，但不精确的映射将导致检测此类安全漏洞的错误结果。为了填补这一空白，我们开发了一个原型系统，名为NatiDroid，以促进跨语言的静态分析基准对两个国家的最先进的工具，称为Axplorer和Arcade。我们在超过11，000个Android应用程序上评估NatiDroid，包括来自自定义Android ROM的系统应用程序和来自Google Play的第三方应用程序。我们的NatiDroid可以识别多达464个新的API权限映射，与Axplorer和Arcade的最坏情况结果形成鲜明对比，其中大约71%的应用程序在权限过度特权方面至少有一个误报，高达3.6%的应用程序在组件劫持方面至少有一个…
2021-11-16 cs.CR
How Private is Android's Private DNS Setting? Identifying Apps by Encrypted DNS Traffic
DNS over TLS（DoT）和DNS over HTTPS（DoH）承诺通过加密DNS消息来提高DNS的隐私和安全性，特别是当消息被填充到统一大小时。首先，为了证明推荐的填充方法的局限性，我们提出了Segram，这是一种新的应用程序指纹攻击，允许对手推断哪些移动应用程序在设备上执行。其次，我们使用10种不同的DoT/DoH解析器记录了118个Android应用程序的流量轨迹，以研究Segram在不同条件下的有效性。根据我们的结果，Segram在受控的封闭世界设置中识别应用程序的准确率高达72%。Segram的有效性与最先进的技术相当，但Segram需要更少的计算工作量。我们发布数据集和代码。第三，我们研究了以隐私为中心的DoT/DoH解决方案中填充的流行率，发现高达81%的样本未能启用填充。我们的研究结果表明，推荐的填充方法不如预期的有效，并且解析器操作员没有充分意识到这一功能。
2021-06-26 cs.CR
Hidden in Plain Sight: Exploring Encrypted Channels in Android apps
随着Android操作系统中隐私功能的改进，侵犯隐私的应用程序可能会逐渐将重点转移到非标准和隐蔽的渠道，以泄露私人用户/设备信息。这种泄漏在很大程度上也不会被最先进的隐私分析工具检测到，这些工具在通过常规HTTP和HTTPS渠道发现隐私暴露方面非常有效。在这项研究中，我们设计和实现了ThirdEye，以显着扩展当前隐私分析工具的可见性，就各种非标准和隐蔽渠道发生的暴露而言，即，通过TCP/UDP（HTTP/S以外）上的任何协议，以及通过HTTP/S和非HTTP协议使用多层自定义加密。除了网络暴露之外，我们还考虑了通过存储介质的隐蔽通道，这些存储介质也利用了自定义加密层。使用ThirdEye，我们分析了Androidrank中各种类别的12，598个顶级应用程序，发现2887/12，598（22.92%）应用程序使用自定义加密/解密进行网络传输并将内容存储在共享设备存储中，其中2465/2887（85.38%）应用程序发送设备信息（例如，广告ID，已安装应用程序的列表）通过网络，可以指纹用户。此外，299个应用程序通过HTTP/非HTTP协议传输不安全的加密内容; 22个应用程序通过HTTPS使用身份验证令牌，碰巧通过不安全的（尽管是自定义加密的）HTTP/非HTTP通道暴露它们。我们发现了具有多级模糊的非标准和隐蔽通道（例如，通过HTTPS加密的数据，嵌套级别的加密），以及使用易受…
2022-09-29 cs.CR
Improving Dynamic Analysis of Android Apps Using Hybrid Test Input Generation
Android操作系统已成为最流行的移动操作系统，导致Android恶意软件的传播显著增加。因此，一些静态和动态分析系统已被开发来检测Android恶意软件。利用动态分析，需要高效的测试输入生成，以便触发潜在的运行时恶意行为。大多数现有的动态分析系统采用基于随机的输入生成方法，通常使用Android Monkey工具构建。基于随机的输入生成有几个缺点，包括有限的代码覆盖率，这促使我们探索将其与基于状态的方法相结合，以提高效率。因此，在本文中，我们提出了一种新的混合测试输入生成方法，旨在提高实际设备上的动态分析。我们通过将基于随机的工具（Monkey）与基于状态的工具（DroidBot）集成来实现混合系统，以提高代码覆盖率并可能发现更多的恶意行为。该系统使用2，444个Android应用程序进行评估，其中包含来自Android恶意软件基因组项目的1222个良性和1222个恶意软件样本。三种情况下，随机的，基于状态的，只有我们提出的混合方法进行了研究，比较评估其性能。我们的研究表明，该混合方法显着提高了从良性和恶意软件样本中提取的动态特征的量基于状态和常用的随机测试输入生成方法。
2017-05-18 cs.CR
Taxonomy of Security Weaknesses in Java and Kotlin Android Apps
