Review of Deep Learning-based Malware Detection for Android and Windows System
Chosun University（朝鲜大学）
本文综述了分别针对Windows和Android系统的两种AI赋能恶意软件检测技术，二者在检测多种恶意软件家族时均达到完美准确率，证明AI方法能有效对抗具备混淆能力的现代恶意软件。
2023-07-04 cs.CR cs.LG
High Accuracy Android Malware Detection Using Ensemble Learning
Android在Google官方市场上的下载量超过500亿次，应用程序超过130万个，在全球智能手机用户中继续受到欢迎。与此同时，针对该平台的恶意软件也在增加，最近的病毒株采用了高度复杂的检测规避技术。由于传统的基于签名的方法在检测未知恶意软件方面变得不那么有效，因此需要替代方法来及时进行零日发现。因此，本文提出了一种利用集成学习进行Android恶意软件检测的方法。它将静态分析的优势与集成机器学习的效率和性能相结合，以提高Android恶意软件检测的准确性。机器学习模型是使用来自领先防病毒供应商的恶意软件样本和良性应用程序的大型存储库构建的。实验结果和分析表明，该方法使用一个大的特征空间，利用集成学习的力量是能够检测准确率为97.3%至99%，误报率非常低。
2016-08-02 cs.CR cs.LG
A New Android Malware Detection Approach Using Bayesian Classification
McAfee Labs（迈克菲实验室）
随着智能手机使用量的不断增加，移动恶意软件的规模和复杂性也在不断增长。Android已经超过其他移动平台成为最受欢迎的平台，同时也见证了针对该平台的恶意软件的急剧增加。一个令人担忧的趋势是，Android恶意软件越来越复杂，以逃避传统的基于签名的扫描仪的检测。因此，Android应用市场仍然存在托管恶意应用程序的风险，这些应用程序可以在被毫无戒心的用户下载之前逃避检测。因此，在本文中，我们提出了一种有效的方法来缓解这个问题的基础上获得静态代码分析的贝叶斯分类模型。这些模型是从代码和应用程序特征的集合中构建的，这些特征提供了潜在恶意活动的指标。该模型与真实的恶意软件样本在野外进行评估，实验结果表明，所提出的方法的有效性。
2016-08-02 cs.CR cs.LG
SEdroid: A Robust Android Malware Detector using Selective Ensemble Learning
Peking University（北京大学）
针对Android恶意软件数量激增、人工检测效率低下的问题，近年来深度学习方法开始成为Android恶意软件检测的辅助手段。然而，这些模型高度依赖于数据集的质量，并且当训练数据的质量不够好时，执行不令人满意的结果。在现实世界中，未经人工检查的数据集质量无法得到保证，甚至Google Play可能包含恶意应用程序，这将导致训练模型失败。为了应对这一挑战，本文提出了一种基于选择性集成学习的Android恶意软件检测方法，试图提供一种有效的解决方案，而不仅仅局限于数据集的质量。该模型利用遗传算法帮助寻找最佳的组件学习器组合，提高模型的鲁棒性。我们的研究结果表明，该方法实现了更强大的性能比其他方法在同一地区。
2019-09-06 cs.CR cs.LG
On Benchmarking Code LLMs for Android Malware Analysis
University College London（伦敦大学学院）；Zhejiang University（浙江大学）
本文提出CAMA基准框架，系统评估代码大语言模型在安卓恶意软件分析中的有效性，通过118个样本和750万函数测试四个模型，揭示其潜力与局限。
2025-04-23 cs.CR cs.LG
Using Deep Neural Network for Android Malware Detection
North China Electric Power University（华北电力大学）
Android操作系统的普及，以及几乎所有应用程序的可用性，都可以在官方Google Play商店或十几个替代第三方市场中轻松访问。此外，智能手机在现代生活中的重要作用导致在设备上存储重要信息，不仅是个人信息，还有公司信息，这吸引恶意软件开发人员开发可以渗透用户设备以窃取信息并执行有害任务的应用程序。这伴随着当前防御技术的局限性，例如Google Play商店中的无效筛选，第三方市场中的弱筛选或无筛选。仍然依赖于基于签名的数据库的防病毒软件，该数据库仅在识别已知恶意软件时有效。为了应对日益增长的恶意应用，提出了一种基于深度学习技术的Android恶意软件检测系统。在包含良性和恶意应用程序的真实数据集上进行的大量实验表明，该系统的准确率达到95.31%。
2019-01-16 cs.CR cs.LG
Android Malware Detection using Feature Ranking of Permissions
Ryerson University（瑞尔森大学）
我们研究使用Android权限作为工具，以快速有效地区分良性和恶意软件应用程序。为此，我们提取所有Android权限，消除那些没有影响的权限，并应用两种特征排名算法，即卡方检验和Fisher精确检验来对它们进行排名和过滤，从而得到一组相对较小的相关权限。然后我们使用决策树、支持向量机和随机森林分类器算法来检测恶意软件应用程序。我们的分析表明，这种方法可以导致更好的准确性和F-评分值比其他报告的方法。特别地，当使用随机森林作为分类器并结合Fisher精确检验时，对于所讨论的数据集，我们获得了99.34%的准确率和92.17%的F分数，假阳性率为0.56%。当仅考虑来自三个最流行的恶意软件家族的恶意软件时，结果的准确性提高到99.82%，F分数提高到95.28%，假阳性率低至0.05%。
