OpCode-Based Malware Classification Using Machine Learning and Deep Learning Techniques
Students, Cybersecurity and Threat Intelligence University of Guelph（学生、网络安全与威胁情报大学格雷夫斯普尔大学）
本研究分析基于OpCode序列的恶意软件分类，评估传统机器学习（n-gram+SVM/KNN/决策树）和深度学习（CNN）两种方法，结果显示SVM优于其他传统模型，CNN性能具竞争力且可自动提取特征。
2025-04-18 cs.CR cs.LG
Malceiver: Perceiver with Hierarchical and Multi-modal Features for Android Malware Detection
Centre for Secure Information Technologies (CSIT)（安全信息技术中心（CSIT））；Queen’s University Belfast（贝尔法斯特女王大学）
我们提出了Malceiver，Android恶意软件检测，利用多模态功能的层次感知模型。主要输入是操作码序列和给定Android APK文件的请求权限。为了达到恶意软件分类决策，该模型将从操作码序列中提取的分层特征与所请求的权限结合在一起。该模型的架构基于Perceiver/PerceiverIO，允许有效地处理非常长的操作码序列。我们提出的模型可以很容易地扩展到使用多模态功能。我们的实验表明，该模型优于传统的CNN架构的操作码序列为基础的恶意软件检测。然后，我们表明，使用额外的方式提高性能。我们提出的架构为在恶意软件研究中使用Transformer风格的网络开辟了新的途径。
2022-04-12 cs.CR cs.CV
Android Malware Clustering through Malicious Payload Mining
聚类作为一种有效的分流方法已经被广泛研究用于桌面恶意软件分析。然而，由于Android应用程序开发中过度使用第三方库以及恶意软件开发中广泛使用重新打包，传统的基于相似性的聚类技术无法立即应用于Android恶意软件分析。通过迭代挖掘恶意负载并检查恶意样本是否共享相同版本的恶意负载，设计并实现了一个Android恶意软件聚类系统。我们的系统利用层次聚类技术和一个有效的位向量格式来表示Android应用程序。实验结果表明，我们的聚类方法实现了准确率为0.90和召回率为0.75的Android基因组恶意软件数据集，和平均准确率为0.98和召回率为0.96手动验证地面真相。
2017-07-15 cs.CR
DroidMorph: Are We Ready to Stop the Attack of Android Malware Clones?
Android恶意软件变体（克隆）的数量正在增加，为了阻止这种克隆攻击，我们需要开发新的方法和技术来分析和检测它们。作为第一步，我们需要研究这些恶意软件克隆是如何生成的。这将帮助我们更好地预测和识别这些克隆。在本文中，我们提出了一个新的工具，名为DroidMorph，提供变形的Android应用程序（APK）在不同层次的抽象，并可用于创建Android应用程序（恶意软件/良性）克隆。作为一个案例研究，我们执行测试和评估当前的商业反恶意软件产品对DroidMorph生成的Android恶意软件克隆攻击的弹性。我们发现，17个领先的商业反恶意软件程序中有8个无法检测到任何变形的APK。我们希望DroidMorph将用于未来的研究，以改善Android恶意软件克隆的分析和检测，并帮助阻止它们。
2021-06-17 cs.CR
Android Malware Detection: an Eigenspace Analysis Approach
随着融合了日益复杂的规避技术的新菌株的出现，缓解Android恶意软件的战斗变得更加关键，这反过来又需要更先进的检测功能。因此，在本文中，我们提出并评估了一个基于机器学习的方法，基于特征空间分析的Android恶意软件检测使用的功能来自Android应用程序的静态分析表征。实际恶意软件和良性样本数据集的实证评估表明，使用该方法可以实现超过96%的检测率和非常低的误报率。
2016-07-27 cs.CR
Automatic Investigation Framework for Android Malware Cyber-Infrastructures
Android系统的普及，不仅在手机设备中，而且在物联网设备中，使其成为恶意软件非常有吸引力的目的地。事实上，恶意软件正在以类似的速度扩张，目标是在大多数情况下依赖互联网正常工作的设备。最先进的恶意软件缓解解决方案主要集中在使用动态和静态分析特征来区分恶意应用程序和良性应用程序的实际恶意Android应用程序的检测上。然而，Android恶意应用程序的互联网/网络维度的覆盖范围很小。在本文中，我们提出了ToGather，一个自动调查框架，以Android恶意软件样本，作为输入，并产生一个关于这些样本家庭的恶意网络基础设施的情况意识。ToGather利用最先进的图论技术来生成可操作的粒度智能，以减轻Android恶意软件应用程序的恶意互联网活动所带来的威胁。我们对来自不同Android家族的真实恶意软件样本进行了ToGather实验，获得的结果非常有趣，非常有前途
2018-06-23 cs.CR
Analysis, Detection, and Classification of Android Malware using System Calls
随着Android在过去十年中的日益普及，Android在用户和攻击者中很受欢迎。大量的android用户吸引了android攻击者的注意力。由于android恶意软件的种类和攻击技术的不断发展，我们的检测方法也需要更新。研究者的工作大多是基于静态特征，很少关注动态特征。在本文中，我们通过使用系统调用检测Android恶意软件来填补文献空白。我们正在使用模拟器检测恶意软件的监控和控制环境中运行恶意应用程序。恶意行为在其运行期间通过一些模拟事件来激活其敌对行为。在应用程序运行时收集的恶意软件将被分析并提供给不同的机器学习模型，用于恶意软件的检测和家族分类。结果表明，K-最近邻和决策树分别给出了最高的准确率在恶意软件检测和家庭分类。
2022-08-12 cs.CR
DySign: Dynamic Fingerprinting for the Automatic Detection of Android Malware
Android操作系统的惊人普及，不仅在智能手机和平板电脑中，而且在物联网设备中，使这个操作系统成为恶意软件威胁的非常诱人的目标。事实上，后者正在以类似的速度扩张。在这方面，恶意软件指纹，无论是基于加密还是模糊散列，都是抵御此类攻击的第一道防线。模糊散列指纹适用于捕获恶意软件静态特征。此外，它们对恶意软件文件的实际静态内容的微小变化更具弹性。另一方面，动态分析是另一种恶意软件检测技术，它使用仿真环境来提取Android恶意软件的行为特征。然而，据我们所知，没有这样的指纹技术，利用动态分析，并将作为第一个防御Android恶意软件攻击。在本文中，我们解决了以下问题：我们可以生成有效的指纹Android恶意软件通过动态分析？为此，我们提出了DySign，一种新的技术指纹Android恶意软件的动态行为。这是通过从对现有已知恶意软件的恶意软件样本的动态分析生成摘要来实现的。值得一提的是：（i）DySign指纹近似于动态分析期间观察到的行为，以便实现对未来恶意软件变体行为中的微小变化的弹性;（ii）指纹计算与分析的恶意软件样本或系列无关。DySign利用最先进的自然语言处理（NLP）技术来生成上述指纹，然后利用这些指纹构建具有家庭归属的增强型Android恶意软件检测系统。