Android是当今世界上最流行的操作系统，不仅在移动设备领域，而且在考虑台式机和膝上计算机时也是如此。这种流行使其成为安全攻击的有吸引力的目标，这也是由于移动应用程序经常操纵的敏感信息。后者正在经历一个过渡，Android生态系统正在从使用Java作为开发应用程序的官方语言，转向采用Kotlin作为Google支持的首选。虽然以前的研究已经部分研究了影响Java Android应用程序的安全漏洞，但还没有全面的实证调查研究影响Android应用程序的软件安全漏洞，考虑（并比较）用于开发的两种主要语言，即Java和Kotlin。我们提出了一项实证研究，其中我们：（i）手动分析681个提交，包括Java和Kotlin应用程序中开发人员修复的安全漏洞，目的是定义一个分类法，突出影响Java和Kotlin Android应用程序的软件安全漏洞类型;（ii）调查43个Android开发人员，以验证和补充我们的分类法。根据我们的研究结果，我们提出了一个未来行动的清单，研究人员和从业人员可以执行，以提高Android应用程序的安全性。
2022-01-27 cs.CR cs.SE
WhiteLie: A Robust System for Spoofing User Data in Android Platforms
WhiteLie是一种无需root或修改应用二进制文件的Android用户数据伪造系统，能欺骗应用程序接受伪造数据并有效保护隐私。
2025-12-01 cs.CR
KeyDroid: A Large-Scale Analysis of Secure Key Storage in Android Apps
本研究首次大规模分析了490,119个Android应用的硬件支持密钥存储使用情况，发现多数处理敏感数据的应用未采用可信硬件，且最强安全元件在非对称加密等操作中存在严重性能瓶颈。
2025-07-10 cs.CR
FraudDroid: Automated Ad Fraud Detection for Android Apps
虽然移动广告欺诈已经普遍存在，但文献中的最先进方法主要集中在检测所谓的静态放置欺诈，其中仅涉及单个UI状态，并且可以基于静态信息（例如广告视图的大小或位置）进行识别。存在其他类型的欺诈，涉及多个UI状态，并在用户与应用程序交互时动态执行。这种动态交互欺诈，虽然现在在应用程序中广泛传播，但尚未在文献中探索或解决。在这项工作中，我们调查了广泛的移动广告欺诈，为研究界提供了一个全面的分类。然后，我们提出，FraudDroid，一种新的混合方法来检测移动Android应用程序中的广告欺诈。FraudDroid动态分析应用程序以构建UI状态转换图，并收集其相关的运行时网络流量，然后利用这些流量来检查一组基于广告的规则，以识别广告欺诈行为。我们的经验表明，FraudDroid检测广告欺诈的准确率（93%）和召回率（92%）都很高。实验结果进一步表明，FraudDroid能够检测各种欺诈类型的广告欺诈。通过分析12，000个支持广告的Android应用程序，FraudDroid确定了与20个广告网络相关的335个欺诈案例，这些案例被进一步证实是真正的积极结果，并与我们的研究人员分享，以促进先进的广告欺诈检测
2018-06-13 cs.CR
Longitudinal Compliance Analysis of Android Applications with Privacy Policies
当代移动应用程序（app）被设计为跟踪、使用和共享用户的数据，通常未经他们的同意，这导致潜在的隐私和透明度问题。为了调查移动应用程序在收集用户信息方面是否一直是（不）透明的，我们对268个Android应用程序的历史版本进行了纵向分析。这些应用程序包括2008年至2016年期间的5，240个应用程序发布或版本。我们检测应用程序的行为与隐私政策中规定的数据汇集使用之间的不一致，以揭示合规性问题。我们利用机器学习技术对隐私政策文本进行分类，以识别收集和/或共享用户个人信息（如电话号码和电子邮件地址）的所谓做法。然后通过静态和动态分析揭示应用程序的数据泄漏。随着时间的推移，我们的结果显示，隐私政策中未披露的应用程序数据汇集做法的数量稳步增加。这种行为尤其令人不安，因为隐私政策是描述应用程序隐私保护做法的主要工具。我们发现，较新版本的应用程序可能比以前的版本更不兼容。据称与实际数据做法之间的差异表明，隐私政策往往与应用程序的行为不一致，从而违背了用户安装应用程序时的“通知和选择”原则。
2021-07-28 cs.CR
CryptoEval: Evaluating the Risk of Cryptographic Misuses in Android Apps with Data-Flow Analysis
本文提出CryptoEval框架，通过统一误用规范、适配器检测链和数据流驱动指标，结合无监督学习，评估Android应用密码误用的风险，并在4万多个应用中验证其有效性。
2023-05-13 cs.CR
Catering to Your Concerns: Automatic Generation of Personalised Security-Centric Descriptions for Android Apps
Android用户越来越关注他们的数据隐私和设备安全。为了提高用户的安全意识，最近的自动技术通过执行程序分析来产生以安全为中心的描述。然而，生成的文本并不总是解决用户的关切，因为它们通常过于技术性，普通用户无法理解。此外，不同的用户有不同的语言偏好，这与文本不匹配。受此挑战的激励，我们开发了一种创新方案，通过生成安全描述，以清晰易懂的术语解释Android应用程序的隐私和安全相关方面，帮助用户避免恶意软件和隐私泄露应用程序。我们实现了一个原型系统，PERRACTION，生成个性化的安全为中心的描述，自动学习用户的安全问题和语言偏好，以产生面向用户的描述。我们通过实验和用户研究来评估我们的方案。结果清楚地表明，与现有的描述生成器相比，PERFECTION的描述的可读性和用户的安全意识的改善。