2022-01-20 cs.CR cs.LG
Detection of Malicious Android Applications: Classical Machine Learning vs. Deep Neural Network Integrated with Clustering
BITS Pilani（毕尔巴鄂理工学院）；Microsoft R&D（微软研发部门）
今天，反恶意软件社区正面临着挑战，由于不断增加的复杂性和数量的恶意软件攻击的对手开发。传统的恶意软件检测机制无法应对下一代恶意软件攻击。因此，在本文中，我们提出了基于机器学习和结合聚类的深度学习的有效且高效的Android恶意软件检测模型。我们对不同的特征约简、分类和聚类算法在不同性能指标上进行了全面的研究，以构建Android恶意软件检测模型。我们的实验结果表明，使用随机森林开发的恶意软件检测模型在大多数性能指标上超过了深度神经网络和其他分类器。没有任何特征减少的基线随机森林模型达到了99.4%的最高AUC。此外，使用与随机森林集成的聚类对向量空间进行隔离，进一步将一个聚类中的AUC提高到99.6%，并在另一个聚类中直接检测Android恶意软件，从而减少了维数灾难。此外，我们发现检测模型中的特征减少确实提高了模型效率（训练和测试时间），而不会对检测模型的有效性造成太大影响。
2021-02-28 cs.CR cs.LG
Adaptive and Scalable Android Malware Detection through Online Learning
Nanyang Technological University（南洋理工大学）
众所周知，恶意软件不断进化以逃避检测，这导致整个恶意软件群体是不稳定的。与此事实相反，基于机器学习的Android恶意软件检测的现有工作已经假设所观察到的恶意软件特征（即，特征）不随时间改变。在这项工作中，我们解决了恶意软件人口漂移的问题，并提出了一种新的在线机器学习为基础的框架，命名为DroidOL来处理它，并有效地检测恶意软件。为了执行准确的检测，安全敏感行为是使用最先进的图形内核以过程间控制流子图特征的形式从应用程序中捕获的。为了执行可扩展的检测，并适应在恶意软件种群的漂移和演变，一个在线的被动攻击分类器。在对87，000多个应用程序的大规模比较分析中，DroidOL实现了84.29%的准确率，在典型的批处理学习设置中比两种最先进的恶意软件技术高出20%以上，在持续重新训练时高出3%以上。我们的实验结果强烈表明，在线学习为基础的方法是非常适合现实世界的恶意软件检测。
2016-09-26 cs.CR cs.LG
Adversarial Patterns: Building Robust Android Malware Classifiers
Rochester Institute of Technology（罗切斯特理工学院）
该综述针对全球应用最广的Android系统的恶意软件分类器易受对抗攻击的问题，全面梳理相关背景、攻防最新进展，给出鲁棒分类器设计指南与未来研究方向。
2024-04-12 cs.CR cs.LG
Unraveling the Key of Machine Learning-based Android Malware Detection
National University of Singapore（新加坡国立大学）；University College London（伦敦大学学院）；The State Key Laboratory of Blockchain and Data Security, Zhejiang University（浙江大学区块链与数据安全国家重点实验室）；Hangzhou High-Tech Zone (Binjiang) Institute of Blockchain and Data Security（杭州高新技术区（滨江）区块链与数据安全研究院）
本文系统分析了基于机器学习的Android恶意软件检测方法，提出统一分类框架并评估了12种代表性方法，揭示了现有检测器在恶意软件演变和对抗攻击方面的挑战。
2026-04-18 cs.CR cs.LG
Deep Learning for Android Malware Defenses: a Systematic Literature Review
Monash University（莫纳什大学）；Southern University of Science and Technology（南方科技大学）
恶意应用程序（特别是针对Android平台的应用程序）对开发人员和最终用户构成严重威胁。许多研究工作致力于开发有效的方法来防御Android恶意软件。然而，鉴于Android恶意软件的爆炸式增长以及混淆和反射等恶意规避技术的不断进步，基于手动规则或传统机器学习的Android恶意软件防御方法可能无法有效。近年来，被称为深度学习（DL）的主导研究领域提供了强大的特征提取能力，在诸如自然语言处理和计算机视觉的各种领域中已经展示了引人注目的和有前途的性能。为此，采用深度学习技术来阻止Android恶意软件攻击最近引起了相当大的研究关注。然而，目前还没有针对Android恶意软件防御的深度学习方法的系统性文献综述。在本文中，我们进行了系统的文献综述，以搜索和分析深度学习方法如何应用于Android环境中的恶意软件防御。因此，确定了涵盖2014-2021年期间的共计132项研究。我们的调查显示，虽然这些来源中的大多数主要考虑基于DL的Android恶意软件检测，但53项主要研究（40.1%）基于其他场景设计防御方法。本文还讨论了基于DL的Android恶意软件防御的研究趋势、研究重点、面临的挑战和未来的研究方向。