2017-02-19 cs.CR
Resilient and Adaptive Framework for Large Scale Android Malware Fingerprinting using Deep Learning and NLP Techniques
Android恶意软件检测是一个严重的问题，影响了现有市场中使用数百万Android应用程序（应用程序）的数十亿用户。本文提出了PetaDroid，一个准确的Android恶意软件检测和家庭聚类的框架上的静态分析。PetaDroid自动适应Android恶意软件和随着时间的推移与常见的二进制混淆技术的弹性良性变化。该框架采用了基于自然语言处理（NLP）和机器学习技术的新技术，以实现准确、自适应和弹性的Android恶意软件检测和家族聚类。PetaDroid使用卷积神经网络（CNN）的集成来识别恶意软件。该框架利用使用深度神经自动编码器生成的样本特征聚类将检测到的恶意软件样本聚类到恶意软件家族组中。为了适应变化，PetaDroid在部署过程中利用检测置信概率自动收集扩展数据集，并定期使用它们来构建新的恶意软件检测模型。此外，PetaDroid在训练过程中使用代码片段随机化，以增强对常见混淆技术的弹性。我们在多个参考数据集上广泛评估了PetaDroid。PetaDroid在不同的评估设置下实现了高检测率（98- 99%f1评分），在生成的聚类中具有高同质性（96%）。我们与最先进的解决方案MaMaDroid、DroidAPIMiner、MalDozer进行了彻底的定量比较，其中PetaDroid在所有评估设置下都优于它们。
2021-05-27 cs.CR
FamDroid: Learning-Based Android Malware Family Classification Using Static Analysis
Android是目前世界上使用最广泛的智能手机平台。由于其流行性和开源性，Android恶意软件近年来增长迅速，给用户的隐私带来了极大的风险。恶意软件家族中的恶意软件应用可以具有共同的特征和类似的行为，这对于恶意软件检测和检查是有益的。因此，将Android恶意软件分类到其相应的家族中是恶意软件分析中的重要任务。目前，现有Android恶意软件家族分类研究工作存在的主要问题在于，提取的特征不足以代表恶意软件家族中恶意软件的共同行为特征，且利用单一分类器或静态集成分类器进一步提高分类精度受到限制。在本文中，我们提出了FamDroid，一个基于学习的Android恶意软件家族分类方案，使用静态分析技术。在FamDroid中，从恶意软件应用程序的apk文件中提取显式功能，包括权限、硬件组件、应用程序组件、意图过滤器。此外，从提取的API中生成的隐藏特征用于表示应用程序中的API调用关系。然后，我们设计了一个自适应加权集成分类器，它考虑了样本对每个基分类器的适应性，进行准确的恶意软件家族分类。我们在包含5560个Android恶意应用程序的Drebin数据集上进行了实验。通过与5种传统的机器学习模型和4种最先进的参考方案的比较，证明了FamDroid的优越性。FamDroid可以正确地将98.92%的恶意软件样本分类到它们的家族中，并达到99.12%的F1分数。
2021-01-29 cs.CR
A Longitudinal Study of Cryptographic API: a Decade of Android Malware
密码技术已广泛用于Android应用程序中，以保证安全通信，隐藏关键数据以防止逆向工程，或确保移动用户的隐私。Android的各种基于系统和第三方的库都提供了加密功能，以前的工作主要是探讨在良性应用程序中滥用加密API。然而，加密API的作用尚未在Android恶意软件中被探索。本文对Android恶意软件中的加密API进行了全面的纵向分析。特别是，我们分析了在$2012$和$2020$之间发布的$603\,937$ Android应用程序（其中一半是恶意的，一半是良性的），收集了超过100万个加密API表达式。我们的研究结果揭示了有趣的趋势和见解，如何以及为什么在Android恶意软件中使用加密技术。例如，我们指出了弱散列函数的广泛使用和从不安全的DES到AES的后期过渡。此外，我们表明，密码相关的特性可以帮助提高基于学习的系统在检测恶意应用程序的性能。
2022-07-06 cs.CR
Android Malware Family Classification Based on Resource Consumption over Time
当今绝大多数移动恶意软件都针对Android设备。这推动了过去几年Android恶意软件分析的研究工作。恶意软件分析的一个重要任务是将恶意软件样本分类到已知的家族中。已知静态恶意软件分析不足以对抗改变恶意软件的静态特性（例如，代码混淆）的技术，而动态分析已被证明对抗此类技术是有效的。据我们所知，纯粹基于动态分析的Android恶意软件家族分类最值得注意的工作是DroidScribe。对于DroidScribe，我们的方法更容易复制。我们的方法只使用公开可用的工具，不需要对模拟环境或Android操作系统进行任何修改，并且可以从物理设备收集数据。后者是一个关键因素，因为现代移动恶意软件可以检测模拟环境并隐藏其恶意行为。我们的方法依赖于proc文件系统提供的资源消耗度量。通过去趋势波动分析和相关性提取特征。最后，一个SVM分类恶意软件到家庭。我们对Drebin数据集的恶意软件样本进行了实验评估，获得了82%的分类准确率，证明我们的方法达到了与DroidScribe相当的准确率。此外，我们公开了我们开发的软件，以便于我们结果的重现性。
2017-09-04 cs.CR
Creating Android Malware Knowledge Graph Based on a Malware Ontology
本文通过扩展现有恶意软件本体提出AndMalOnt，并基于MalwareBazaar报告构建覆盖2600余个安卓恶意软件样本的开源知识图谱，以系统化组织威胁情报。
2023-08-04 cs.CR
Android-COCO: Android Malware Detection with Graph Neural Network for Byte- and Native-Code
随着Android的普及率呈指数级增长，恶意软件的数量也大幅激增。这可以说是移动平台上最具病毒性的问题之一。最近，已经引入了各种方法来检测Android恶意软件，其中大多数是基于Manifest File功能或结构信息，例如控制流图和API调用。在这些方法中，几乎所有的方法都只考虑Java字节码作为检测恶意行为的目标。然而，最近的研究和我们自己的统计数据表明，原生负载通常用于良性和恶意应用程序。当前最先进的Android静态分析工具避免处理本机方法调用。这些工具都不具备捕捉语际行为的能力。在这项工作中，我们探讨了合奏机制，它提出了如何结合字节码和原生代码分析的Android应用程序可以有效地用于应付先进的复杂的Android恶意软件。因此，我们提出了一种多层方法，该方法利用深度学习，自然语言处理（NLP）以及图形嵌入技术来处理来自Java字节码和本机代码的Android恶意软件的威胁。在此基础上，设计了一个集成算法，得到了恶意软件检测系统的最终结果。具体来说，我们的检测方法的第一层操作的应用程序的字节码和本地代码的水平，而第二层侧重于集成算法。在100，113个样本（35，113个恶意软件和65，000个良性）上的大规模实验表明，仅字节码子系统的准确率为99.8%，本机代码子系统的准确率为96.6%，而Android-COCO方法的准确率为99.86%，优于各种相关工作。