2020-08-26 cs.CR
An Empirical Comparison of Security and Privacy Characteristics of Android Messaging Apps
AUEB（雅典大学经济与商业学院）；NTUA（国立雅典理工大学）；TU Delft（代尔夫特理工大学）
本文通过静态和动态分析比较了Android消息应用的实现特性，发现Messenger攻击面最大，Signal设计最简洁，动态行为上Messenger最活跃而Signal最保守。
2026-03-31 cs.CR
Ripple: Reflection Analysis for Android Apps in Incomplete Information Environments
尽管反射在Android应用程序中广泛使用，但它给静态安全分析带来了严重的问题。目前，字符串推理被应用于处理反射，导致严重遗漏的安全漏洞。在本文中，我们提出了Android应用程序的不完整信息环境（IIE）的普遍性，其中一些关键的数据流在静态分析过程中丢失，并需要解决IIE下的反射调用。我们介绍了Ripple，这是第一个针对Android应用程序的IIE感知静态反射分析，它比字符串推理更好地解决了反射调用。使用Google Play中的17个流行Android应用程序进行验证，证明了Ripple在发现反射目标方面的有效性，误报率较低。因此，Ripple启用了FlowDroid，这是一种针对Android应用程序的污点分析，可以找到数百个敏感数据泄漏，否则这些数据可能会被遗漏。作为一种基础分析，Ripple对许多安全分析客户端都很有价值，因为现在可以在IIE下分析更多的程序行为。
2016-12-16 cs.CR cs.SE
Do Android App Developers Accurately Report Collection of Privacy-Related Data?
本文研究 Android 应用数据安全披露是否符合 GDPR，构建隐私数据类别数据集与静态分析原型，发现开发者普遍存在少报和多报问题。
2024-09-06 cs.CR
LM-Scout: Analyzing the Security of Language Model Integration in Android Apps
本文首次系统研究 Android 应用中语言模型集成的安全风险，提出自动化工具 LM-Scout，在 2,950 个应用中发现 120 个可被自动利用的漏洞并给出修复建议。
2025-05-13 cs.CR
Our fingerprints don't fade from the Apps we touch: Fingerprinting the Android WebView
大量研究表明，浏览器指纹识别对用户的安全和隐私是有害的。然而，人们对浏览器指纹识别对Android混合应用程序的影响知之甚少。在Android混合应用程序中，一个精简的Chromium浏览器被集成到一个应用程序中。这些应用程序通过在本地应用程序和网络之间进行双向通信来扩大攻击面。本文研究了浏览器指纹对这些嵌入式浏览器的影响。为此，我们使用Android框架来记录和提取用于指纹识别的信息。我们研究了超过20，000个应用程序，包括Google Play商店中最受欢迎的应用程序。我们排除了Instagram等流行应用程序中的安全漏洞和严重的信息泄露。我们的研究表明，混合应用程序中的指纹可能包含特定于帐户和特定于设备的信息，这些信息可以在多个设备上唯一地识别用户。此外，我们的研究结果表明，混合应用程序浏览器并不总是遵守标准的浏览器特定的隐私政策。
2022-08-03 cs.CR cs.SE
Analyzing Android Browser Apps for file:// Vulnerabilities
保护移动设备中的浏览器非常具有挑战性，因为这些浏览器应用程序通常为同一设备中的其他应用程序提供浏览服务。安装在设备中的恶意应用程序可能会通过浏览器应用程序获取敏感信息。在本文中，我们识别了Android中的四种类型的攻击，统称为FileCross，它们利用易受攻击的file：//获取用户的私人文件，如cookie，书签和浏览历史记录。我们设计了一个自动化系统来动态测试从Google Play收集的115个浏览器应用程序，发现其中64个容易受到攻击。其中包括流行的Firefox，百度和傲游浏览器，以及更具体的应用程序，包括平板电脑用户的UC浏览器HD，维基百科浏览器和儿童安全浏览器。对这些浏览器的详细分析进一步表明，26个浏览器（23%）无意中暴露了他们的浏览界面。针对我们的报告，有关开发人员迅速修补了他们的浏览器，禁止file：//访问私人文件区，禁用file：//URL中的JavaScript执行，甚至阻止外部file：//URL。我们使用相同的系统来验证从开发人员那里收到的十个补丁，并发现一个仍然无法阻止漏洞。
2014-09-01 cs.CR
An Empirical Study on Android for Saving Non-shared Data on Public Storage