2022-01-24 cs.CR
DroidNative: Semantic-Based Detection of Android Native Code Malware
根据赛门铁克和F-Secure的威胁报告，2013年和2014年的移动恶意软件开发几乎完全集中在Android平台上。恶意软件编写者正在应用隐形突变（混淆）来创建恶意软件变体，从而阻碍基于签名的检测器的检测。此外，利用静态分析技术来检测这种变体的过多的更复杂的检测器仅在字节码级别操作，这意味着嵌入在本机代码中的恶意软件未被检测到。最近的一项研究表明，86%的最流行的Android应用程序包含本机代码，这使得这成为一个看似合理的威胁。本文提出了DroidNative，一个Android恶意软件检测器，使用特定的控制流模式来减少混淆的影响，提供自动化和平台独立性，据我们所知，它是第一个在Android本机代码级别运行的系统，允许它检测嵌入在本机代码和字节码中的恶意软件。当使用传统的恶意软件变体进行测试时，它的检测率（DR）为99.48%，而学术和商业工具的DR范围为8.33% -93.22%。当使用2240个样本的数据集进行测试时，DroidNative的DR为99.16%，假阳性率为0.4%，平均检测时间为26.87秒/样本。
2016-02-21 cs.CR
DroidAnalytics: A Signature Based Analytic System to Collect, Extract, Analyze and Associate Android Malware
智能手机和移动设备正迅速成为许多用户不可或缺的设备。不幸的是，它们也成为黑客部署恶意软件和传播病毒的肥沃土壤。有一个迫切需要有一个“安全分析和取证系统”，可以方便分析师检查，解剖，关联和关联大量的移动应用程序。一个有效的分析系统需要解决以下问题：如何自动收集和管理大量的移动恶意软件？如何分析零日可疑应用程序，并将其与数据库中现有的恶意软件家族进行比较或关联？如何执行信息检索以揭示与现有恶意软件相似的恶意逻辑，并快速识别新的恶意代码段？在本文中，我们提出了DroidAnalytics的设计和实现，基于签名的分析系统，自动收集，管理，分析和提取Android恶意软件。该系统便于分析人员在“操作码级别”检索、关联和揭示恶意逻辑。我们使用150，368个Android应用程序证明了DroidAnalytics的有效性，并成功确定了来自102个不同家族的2，494个Android恶意软件，其中342个是来自6个不同家族的零日恶意软件样本。据我们所知，这是第一个报告的案例，显示了如此大的Android恶意软件分析/检测。评估表明DroidAnalytics是一个有价值的工具，在分析恶意软件重新包装和突变方面非常有效。
2013-09-23 cs.CR
When the Guard failed the Droid: A case study of Android malware
Android恶意软件是全球数十亿用户的持续威胁。作为一种对策，偶尔会实施Android恶意软件检测系统。然而，这些系统通常易受\emph{evasion attacks}攻击，在这种攻击中，攻击者操纵恶意实例，从而将它们误认为是良性的。在本文中，我们针对几个Android恶意软件检测系统推出了各种创新的规避攻击。所有这些系统固有的漏洞是，它们是Androguard~ \cite{desnos2011androguard}的一部分，这是一个流行的开源库，用于Android恶意软件检测系统。一些检测系统在攻击后检测率下降到0。因此，在恶意软件检测系统中使用开源库需要谨慎。此外，我们提出了一种新的评估方案规避攻击生成，利用已知的Android恶意软件检测系统的弱点。通过这样做，我们评估了规避攻击所创建的操纵实例的功能和恶意性。我们发现，在恶意和功能测试我们操纵的应用程序的变化。我们表明，非功能性的应用程序，而被认为是恶意的，不威胁用户，因此从攻击者的角度来看是无用的。我们的结论是，规避攻击必须评估功能和恶意，以评估其影响，这是一个步骤，这是远远不常见的今天。
2020-03-31 cs.CR
Malware Classification with Word Embedding Features
恶意软件分类是信息安全领域的一个重要而又具有挑战性的问题。现代恶意软件分类技术依赖于机器学习模型，这些模型可以根据操作码序列、API调用和字节$n$ -gram等特征进行训练。在这项研究中，我们考虑操作码功能。我们实现了混合机器学习技术，在这种技术中，我们通过训练隐马尔可夫模型（一种我们称为HMM 2 Vec的技术）来设计特征向量，并在这些操作码序列上嵌入Word 2 Vec。然后将得到的HMM 2 Vec和Word 2 Vec嵌入向量用作分类算法的特征。具体来说，我们考虑支持向量机（SVM）、$k$ -最近邻（$k$ -NN）、随机森林（RF）和卷积神经网络（CNN）分类器.我们对各种恶意软件家族进行了大量实验。我们的实验远远超出了这一领域以前的任何工作。
2021-03-03 cs.CL cs.CR cs.LG
Stimulation and Detection of Android Repackaged Malware with Active Learning
重新打包是一种越来越多的Android恶意软件作者采用的技术。研究社区在设计检测这种恶意软件的技术时面临的主要问题是缺乏准确定位良性应用程序中嫁接的恶意片段的基本事实。如果没有这些关键知识，就很难训练可靠的分类器，能够有效地对新的、样本外重新打包的恶意软件进行分类。为了解决这个问题，我们认为，可靠的分类器可以被训练来检测重新包装的恶意软件，如果他们被允许请求新的，更准确的表示应用程序的行为。这种学习技术被称为主动学习。在本文中，我们提出了使用主动学习训练分类器，能够应付重新包装的恶意软件的模棱两可的性质。我们实现了一个架构，永恒之塔，连接的过程中，刺激和检测重新包装的恶意软件使用反馈回路描绘主动学习。我们使用两个恶意软件数据集（Malgenome和Piggybacking）对Aion的示例实现进行了评估，结果表明，主动学习的性能优于传统的检测技术，因此在检测Android重新打包的恶意软件方面具有很大的潜力。
2018-08-03 cs.CR
Eight Years of Rider Measurement in the Android Malware Ecosystem: Evolution and Lessons Learned