Android拥有数百万个可从官方或第三方市场下载的应用程序，已成为当今最受欢迎的移动平台之一。这些应用程序以各种方式帮助人们，因此可以访问大量用户数据，这些数据通常分为三类：敏感数据，与其他应用程序共享的数据以及不与他人共享的非敏感数据。对于第一种和第二种类型的数据，Android提供了非常好的存储模型：应用程序的私人敏感数据保存到其私人文件夹中，只能由应用程序本身访问，而要共享的数据保存到公共存储（外部SD卡或内部闪存上的模拟SD卡区域）。但对于最后一种类型，即，应用程序的非敏感和非共享数据，Android当前的存储模式存在一个大问题，它基本上鼓励应用程序将其非敏感数据保存到其他应用程序可以访问的共享公共存储。乍一看，这样做似乎没有问题，因为这些数据毕竟是不敏感的，但它隐含地假设应用程序开发人员可以正确识别所有敏感数据，并防止所有可能的信息泄漏私人但非敏感数据。在本文中，我们将通过对遵循Android推荐的非敏感数据存储模型的应用程序的信息泄漏进行彻底调查来证明这是一个无效的假设。我们的研究表明，来自数十亿用户的高度敏感信息可以很容易地通过利用上述有问题的存储模型进行黑客攻击。虽然我们的实证研究是基于一组有限的应用程序，但所发现的问题从来不是孤立的，也不是正在调查的应用程序的偶然错误。相反，问题的根源在于Android推荐的易受攻击的存储模型。为了减轻威胁，我们还提出了一个防御…
2014-11-10 cs.CR
Silent Consent, Persistent Risk: Android Permission Groups and Custom Permissions
Boston University（波士顿大学）
通过分析1930万APK和Android 16设备验证，揭示权限组自动授予新权限和正常级自定义权限静默安装的机制导致17%的多版本应用在已授权组内静默获得权限，且恶意软件比例更高（OR=1.35），并发现307个跨开发者自定义权限对暴露敏感数据。
2026-05-26 cs.CR
Android Malware Clustering using Community Detection on Android Packages Similarity Network
每天针对应用程序存储库的Android恶意应用程序（应用程序）数量正在增加，其数量超过了指纹识别过程。为了解决这个问题，我们提出了一个增强的Cypider框架，一组技术和工具，旨在通过建立一个可扩展的和混淆弹性相似性网络基础设施的恶意应用程序的移动恶意软件进行系统的检测。我们的方法是基于我们提出的概念，即恶意社区，在其中我们认为共享共同特征的恶意实例是同一恶意软件家族中最有可能的部分。使用这个概念，我们假设多个类似的Android应用程序，不同的作者是最有可能是恶意的。具体来说，Cypider利用这一假设来检测已知恶意软件家族和零日恶意应用程序的变体。Cypider在相似性网络上应用社区发现算法，该算法提取被认为是可疑和可能恶意社区的子图。此外，我们提出了一种新的指纹技术，即社区指纹，基于一类机器学习模型的每个恶意社区。此外，我们提出了一个增强的Cypider框架，它需要更少的内存，x650，和更少的时间来建立相似性网络，x700，与原始版本相比，而不影响指纹性能的框架。我们引入了一个系统的方法来定位不同的特征内容向量的最佳阈值，这简化了整个检测过程。
2020-05-12 cs.CR
Simple Spyware: Androids Invisible Foreground Services and How to (Ab)use Them
随着Android Oreo和Pie的发布，Android为应用程序引入了一些后台执行限制。谷歌限制后台服务的执行，以节省能源，并防止应用程序在后台无休止地运行。此外，对设备传感器的访问发生了变化，并引入了一个名为前台服务的新概念。应用程序不再允许在空闲状态下运行后台服务，从而防止应用程序使用设备的资源，如相机。然而，这些限制不会影响所谓的前台服务，因为它们向用户显示永久可见的通知，因此用户可以随时停止。我们的研究发现，API中存在缺陷，允许启动不可见的前台服务，使引入的限制无效。我们将展示发现的漏洞允许攻击者使用前台服务作为监视用户的工具。
2020-11-28 cs.CR
ARAP: Demystifying Anti Runtime Analysis Code in Android Apps
ARAP通过静态和动态分析首次系统研究Android应用中的反运行时分析技术，揭示了99.6%的良性应用和97.0%的恶意应用均采用至少一种ARA技术
2024-08-20 cs.CR cs.SE
Understanding Real-world Threats to Deep Learning Models in Android Apps
深度学习（DL）以其卓越的性能而闻名，在许多应用中得到了广泛的应用，但同时也给模型带来了各种各样的威胁。一个主要威胁来自对抗攻击。多年来，研究人员一直在深入研究这种威胁，并提出了数十种创建对抗性示例（AE）的方法。但大多数方法仅在有限的模型和数据集上进行评估（例如，MNIST，CIFAR-10）。因此，攻击现实世界深度学习模型的有效性还不太清楚。在本文中，我们对真实世界的DNN模型进行了首次系统的对抗攻击研究，并提供了一个名为RWM的真实世界模型数据集。特别是，我们设计了一套方法，以适应当前的AE生成算法，以不同的现实世界的DL模型，包括自动提取DL模型从Android应用程序，捕获应用程序中的DL模型的输入和输出，生成AE和验证他们通过观察应用程序的执行。对于黑盒DL模型，我们设计了一种基于语义的方法来构建合适的数据集，并在执行基于传输的攻击时使用它们来训练替代模型。在分析了从62，583个真实世界应用程序中收集的245个DL模型后，我们有一个独特的机会来了解真实世界DL模型和当代AE生成算法之间的差距。令人惊讶的是，目前的AE生成算法只能直接攻击6.53%的模型。受益于我们的方法，成功率上升到47.35%。
2022-09-28 cs.CR
$μ$Dep: Mutation-based Dependency Generation for Precise Taint Analysis on Android Native Code
Android应用程序中存在的本机代码在触发秘密的不显眼传播和规避恶意软件检测方面发挥着重要作用。然而，用于Android应用程序的最先进的信息流分析工具都具有分析本机代码的有限功能。由于二进制级静态分析的复杂性，大多数静态分析器选择为本地代码的选定部分构建保守模型。虽然最近的语言间分析提高了跟踪本机代码中的信息流的能力，但它仍然远远没有达到专注于非本机Java方法的最先进的信息流分析器的类似效果。为了克服上述限制，我们提出了一个新的分析框架，$μ$ Dep，检测敏感信息流的Android应用程序包含本机代码。在这个框架中，我们结合了基于控制流的静态二进制分析和基于变异的动态分析来对应用程序中的本地代码的污染行为进行建模。根据分析结果，$μ$ Dep为相关的本机函数进行存根生成，以便于最先进的分析器DroidSafe提供本机代码的细粒度污染行为摘要。实验结果表明，与现有的中间语言静态分析方法相比，该框架在准确性上具有竞争力，能够有效地分析真实应用程序和恶意软件中的信息流。
2022-02-27 cs.CR
Mobile Cloud Forensics: An Analysis of Seven Popular Android Apps
使用Martini，Do和Choo提出的Android设备的证据收集和分析方法，我们检查和分析了七个流行的Android云应用程序。首先，我们分析了每个应用程序，以查看可以从其私人应用程序存储和SD卡目录中获取哪些信息。我们整理了这些信息并使用它来帮助我们调查每个应用程序数据库文件和AccountManager数据。为了完成我们对所分析的应用程序存储的取证文物的理解，我们对应用程序进行了进一步的分析，以确定是否可以根据在初始分析阶段获得的信息为每个应用程序收集用户身份验证凭据。这项研究的贡献包括对每个分析的应用程序的文物的详细描述，这些文物具有普遍的法医学意义。
2015-06-18 cs.CR cs.CY
Dissecting Click Fraud Autonomy in the Wild
虽然点击付费机制的使用刺激了移动广告网络的繁荣，但欺诈性广告点击给广告商造成了巨大的经济损失。广泛的研究根据基于动态分析的点击/流量模式识别点击欺诈。然而，在这项研究中，我们确定了一种新的点击欺诈，命名为人形攻击，它可以绕过现有的检测方案，通过生成欺诈性点击与正常点击类似的模式。我们实现了第一个工具ClickScanner来检测基于静态分析和变分自编码器（VAE）的Android应用程序上的人形攻击，具有有限的知识欺诈的例子。我们定义了新的功能来描述应用程序字节码级别的人形攻击模式。ClickScanner基于静态分析构建数据依赖图（DDG），提取这些关键特征，形成特征向量。然后，我们提出了一个只在良性数据集上训练的分类模型，以克服人形攻击的有限知识。我们利用ClickScanner对应用市场进行了首次大规模测量（即，来自Google Play和华为AppGallery的120，000个应用程序），并揭示了几个前所未有的现象。首先，即使是排名最高的20，000个应用程序，ClickScanner仍然将157个应用程序识别为欺诈性应用程序，这表明人形攻击的普遍性。其次，据观察，基于ad SDK的攻击（即，欺诈代码在第三方广告SDK中）现在是一种主要的攻击方法。第三，不同类别和受欢迎程度的应用程序之间的攻击方式明显不同。最后，我们注意到人形攻击有几个现有的变种。此外，我们的测量表明，所…
2021-09-15 cs.CR
SeMA: A Design Methodology for Building Secure Android Apps
UX（用户体验）设计师通过故事板直观地捕捉应用程序的UX。这种方法也用于Android应用程序开发，以概念化和设计应用程序。最近，安全性已成为Android应用程序UX不可或缺的一部分，因为移动应用程序用于执行银行、通信和健康等关键活动。因此，保护用户信息在移动应用程序中至关重要。在这种情况下，故事板工具提供了有限的能力来捕获和推理应用程序的安全需求。因此，安全性不能在设计时融入应用程序。因此，由设计缺陷引起的漏洞经常会出现在应用程序中。为了解决这个问题，在本文中，我们提出了一个基于故事板的设计方法，使规范和验证的Android应用程序的安全属性在设计时。
2019-09-20 cs.CR cs.PL cs.SE
How Did That Get In My Phone? Unwanted App Distribution on Android Devices