尽管Android恶意软件构成的威胁越来越大，但研究社区仍然缺乏对平台上活跃的恶意软件家族暴露的常见行为和趋势的全面了解。如果没有这样的观点，研究人员就有可能开发出只检测过时威胁的系统，而忽略了最新的威胁。在本文中，我们对Android恶意软件行为进行了迄今为止最大规模的测量，分析了八年内（从2010年到2017年）属于1.2K系列的120多万个恶意软件样本。我们的目标是了解Android恶意软件的行为如何随着时间的推移而演变，重点是重新包装恶意软件。在这种类型的威胁中，不同的无害应用程序都带有恶意负载（骑手），允许廉价的恶意软件制造。研究重新打包的恶意软件时面临的主要挑战之一是将应用程序切片，将良性组件与恶意组件分开。为了解决这个问题，我们使用差异分析来隔离与活动无关的软件组件，并单独研究恶意骑手的行为。我们的分析框架依赖于集体知识库和从多个反病毒供应商提取的情报系统化的最新进展。我们发现，自2010年起步以来，Android恶意软件生态系统已经发生了显着变化，无论是恶意样本执行的恶意活动类型，还是恶意软件为避免检测而使用的混淆级别。然后，我们表明，我们的框架可以帮助分析师谁试图研究未知的恶意软件家族。最后，我们讨论了我们的研究结果对Android恶意软件检测研究的意义，强调了研究社区需要进一步关注的领域。
2020-03-19 cs.CR
Detecting and Classifying Android Malware using Static Analysis along with Creator Information
每天都有数以千计的恶意应用程序针对移动设备，包括流行的Android平台。这些应用程序中有很大一部分是由少数专业的地下行为者创建的，但是以前的研究忽略了这些信息作为检测和分类恶意软件以及将恶意软件归因于创建者的特征。在此基础上，我们提出了一种方法，通过将创建者的信息作为一个特征，并将恶意应用程序分类到类似的组中，来提高Android恶意软件检测的性能。我们开发了一个在实践中实现这种方法的系统。我们的系统可以通过使用创建者的信息，如证书的序列号快速检测恶意软件。此外，它还分析恶意行为者和权限，以提高检测准确性。该系统还可以基于相似性评分对恶意软件进行分类。最后，我们分别以98%和90%的准确率展示了检测和分类性能。
2019-03-02 cs.CR
Contrastive Learning for Robust Android Malware Familial Classification
Android操作系统由于其开放源代码的特性，一直是攻击者利用的主要目标。恶意软件创建者总是在他们的应用程序上执行不同的代码混淆来隐藏恶意活动。通过程序分析从这些混淆样本中提取的特征包含许多无用和伪装的特征，这导致了许多假阴性。为了解决这个问题，在本文中，我们证明了混淆弹性恶意软件家族分析可以通过对比学习来实现。我们的分析背后的关键见解是，对比学习可以用来减少混淆所引入的差异，同时放大恶意软件和其他类型的恶意软件之间的差异。基于所提出的分析，我们设计了一个系统，可以实现强大的和可解释的Android恶意软件分类。为了实现鲁棒的分类，我们对恶意软件样本执行对比学习，以学习可以从恶意软件样本中自动提取鲁棒特征的编码器。为了实现可解释的分类，我们通过中心性分析将样本的函数调用图转化为图像。然后，可以通过可视化技术获得相应的热图。这些热图可以帮助用户理解为什么恶意软件被归类为这个家族。我们实现了\emph{IFDroid}，并在两个数据集上进行了广泛的评估。实验结果表明，\emph{IFDroid}优于最先进的Android恶意软件家族分类系统。此外，\emph{IFDroid}能够在分类69，421个混淆恶意软件样本时保持98.4\%的F1。
2022-11-01 cs.CR
Android Malware Detection based on Factorization Machine
近年来，随着Android智能手机的普及，恶意应用程序的数量也在增加。由于手机用户面临的数据盗窃的可能性，Android设备上恶意软件的检测已经成为网络安全中越来越重要的问题。基于签名的例程等传统方法无法保护用户免受新型Android恶意软件日益复杂和快速行为变化的影响。因此，最近已经做出了大量努力来使用机器学习模型和方法来表征和概括移动应用的恶意行为模式以用于恶意软件检测。在本文中，我们提出了一种新的和高度可靠的分类器，用于Android恶意软件检测的基础上因式分解机架构和Android应用程序的功能，从清单文件和源代码的提取。我们的研究结果表明，应用程序的数字特征表示通常会导致长且高度稀疏的向量，并且不同特征之间的交互对于揭示恶意行为模式至关重要。在进行了广泛的性能评估后，我们提出的方法在DREBIN数据集上获得了100.00%的准确率，在AMD数据集上获得了99.22%的准确率，只有1.10%的假阳性率。这些指标与最先进的基于机器学习的Android恶意软件检测方法和几种商业防病毒引擎的性能相匹配，其优点是训练速度快50倍。
2019-08-13 cs.CR
Don't Pick the Cherry: An Evaluation Methodology for Android Malware Detection Methods
在评估检测方法时，恶意软件研究社区依赖于从在线平台（如VirusTotal）获得的扫描结果。然而，由于缺乏如何解释所获得的数据来标记应用程序的标准，研究人员依靠他们的直觉并采用不同的标记方案。VirusTotal结果的动态性以及采用不同的标记方案会显著影响任何给定检测方法（即使是在同一数据集上）所实现的准确性，这会对方法的性能产生主观看法，并阻碍不同恶意软件检测技术的比较。在本文中，我们使用超过30，000个真实的Android应用程序，演示了不同的（1）时间，（2）标签方案和（3）攻击场景对Android重新打包的恶意软件检测方法（称为dejavu）的整体性能的影响。我们的研究结果生动地显示了上述3个维度对dejavu性能的影响。有了这样的结果，我们鼓励采用一种标准方法，在评估新设计的检测Android（重新打包）恶意软件的方法时考虑到这三个方面。
2019-03-25 cs.CR
Droidetec: Android Malware Detection and Malicious Code Localization through Deep Learning
Android恶意软件检测是构建安全可信系统的关键一步。特别是对潜在恶意代码的人工搜索一直困扰着程序分析人员。在本文中，我们提出了Droidetec，一种基于深度学习的Android恶意软件检测和恶意代码定位方法，将应用程序建模为自然语言序列。Droidetec采用了一种新颖的特征提取方法，从Android应用程序中获取行为序列。在此基础上，利用双向长短期记忆网络进行恶意软件检测。提取的行为序列中的每个单元都被创造性地表示为向量，这使得Droidetec能够自动分析序列片段的语义，并最终找到恶意代码。对9616个恶意程序和11982个良性程序的实验表明，Droidetec达到了97.22%的准确率和98.21%的F1分数。总的来说，Droidetec在正确查找恶意代码段方面的命中率为91%。
2020-02-10 cs.CR
Characterization of Android malware based on subgraph isomorphism
Android操作系统是世界上最流行的移动平台。因此，攻击者正在为Android制作数量惊人的恶意软件应用程序。我们的目标是检测Android的恶意软件，以保护用户。要做到这一点，通过软件的动态分析可以获得真正好的结果，但它需要复杂的环境。为了达到相同的精度水平，我们分析了机器码和调查的频率的ngrams的操作码，以检测奇异码块。这使我们能够构建受感染代码块的数据库。然后，由于攻击者可能会修改和组织不同的感染注入的代码在他们的新的恶意软件，我们不仅执行测试软件与受感染的代码块的数据库的语义比较，但也结构化的比较。为了进行这种比较，我们计算子图同构。它使我们能够精确地描述测试软件是否是恶意软件，如果是，它属于女巫家族。我们的方法进行了测试，实验室数据库和一组真实的数据。它实现了几乎完美的检测率。
2021-04-08 cs.CR
Feature-Centric Approaches to Android Malware Analysis: A Survey
本综述系统分析了静态、动态、混合及基于图方法的Android恶意软件特征提取技术，比较了各自的优劣权衡，并提出了未来增强IoT环境下检测可扩展性与安全性的研究路线图。
2025-09-12 cs.CR
CNN-LSTM and Transfer Learning Models for Malware Classification based on Opcodes and API Calls
University of Colorado Colorado Springs（科罗拉多大学科罗拉多斯普林斯分校）
本文提出基于API调用和操作码的CNN-LSTM恶意软件分类模型，结合N-gram特征，在97万余样本上以8-gram达到99.91%准确率，并验证多种迁移学习架构，取得领先性能。
2024-05-04 cs.AI cs.CR cs.LG
Android Malware Detection using Large-scale Network Representation Learning
近年来，随着移动设备和应用的不断发展，恶意软件的数量也在迅速增加，这就需要开发先进有效的恶意软件检测方法。传统的方法，如基于签名的方法，无法保护用户免受越来越多的新型恶意软件或快速恶意软件行为变化的影响。本文提出了一种基于深度学习和静态分析的Android恶意软件检测方法。我们不再只使用应用程序编程接口（API），而是进一步分析Android应用程序的源代码，并创建其更高级别的图形语义，这使得攻击者更难逃避检测。特别是，我们使用一个调用图的方法调用在Android应用程序来表示应用程序，并进一步分析方法属性，形成一个结构化的程序表示图（PRG）与节点属性。然后，我们使用图卷积网络（GCN）通过将整个图嵌入到密集向量中来产生应用程序的图表示，并对其是否是恶意软件进行分类。为了有效地训练这样的图卷积网络，我们提出了一个批量训练方案，允许多个异构图作为一批输入。据我们所知，这是第一个使用图表示学习进行恶意软件检测的工作。我们进行了广泛的实验，从现实世界的样本集合，并证明我们开发的系统优于其他多种现有的恶意软件检测技术。
2018-12-11 cs.CR
Analyzing, Comparing, and Detecting Emerging Malware: A Graph-based Approach
随着Android和物联网（IoT）设备数量的增长，恶意软件（恶意软件）的数量也随之增加，这就需要新的分析方法。我们使用控制流图（CFG）结构的图形属性表示二进制文件，并对从Android和IoT恶意软件中提取的恶意图形进行深入分析，以了解它们的差异。使用对应于物联网和Android样本的2，874和2，891个恶意软件二进制文件，我们分析了一般特征和图形算法属性。使用CFG作为抽象结构，我们强调了各种有趣的发现，例如Android恶意软件中不可访问代码的流行，通过其CFG中的多个组件以及Android恶意软件中的更多节点来指出，与物联网恶意软件相比，突出了更高的复杂性。我们实现了一个基于机器学习的分类器来检测物联网恶意软件和良性恶意软件，并使用随机森林（RF）实现了97.9%的准确率。
2019-02-11 cs.CR
DaDiDroid: An Obfuscation Resilient Tool for Detecting Android Malware via Weighted Directed Call Graph Modelling
自2012年以来，新的移动恶意软件实例的数量每年增长超过50%，移动应用程序中嵌入的恶意软件可以说是移动平台面临的最严重的安全问题之一。虽然混淆技术成功地用于保护应用程序开发人员的知识产权，但不幸的是，它们也经常被网络犯罪分子用来隐藏移动应用程序中的恶意内容并欺骗恶意软件检测工具。因此，大多数移动恶意软件检测方法无法区分良性和混淆的恶意应用程序。我们通过构建API调用的加权有向图来检查移动应用程序代码的图形特征，并验证恶意应用程序通常具有可用于将其与良性应用程序区分开的结构相似性，即使在严重“污染”的训练集下，其中大多数应用程序都被混淆。我们提出DaDiDroid的Android恶意软件应用程序检测工具，利用API调用的加权有向图的功能来检测（混淆）Android应用程序中的恶意软件代码的存在。我们发现DaDiDroid明显优于MaMaDroid [23]，MaMaDroid是最近提出的恶意软件检测工具，已被证明在干净的非混淆环境中检测恶意软件非常有效。我们评估DaDiDroid的准确性和鲁棒性对几个规避技术使用各种数据集，共43，262良性和20，431恶意软件应用程序。我们发现，DaDiDroid正确标记了高达96%的Android恶意软件样本，同时通过独家使用混淆应用程序的训练集实现了91%的准确率。
2019-08-21 cs.CR
Android HIV: A Study of Repackaging Malware for Evading Machine-Learning Detection
基于机器学习的解决方案已成功用于自动检测Android上的恶意软件。然而，机器学习模型对对抗性示例缺乏鲁棒性，这些示例是通过向正常输入添加精心选择的扰动来制作的。到目前为止，对抗性示例只能欺骗依赖于语法特征的检测器（例如，请求的权限、API调用等），并且扰动只能通过简单地修改应用程序的清单来实现。虽然最近的Android恶意软件检测器更多地依赖于Dalvik字节码的语义特征，而不是清单，但现有的攻击/防御方法不再有效。在本文中，我们介绍了一种新的攻击方法，生成Android恶意软件的对抗性示例，并逃避当前模型的检测。为此，我们提出了一种将最佳扰动应用于Android APK的方法，该方法可以成功欺骗机器学习检测器。我们开发了一个自动化的工具来生成对抗性的例子，而无需人工干预。与现有的作品相比，我们的方法制作的对抗性示例也可以欺骗最近的基于机器学习的检测器，这些检测器依赖于控制流图等语义特征。扰动也可以直接实现到APK的Dalvik字节码上，而不是Android清单，以逃避最近的检测器。我们展示了我们对两个最先进的Android恶意软件检测方案MaMaDroid和Drebin的攻击。我们的研究结果表明，MaMaDroid的恶意软件检测率从96%下降到0%，Drebin的恶意软件检测率从97%下降到0%，只有少量的代码被插入到APK中。
2021-11-16 cs.CR
DeepCatra: Learning Flow- and Graph-based Behaviors for Android Malware Detection