Android是最受欢迎的操作系统，拥有数十亿活跃设备。不幸的是，它的流行性和开放性使它对不需要的应用程序具有吸引力，即，恶意软件和潜在有害程序（PUP）。在Android中，应用程序安装通常通过官方和替代市场进行，但也通过其他较小且不太了解的替代分发载体进行，例如Web下载，按安装付费（PPI）服务，备份恢复，膨胀软件和IM工具。这项工作通过量化和比较不同向量的分布，对不需要的应用程序分布进行了彻底的调查。我们测量的核心是一家大型安全供应商的声誉日志，其中包括2019年6月至9月期间在1200万台设备中观察到的790万个应用程序。作为第一步，我们测量了10%到24%的用户设备至少遇到一个不需要的应用程序，并比较了恶意软件和PUP的流行程度。对安装者和子应用之间谁安装谁关系的分析显示，Play市场是主要的应用分发载体，占所有安装的87%和不需要的应用安装的67%，但它也对不需要的应用有最好的防御。替代市场分发了5.7%的应用程序，但超过10%的不需要的应用程序。Bloatware也是一个重要的不受欢迎的应用程序分发载体，占这些安装的6%。而且，备份恢复是一种无意的分发载体，甚至可能允许不需要的应用程序在用户更换手机后幸存下来。我们估计通过PPI分发的不需要的应用程序比Windows上的要少。最后，我们观察到，网络下载是罕见的，但提供了一个风险更高的主张，即使与替代市场相比。
2020-10-20 cs.CR
Ghera: A Repository of Android App Vulnerability Benchmarks
移动应用程序的安全性影响其用户的安全。这推动了自动检测移动应用程序中的漏洞并帮助开发人员保护其应用程序的技术的发展;特别是在Android平台的背景下，由于平台的开放性和普遍性。尽管在这一领域进行了大量的研究工作，但没有包含大多数已知Android应用程序漏洞的最新和精简基准的综合存储库，因此，可以用于严格评估现有和新的漏洞检测技术，并帮助开发人员了解Android应用程序漏洞。在本文中，我们描述了Ghera，一个开源的基准测试库，它捕获了Android应用程序中的25个已知漏洞（作为被利用/良性和利用/恶意应用程序对）。我们还介绍了我们在创建Ghera时发现的漏洞基准和存储库的理想特征。
2017-08-08 cs.CR cs.SE
A Large Scale Investigation of Obfuscation Use in Google Play
Android应用程序经常被剽窃或重新打包，建议使用软件混淆来防止这些做法。然而，关于应用程序混淆的总体比率、使用的技术或导致开发人员选择混淆其应用程序的因素的数据很少。在本文中，我们提出了第一个全面的分析，在Android应用程序中的软件混淆的使用和挑战。我们分析了Google Play中的170万个免费Android应用程序，以检测各种混淆技术，发现只有24.92%的应用程序被开发人员混淆。为了更好地了解这种混淆率，我们调查了308名Google Play开发人员对混淆的体验和态度。我们发现，虽然开发人员认为应用程序一般都有剽窃的风险，但他们并不担心自己的应用程序被盗。开发人员也自我报告在为自己的应用程序应用模糊处理时遇到了困难。为了更好地理解这一点，我们进行了一项后续研究，其中70名参与者中的绝大多数都未能混淆一个真实的示例应用程序，尽管许多人错误地认为他们已经成功了。我们的研究结果表明，需要做更多的工作来使混淆工具更可用，教育开发人员他们的应用程序被反向工程的风险，他们的知识产权被盗，他们的应用程序被重新打包和重新分发为恶意软件，并改善整个Android生态系统的健康状况。
2018-02-20 cs.CR
Too Quiet in the Library: An Empirical Study of Security Updates in Android Apps' Native Code
Android应用包含第三方原生库，以提高性能和重用功能。原生代码通过Java原生接口或Android原生开发工具包直接从应用执行。Android开发人员将预编译的原生库添加到他们的项目中，以启用它们的使用。不幸的是，开发人员经常努力或干脆忽视及时更新这些库。这导致在补丁可用多年后，仍继续使用过时的本机库，这些本机库具有未修补的安全漏洞。为了进一步了解这种现象，我们研究了9月10日以来Google Play上最受欢迎的200个免费应用程序中原生库的安全更新。2013年至2020年5月。我们在这项研究中面临的一个核心困难是图书馆及其版本的识别。开发人员经常重命名或修改库，使其识别具有挑战性。我们创建了一种名为LibRARIAN（LibRAry veRsion IdentificAtioN）的方法，该方法基于我们新颖的相似性度量bin 2sim准确识别Android应用中的原生库及其版本。LibRARIAN利用了基于元数据从库中提取的不同特征，并在只读部分中识别字符串。我们发现，在2009年9月20日至2011年9月30日期间，200个流行应用程序中有53个（26.5%）存在已知CVE的易受攻击版本。2013年和2020年5月，其中14个应用程序仍然存在漏洞。我们发现，应用程序开发人员平均需要528.71天来应用安全补丁，而库开发人员在54.59天后发布安全补丁-更新速度慢了10倍。
2021-03-03 cs.CR cs.SE
PrivacyAssist: A User-Centric Agent Framework for Detecting Privacy Inconsistencies in Android Apps
University of Insubria（因苏布里亚大学）
PrivacyAssist通过多代理LLM平台检测用户授权权限与开发者声明的敏感数据收集共享实践之间的不一致，提供简洁解释和实时警告以支持明智安装决策。
2026-04-25 cs.CR cs.HC
Automatically Detecting Checked-In Secrets in Android Apps: How Far Are We?