随着Android恶意软件的不断发展和演变，深度学习已被引入恶意软件检测中，产生了巨大的效果。最近的工作正在考虑混合模型和多视图学习。然而，它们只使用简单的特征，限制了这些方法在实践中的准确性。在本文中，我们提出了DeepCatra，一种用于Android恶意软件检测的多视图学习方法，其模型由双向LSTM（BiLSTM）和图神经网络（GNN）组成。这两种方法都依赖于从静态计算的调用跟踪中提取的特征，这些特征导致了从公共漏洞中派生出的关键API。对于每个Android应用程序，DeepCatra首先构建其调用图并计算到达关键API的调用跟踪。然后，BiLSTM子网使用的时间操作码特征从调用跟踪中提取，而GNN子网使用的流图特征从所有调用跟踪和组件间通信中构建。我们通过将DeepCatra与几种最先进的检测方法进行比较来评估其有效性。在超过18，000个真实世界的应用程序和流行的恶意软件上的实验结果表明，DeepCatra实现了相当大的改进，例如，F1测量值为2.7%至14.6%，这证明了DeepCatra在实践中的可行性。
2022-07-16 cs.CR
BPFroid: Robust Real Time Android Malware Detection Framework
我们提出了BPFroid --一个新的Android动态分析框架，它使用Linux内核的eBPF技术来连续监视在真实设备上运行的用户应用程序的事件。所监视的事件是从Android软件堆栈的不同组件收集的：内部内核函数、系统调用、本机库函数和Java API框架。由于BPFroid在内核中挂钩了这些事件，恶意软件无法轻易绕过监控。此外，使用eBPF不需要对Android系统或监控的应用程序进行任何更改。我们还将BPFroid与其他恶意软件检测方法进行了分析比较，并通过开发新的签名来检测基于它的可疑行为来展示其用途。然后使用真实应用程序对这些签名进行评估。我们还演示了如何BPFroid可以用来捕捉法医文物作进一步调查。我们的研究结果表明，BPFroid成功地在实时的报警时，一个可疑的行为签名被检测到，而不会产生显着的运行时性能开销。
2021-05-29 cs.CR
Android Malware Clustering using Community Detection on Android Packages Similarity Network
每天针对应用程序存储库的Android恶意应用程序（应用程序）数量正在增加，其数量超过了指纹识别过程。为了解决这个问题，我们提出了一个增强的Cypider框架，一组技术和工具，旨在通过建立一个可扩展的和混淆弹性相似性网络基础设施的恶意应用程序的移动恶意软件进行系统的检测。我们的方法是基于我们提出的概念，即恶意社区，在其中我们认为共享共同特征的恶意实例是同一恶意软件家族中最有可能的部分。使用这个概念，我们假设多个类似的Android应用程序，不同的作者是最有可能是恶意的。具体来说，Cypider利用这一假设来检测已知恶意软件家族和零日恶意应用程序的变体。Cypider在相似性网络上应用社区发现算法，该算法提取被认为是可疑和可能恶意社区的子图。此外，我们提出了一种新的指纹技术，即社区指纹，基于一类机器学习模型的每个恶意社区。此外，我们提出了一个增强的Cypider框架，它需要更少的内存，x650，和更少的时间来建立相似性网络，x700，与原始版本相比，而不影响指纹性能的框架。我们引入了一个系统的方法来定位不同的特征内容向量的最佳阈值，这简化了整个检测过程。
2020-05-12 cs.CR
Android Inter-App Communication Threats, Solutions, and Challenges
研究人员和商业公司在检测Android平台中的恶意软件方面做了很多努力。然而，最近的恶意软件威胁，应用程序勾结，使恶意软件检测具有挑战性。App合谋是指两个或两个以上App通过相互通信的方式进行恶意操作，这使得单个App分析不足。本文首先介绍了Android的安全机制和Android应用程序使用的通信通道。然后，我们总结了应用程序通信引入的安全漏洞和潜在威胁。最后，我们讨论了应用程序共谋检测的最新研究和挑战。
2018-03-13 cs.CR
Monet: A User-oriented Behavior-based Malware Variants Detection System for Android
Android是最受欢迎的移动操作系统，拥有约78%的移动市场份额。由于其受欢迎程度，它吸引了许多恶意软件攻击。事实上，人们每季度都发现了大约一百万个新的恶意软件样本，据报道，这些新的恶意软件样本中有超过98%实际上是现有恶意软件家族的“衍生物”（或变体）。在本文中，我们首先表明，恶意软件的核心功能的运行时行为实际上是类似的恶意软件家族。因此，我们提出了一个框架，结合“运行时行为”与“静态结构”来检测恶意软件的变种。我们提出了MONET的设计和实现，它有一个客户端和一个后端服务器模块。客户端模块是一个轻量级的设备内应用程序，用于行为监控和签名生成，我们使用两种新颖的拦截技术实现这一点。后端服务器负责大规模恶意软件检测。我们收集了3723个恶意软件样本和前500个良性应用程序，以进行大量的实验，检测恶意软件变体和防御恶意软件转换。我们的实验表明，MONET在检测恶意软件变体方面可以达到99%左右的准确率。此外，它可以抵御10种不同的混淆和转换技术，而仅产生约7%的性能开销和约3%的电池开销。更重要的是，MONET会自动提醒用户入侵细节，以防止进一步的恶意行为。
2016-12-10 cs.CR
HAWK: Rapid Android Malware Detection through Heterogeneous Graph Attention Networks
Android每天都在遭受前所未有的恶意威胁，但现有的恶意软件检测方法往往无法应对恶意软件中不断变化的伪装。为了解决这个问题，我们提出了HAWK，一个新的恶意软件检测框架的进化Android应用程序。我们将Android实体和行为关系建模为异构信息网络（HIN），利用其丰富的语义元结构来指定隐式高阶关系。创建增量学习模型来处理动态表现的应用程序，而不需要重新构建整个HIN和随后的嵌入模型。该模型可以快速定位一个新的应用程序和现有的样本中的应用程序之间的接近度，并聚合不同语义下的数值嵌入。我们的实验检查了在七年内开发的80，860多个恶意应用程序和100，375个良性应用程序，表明HAWK在基线上实现了最高的检测精度，平均只需3.5ms即可检测出样本外的应用程序，加速训练时间比现有方法快50倍。
2021-08-17 cs.CR
DroidMark: A Tool for Android Malware Detection using Taint Analysis and Bayesian Network
随着Android设备用户群的不断增加以及诸如网上银行等技术的出现，脆弱的用户数据很容易被恶意软件和间谍软件应用程序滥用。随着应用程序开发人员社区的增加，无法为每个应用程序提供质量保证，并且可能会出现数据泄漏。在这项研究中，为了确保应用程序的真实性，深度学习方法和污点分析部署在应用程序上。名为DroidMark的检测系统通过对Android生命周期和回调进行建模来查找应用程序中可能的数据泄漏源和汇，这是由APK的逆向工程完成的，进一步监控可疑进程并收集应用程序不同状态下的数据。因此，DroidMark被设计为从应用程序中提取特征，这些特征被馈送到经过训练的贝叶斯网络，用于对恶意和常规应用程序进行分类。实验结果表明，该方法对Android设备恶意软件的检测准确率高达96.87%，错误率出错率为3.13%.
2018-06-15 cs.CR
IntelliAV: Building an Effective On-Device Android Malware Detector
对于安全社区来说，采用机器学习进行恶意软件检测的重要性已经变得显而易见。一些反恶意软件供应商声称并宣传了机器学习在其产品中的应用，其中推理阶段在服务器和高性能机器上执行，但研究界尚未评估这种方法在计算资源有限的移动设备上的可行性，供应商仍然持怀疑态度。在本文中，我们的目标是展示设计一个基于学习的Android移动设备上的反恶意软件的实用性，首先。此外，我们的目标是证明这样一个工具的重要性，以阻止新的和逃避恶意软件，不能很容易地被基于签名或离线学习的安全工具。为此，我们首先提出从Android应用程序中提取一组轻量级但功能强大的功能。然后，我们将这些特征嵌入到向量空间中，以构建一个有效的模型。因此，该模型可以对设备执行推断，以检测潜在有害的应用程序。我们表明，不诉诸任何签名，只依赖于一个训练阶段，涉及一组合理的样本，建议的系统，名为IntelliAV，提供更令人满意的性能比流行的主要反恶意软件产品。此外，我们评估了IntelliAV对常见混淆技术的鲁棒性，大多数反恶意软件解决方案都会受到影响。
2018-02-04 cs.CR
Deep Learning Based Android Malware Detection Framework
随着智能手机领域的发展和互联网不断增长的基础，各种软件容易受到许多恶意活动的影响，如pharming，钓鱼，勒索软件，垃圾邮件，欺骗，间谍软件，窃听等，这些威胁并没有幸免于同样容易受到它们的智能手机。在这项工作中，我们的目标是检测这些恶意软件的准确性和效率。这本质上是一个分类问题，我们使用各种机器学习方法来完成这项任务。我们观察到，在所有模型中，基于注意力的人工神经网络（ANN），或者广义上说，深度学习，最适合解决这个问题。基于注意力的人工神经网络是准确性和效率的结合，这是我们工作的关键。我们的模型达到的准确率约为96.75%。我们的模型在Android软件包文件（APK）上运行测试，通过对所考虑的Android应用程序进行行为分析来确定特定应用程序是否是恶意的。
2019-12-10 cs.CR
Glassbox: Dynamic Analysis Platform for Malware Android Applications on Real Devices
Android是使用最广泛的智能手机操作系统，2015年的市场份额为82.8%。因此，它是恶意软件作者最广泛的目标系统。研究人员依赖于动态分析来提取恶意软件行为，并且经常使用仿真器来这样做。然而，使用仿真器会导致新的问题。恶意软件可能会检测到仿真，因此它不会执行有效负载以阻止分析。处理虚拟设备规避是一场永无休止的战争，并带来不可忽视的计算成本。为了克服这种状况，我们提出了一个系统，不使用虚拟设备来分析恶意软件的行为。Glassbox是一个用于恶意软件应用程序动态分析的功能原型。它在受监控和控制的环境中在真实设备上执行应用程序。它是一个完全自动化的系统，可以安装，测试和提取应用程序中的功能以进行进一步分析。我们提出了该平台的架构，并将其与现有的Android动态分析平台进行了比较。最后，我们通过测量AndroCoverage数据集上基本块的平均覆盖率来评估Glassbox触发应用程序行为的能力。我们表明，它执行的平均13.52%以上的基本块比猴子程序。
2016-09-15 cs.CR
MaMaDroid: Detecting Android Malware by Building Markov Chains of Behavioral Models
随着Android平台的普及，针对该平台的恶意软件威胁激增。随着Android恶意软件和操作系统本身的不断发展，设计强大的恶意软件缓解技术非常具有挑战性，这些技术可以长时间运行，而无需修改或昂贵的重新培训。在本文中，我们介绍了MaMaDroid，一个依赖于应用程序行为的Android恶意软件检测系统。MaMaDroid以马尔可夫链的形式，从应用程序执行的抽象API调用序列中构建行为模型，并使用它来提取特征和执行分类。通过抽象调用它们的包或家族，MaMaDroid保持对API更改的弹性，并保持功能集大小可管理。我们在六年内收集的8.5K良性应用程序和35.5K恶意应用程序的数据集上评估了其准确性，结果表明，它不仅可以有效地检测恶意软件（高达99%的F测量值），而且系统构建的模型可以长时间保持其检测能力（平均值分别为86%和75%的F测量值，训练后一年和两年）。最后，我们与DroidAPIMiner进行了比较，DroidAPIMiner是一个依赖于应用程序执行API调用频率的最先进的系统，表明MaMaDroid的性能明显优于它。
2017-11-20 cs.CR
On Impact of Semantically Similar Apps in Android Malware Datasets
恶意软件作者重复使用在其他应用程序中发现的相同程序段来执行类似的恶意活动，例如信息窃取，发送SMS等。因此，在一个家族/数据集中可能存在多个语义相似的恶意软件样本。许多研究人员不知道这些语义相似的应用程序，并在其ML模型中使用它们的功能进行评估。因此，性能指标可能会受到这些类似应用程序的严重影响。在本文中，我们研究了语义相似的应用程序在基于机器学习的Android恶意软件检测器的性能指标的影响。为此，我们提出了一种新的基于操作码子序列的恶意软件聚类算法来识别语义相似的恶意软件和好软件应用程序。为了研究语义相似的应用程序在性能指标中的影响，我们测试了不同ML模型的性能，这些模型基于具有/不具有语义相似应用程序的恶意软件和好软件应用程序的API调用和权限特征。在我们对Drebin数据集的实验中，我们发现，在从数据集中删除完全重复的应用程序后（？= 0）基于API调用的ML模型的恶意软件检测率（TPR）从0.95下降到0.91，基于权限的模型从0.94下降到0.90。为了克服这个问题，我们建议研究界在评估恶意软件检测机制之前，使用我们的聚类算法来去除语义相似的应用程序。
2021-12-05 cs.CR
HomDroid: Detecting Android Covert Malware by Social-Network Homophily Analysis
Android已经成为最流行的移动操作系统。与此相对应，越来越多的Android恶意软件被开发和传播，以窃取用户的私人信息。存在一种类型的恶意软件，其良性行为被开发来伪装恶意行为。恶意组件只占应用程序（简称app）整个代码的一小部分，并且恶意部分与良性部分强耦合。在这种情况下，当恶意软件检测器从整个应用程序中提取特征以进行分类时，恶意软件可能导致误报，因为这些应用程序的恶意特征可能隐藏在良性特征中。此外，以前的一些工作旨在将整个应用程序划分为几个部分以发现恶意部分。然而，这些方法开始应用程序分区的前提是正常部分和恶意部分之间的连接是弱的。在本文中，我们将这种类型的恶意软件称为Android隐蔽恶意软件，并生成隐蔽恶意软件的第一个数据集。为了检测它们，我们首先进行静态分析以提取调用图。通过对图的深入分析，我们发现虽然这些图中正常部分和恶意部分之间的相关性很高，但这些相关性的程度具有分布性。在此基础上，我们设计了HomDroid，通过分析调用图的同质性来检测隐藏的恶意软件。我们根据4，840个良性应用程序和3，385个隐蔽恶意应用程序的数据集的评估结果确定了区分正常部分和恶意部分的理想相关性阈值。根据我们的评估结果，HomDroid能够检测96.8%的隐蔽恶意软件，而另外四个最先进的系统（即，PerDroid、Drebin、MaMaDroid和IntDroid）分别为30.7%、16.…