本文实证评估了三种已检入密钥检测工具在 5,135 个安卓应用上的表现，发现现有工具存在大量漏报但具有互补性，并提出基于方法内字符串组分析以克服混淆挑战的新策略。
2025-11-10 cs.CR cs.SE
An Empirical Assessment of Security Risks of Global Android Banking Apps
移动银行应用程序属于最安全的应用程序类别，使大量和动态的交易容易受到安全风险的影响。鉴于漏洞造成的巨大潜在财务损失，现有研究缺乏对全球银行应用程序安全风险的全面实证研究，以提供有用的见解并提高银行应用程序的安全性。由于银行应用程序中与数据相关的漏洞至关重要，可能直接导致严重的财务损失，本文首先回顾了最先进的可用工具，发现它们在识别银行应用程序与数据相关的安全漏洞方面的能力有限。为了补充现有的工具在数据相关的弱点检测的能力，我们提出了一个三阶段的自动安全风险评估系统，命名为AUSERA，它利用静态程序分析技术和敏感关键字识别。通过利用AUSERA，我们收集了83个国家的693个真实银行应用程序的2，157个弱点，并以此为基础，从全球分布和版本更新过程中的弱点演变等不同方面进行了全面的实证研究。我们发现，子银行拥有的应用程序总是不如母银行拥有的应用程序安全，或者与母银行拥有的应用程序相当。此外，我们亦跟踪漏洞修补情况，并收到银行实体的积极反馈，以在实践中提升银行应用程序的安全性。到目前为止，我们强调有21家银行证实了我们报告的弱点。我们还与英国汇丰银行和新加坡华侨银行等7家银行通过面对面或在线会议交流见解，以帮助他们改进其应用程序。我们希望本文中提出的见解能够让社区了解银行、学术研究人员和第三方安全公司等多个利益相关者之间的差距。
2020-02-18 cs.CR
Evaluating LLMs for Obfuscation Detection and Classification in Android Apps
IMT School for Advanced Studies Lucca（卢卡高等研究学院）；Interdisciplinary Centre for Security, Reliability and Trust（安全、可靠性和信任跨学科中心）；University of Verona（维罗纳大学）；University of Genoa（热那亚大学）
本研究通过大规模实验评估大型语言模型（LLMs）在无需手工规则或训练的情况下，通过语义推理检测Android应用中的代码混淆，并与现有SAST方法对比。
2026-06-15 cs.CR cs.SE
Mascara: A Novel Attack Leveraging Android Virtualization
Android虚拟化使应用能够创建虚拟环境，其他应用可以在其中运行。最初旨在克服移动应用程序尺寸的限制，恶意开发人员很快就开始利用这种技术来设计新颖的攻击。因此，研究人员提出了新的防御机制，使应用程序能够检测它们是否在虚拟环境中运行。在本文中，我们提出了睫毛膏，第一次攻击，利用虚拟化技术以一种新的方式，实现了对任何Android应用程序的完全可行性，并证明了现有对策的无效性。睫毛膏是由一个恶意的应用程序执行的，它看起来像受害者应用程序的附加组件。至于任何其他附加组件，我们的恶意附加组件可以作为标准Android应用程序安装，但是，安装后，它会针对受害者应用程序启动睫毛膏。恶意附加组件是由睫毛护理器生成的，我们设计和开发的框架可以自动化整个过程。关于睫毛膏，我们评估了它对三个流行应用程序的有效性（即，Telegram、Amazon Music和Alamo）以及绕过现有虚拟环境检测机制的能力。我们通过测量虚拟化技术在运行时引入的开销和Mascarer生成100个恶意加载项所需的编译时间（即，少于10秒）。最后，我们设计了一个鲁棒的方法，检测虚拟环境中的Android的Android浏览器（ART）环境中的ArtMethod数据结构的字段值。
2020-10-20 cs.CR
Danger is My Middle Name: Experimenting with SSL Vulnerabilities in Android Apps
本文介绍了一个流行的Android应用程序中的信息泄漏和SSL漏洞的测量研究。我们对100个应用程序执行静态和动态分析，这些应用程序下载了至少1000万次，要求完全网络访问。我们的实验表明，虽然之前的工作已经引起了很多关注SSL在移动平台上的实现，几个流行的应用程序（32/100）接受所有证书和所有主机名，和四个实际上传输敏感数据未加密。我们建立了一个模拟中间人攻击的实验测试平台，发现许多应用程序（当对手在受害者的设备上安装了证书时，高达91%）是脆弱的，允许攻击者访问敏感信息，包括凭据，文件，个人详细信息和信用卡号码。最后，我们为应用程序开发人员提供了一些建议，并强调了几个开放的研究问题。
2015-05-04 cs.CR cs.SE
SecComp: Towards Practically Defending Against Component Hijacking in Android Applications
通过组件间通信实现的跨应用协作是Android上的一种基本机制。虽然它带来了功能重用和数据共享等好处，但也带来了一种称为组件劫持的威胁。通过劫持受害者应用程序中的易受攻击组件，攻击应用程序可以升级其最初禁止操作的权限。之前已经进行了许多研究来了解和缓解这个问题，但由于没有在野外部署有效的防御措施，组件劫持仍然是Android生态系统中一个严重的开放问题。在本文中，我们提出了我们对Android应用程序中组件劫持的实际防御的愿景。首先，我们认为，为了从根本上防止组件劫持，我们需要从以前的心态（即，执行系统级控制或在易受攻击的应用程序发布后重新打包）到更主动的版本，旨在帮助缺乏安全经验的开发人员首先制作安全组件。为此，我们建议在应用程序中嵌入一个安全组件库（SecComp），它代表应用程序组件执行应用程序内的强制访问控制。SecComp有效的一个重要因素是，我们发现可以设计一套实用的应用内策略来阻止组件劫持。此外，我们允许开发人员设计自定义策略，超出我们默认的通用策略，以支持更细粒度的访问控制。我们已经克服了实现初步SecComp原型的挑战，该原型以非常低的性能开销阻止组件劫持。我们希望未来的研究能够完全实现我们的愿景，最终帮助现实世界的应用程序摆脱组件劫持。
2016-09-13 cs.CR
AndroVault: Constructing Knowledge Graph from Millions of Android Apps for Automated Analysis
Android数据驱动的研究近年来获得了很大的发展势头。数据的丰富为知识学习提供了便利，但同时也增加了数据预处理的难度。因此，为研究准备一套要求严格且准确的数据是很重要的。本文提出了AndroVault框架，它是一个集数据汇集、知识表示和知识抽取为一体的Android研究框架。它从2013年开始使用长期运行的网络爬虫进行数据汇集（包括应用和描述），这保证了数据的及时性;通过对收集的数据进行静态分析和动态分析，我们计算各种属性来表征Android应用。之后，我们使用知识图谱通过计算属性方面的相关性来连接所有这些应用程序;最后，我们利用逻辑推理，机器学习和相关性分析等多种技术来提取对特定研究问题有益的事实（更准确和要求更高的数据，无论是否是高级数据）。利用这些高质量的数据，我们成功地进行了许多研究工作，包括恶意软件检测，代码生成和Android测试。我们希望以认证的方式向研究界发布我们的数据，并鼓励他们进行富有成效的研究。
2017-11-21 cs.CR cs.SE
Scalable Online Vetting of Android Apps for Measuring Declared SDK Versions and Their Consistency with API Calls
Android一直是最受欢迎的智能手机系统，市场上活跃着多个平台版本。为了管理应用与一个或多个平台版本的兼容性，Android允许应用在其清单文件中声明受支持的平台SDK版本。在本文中，我们对这种现代软件机制进行了系统的研究。我们的目标是衡量真实应用程序中声明的SDK版本（我们以后称之为DSDK版本）的当前做法，以及DSDK版本与其主机应用程序的API调用之间的一致性。为了成功分析22，687个流行应用程序的现代数据集（平均应用程序大小为25 MB），我们设计了一种可扩展的方法，该方法在Android字节码级别上运行，并采用轻量级字节码搜索进行应用程序分析。这种方法实现了适用于应用程序市场在线审查的良好性能，平均只需要大约5秒来处理应用程序。除了揭示DSDK在野外的特性外，我们的研究还定量测量了不适当的DSDK版本的两个副作用：（i）大约35%的应用程序低于最低DSDK版本并可能导致运行时崩溃，但幸运的是，只有11.3%的应用程序可能在Android 6.0及以上版本中崩溃;（ii）约2%的应用程序，由于未充分声明目标DSDK版本，可能会被远程代码执行利用，其中一半通过嵌入式第三方库调用易受攻击的API。这些结果表明了正确声明DSDK的重要性和困难，我们的工作可以帮助开发人员实现这一目标。
2020-08-31 cs.CR cs.SE