2021-07-10 cs.CR
Android Malware Detection using Markov Chain Model of Application Behaviors in Requesting System Services
Android恶意软件的广泛增长促使安全研究人员提出不同的方法来分析和检测应用程序中的恶意行为。然而，目前的解决方案不适合准确有效地提取Android应用程序的细粒度行为。在本文中，我们提出了ServiceMonitor，一个轻量级的基于主机的检测系统，动态检测恶意应用程序直接在移动设备上。ServiceMonitor基于一种新的系统服务使用分析技术重构应用程序的细粒度行为。使用建议的系统服务使用的角度来看，使我们能够建立一个统计马尔可夫链模型来表示什么和如何系统服务被用来访问系统资源。然后，我们考虑以特征向量的形式构建马尔可夫链，并使用随机森林分类算法将应用程序行为分类为恶意或良性。ServiceMonitor优于当前基于主机的解决方案，评估它对4034恶意软件和10024良性应用程序，并获得96%的准确率和微不足道的开销和性能损失。
2017-11-15 cs.CR
Multi-label Classification for Android Malware Based on Active Learning
针对现有Android恶意软件分类方法无法全面反映多恶意行为的问题，提出基于主动学习与数据增强的多标签分类方法MLCDroid，实现细粒度恶意行为识别，准确率提升至86.7%。
2024-10-09 cs.CR
Can you See me? On the Visibility of NOPs against Android Malware Detectors
针对Android恶意软件检测，提出一种可见性度量来评估NOP类非操作代码的发现难度，并在基于操作码的深度学习检测器上验证，揭示了攻击逃避性与可检测性之间的权衡。
2023-12-28 cs.CR
The Sound of Malware: A Memory Forensics Approach for Android Malware Analysis via Audio Signals
Università degli Studi di Cagliari（卡利亚里大学）；Università Roma Sapienza（罗马大学）；CINI, Consorzio Interuniversitario Nazionale per l’Informatica（意大利国家信息学大学联盟）
提出一种内存取证框架，将Android恶意软件的静态字节码和内存快照转换为音频波形，利用频谱描述符、CNN和Transformer嵌入实现高达98.0%的准确率。
2026-06-05 cs.CR
Android App Feature Extraction: A review of approaches for malware and app similarity detection
本文综述了2002至2022年Android恶意软件与相似性检测研究，指出缺乏跨领域数据集的问题，并提供了构建可访问、文档完善的数据集的指南与示意方法。
2024-12-16 cs.CR
hybrid-Falcon: Hybrid Pattern Malware Detection and Categorization with Network Traffic and Program Code
如今，Android是移动生态系统中最具统治力的操作系统，每天有数十亿人使用其应用程序。正如预期的那样，这种趋势并没有被歹徒忽视，Android成为通过恶意应用程序发现新受害者的最佳平台。此外，这些应用程序已经变得如此复杂，以至于它们可以绕过反恶意软件措施来保护用户。因此，我们可以肯定地承认，传统的反恶意软件技术已经变得很麻烦，这引发了开发一种有效的方法来检测Android恶意软件的冲动。本文介绍了一个混合模式的Android恶意软件检测和分类框架hybrid-Flacon。它结合了Android恶意软件的动态和静态特征，这些特征来自网络流量和代码图结构。在混合Flacon中，我们将网络流量视为动态特征，并将其作为2D图像序列进行处理。同时，hybrid-Flacon将数据包中的每个网络流作为2D图像处理，并使用双向LSTM网络来处理这些2D图像序列，以获得表示网络数据包的向量。我们使用程序代码图的静态功能，并介绍自然语言处理（NLP）启发的技术上的函数调用图（FCG）。我们设计了一种基于图神经网络的方法来将Android应用程序的整个图结构转换为向量。最后，我们利用这些转换的向量，网络和程序代码的功能，并连接它们来检测和分类的恶意软件。我们的研究结果表明，混合Flacon产生更好的结果，因为我们得到97.16%的准确率平均恶意软件检测和88.32%的准确率恶意软件分类。此外，我们…
2022-01-22 cs.CR
Malware Detection Approach for Android systems Using System Call Logs
基于特征码的静态检测技术被广泛应用于Android平台的恶意应用检测。通过从测试数据中提取特征码，并将测试数据与病毒样本和良性样本的特征码样本进行比较，可以准确地检测出恶意软件。然而，这种方法通常无法检测未知的恶意软件应用程序。这是因为，有时候，机器码可以转换成汇编代码，这可以很容易地阅读和理解的人。此外，攻击者可以理解汇编指令，并从中了解程序的功能。因此，我们专注于观察恶意软件在主机系统上实际运行时的行为。应用程序的动态行为是由最后的系统调用序列进行的。因此，我们观察每个应用程序的系统调用日志，将其用于构建数据集，并最终使用该数据集将未知应用程序分类为恶意或良性。
2017-09-26 cs.CR
AndroWasm: an Empirical Study on Android Malware Obfuscation through WebAssembly
University Of Cagliari（卡利亚里大学）；Consorzio Interuniversitario Nazionale per l’Informatica (CINI)（意大利国家信息学大学联盟）
本文通过实证研究探讨了Android恶意软件利用WebAssembly技术进行混淆和规避检测的方法及效果。
2026-02-20 cs.CR
Yes, Machine Learning Can Be More Secure! A Case Study on Android Malware Detection
为了应对现代攻击日益增加的可变性和复杂性，机器学习已被广泛采用作为恶意软件检测的可靠工具。然而，其针对精心设计的攻击的安全性不仅最近受到质疑，而且已经表明，机器学习表现出固有的漏洞，可以在测试时被利用来逃避检测。换句话说，机器学习本身可能是安全系统中最薄弱的环节。在本文中，我们依靠以前提出的攻击框架，通过对具有不同技能和能力的攻击者进行建模，对基于学习的恶意软件检测工具的潜在攻击场景进行分类。然后，我们定义并实现了一组相应的规避攻击，以彻底评估Drebin，Android恶意软件检测器的安全性。这项工作的主要贡献是提出了一个简单且可扩展的安全学习范式，该范式减轻了规避攻击的影响，同时在没有攻击的情况下只会略微恶化检测率。最后，我们认为，我们的安全学习方法也可以很容易地应用到其他恶意软件检测任务。
2017-04-28 cs.CR