2022-08-09 cs.CR cs.LG cs.SE
Android Malware Detection: A Machine Leaning Approach
本研究考察决策树、支持向量机等机器学习技术以检测Android恶意软件，发现集成方法表现优异，但在模型可解释性、效率和准确率之间存在权衡，为未来研究和实际应用提供了指导。
2025-11-02 cs.AI cs.CR cs.LG
Adversarial Samples on Android Malware Detection Systems for IoT Systems
University of Electronic and Science Technology of China（电子科技大学）；Temple University（天普大学）；University of Idaho（爱达荷大学）
许多IoT（物联网）系统运行Android系统或类Android系统。随着机器学习算法的不断发展，基于学习的物联网设备Android恶意软件检测系统逐渐增多。然而，这些基于学习的检测模型往往容易受到对抗性样本的影响。需要一个自动化测试框架来帮助这些基于学习的物联网设备恶意软件检测系统执行安全分析。目前的对抗样本生成方法大多需要模型的训练参数，且大多数方法都是针对图像数据的。为了解决这个问题，我们提出了一个\textbf{t}架构，用于基于\textbf{l}收入的\textbf{A} ndroid \textbf{m} alware \textbf{d} etection systems（TLAMD）的物联网设备。关键的挑战是如何构造一个合适的适应度函数来生成有效的对抗样本，而不影响应用程序的功能。通过引入遗传算法和一些技术改进，我们的测试框架可以为物联网Android应用程序生成对抗样本，成功率接近100\%，并可以对系统进行黑盒测试。
2019-02-12 cs.CR cs.LG
LAMDA: A Longitudinal Android Malware Benchmark for Concept Drift Analysis
Department of Computer Science University of Texas at El Paso（得克萨斯理工大学计算机科学系）；School of Informatics University of Edinburgh（爱丁堡大学信息学院）
提出LAMDA，一个跨越12年、含超百万样本的Android恶意软件基准，用于概念漂移分析，并实证了标准ML模型性能随时间下降，支持时间漂移与泛化研究。
2025-05-24 cs.CR cs.LG
Self-Supervised Learning for Android Malware Detection on a Time-Stamped Dataset
Mastercard Canada（Mastercard加拿大）
针对机器学习检测器的时间偏差问题，构建时间戳数据集并采用BYOL自监督预训练，在时间感知评估下达到98%准确率和89%F1分数。
2026-06-04 cs.CR cs.LG
Defending against Adversarial Malware Attacks on ML-based Android Malware Detection Systems
Zhejiang University（浙江大学）；University College London（伦敦大学学院）
本文提出ADD框架，一种插件式防御方案，用于增强基于机器学习的Android恶意软件检测系统对问题空间对抗性攻击的鲁棒性，实验证明其有效且能提升现实防病毒软件的防御能力。
2025-01-23 cs.AI cs.CR cs.LG
A Dynamic Weighted Federated Learning for Android Malware Classification
Universitat Politècnica de Catalunya (BarcelonaTech)（加泰罗尼亚理工大学（巴塞罗那理工））；Eurecat, Centre Tecnològic de Catalunya（加泰罗尼亚技术中心Eurecat）；University of Engineering and Management, Kolkata（加尔各答工程与管理大学）
针对FedAvg平等聚合低质量局部模型的问题，本文提出按客户端模型表现自动分配权重的DW-FedAvg，并在四个Android恶意软件基准数据集上评估。
2022-11-23 cs.CR cs.LG
Android Malware Clustering through Malicious Payload Mining
聚类作为一种有效的分流方法已经被广泛研究用于桌面恶意软件分析。然而，由于Android应用程序开发中过度使用第三方库以及恶意软件开发中广泛使用重新打包，传统的基于相似性的聚类技术无法立即应用于Android恶意软件分析。通过迭代挖掘恶意负载并检查恶意样本是否共享相同版本的恶意负载，设计并实现了一个Android恶意软件聚类系统。我们的系统利用层次聚类技术和一个有效的位向量格式来表示Android应用程序。实验结果表明，我们的聚类方法实现了准确率为0.90和召回率为0.75的Android基因组恶意软件数据集，和平均准确率为0.98和召回率为0.96手动验证地面真相。
2017-07-15 cs.CR
DroidMorph: Are We Ready to Stop the Attack of Android Malware Clones?
Android恶意软件变体（克隆）的数量正在增加，为了阻止这种克隆攻击，我们需要开发新的方法和技术来分析和检测它们。作为第一步，我们需要研究这些恶意软件克隆是如何生成的。这将帮助我们更好地预测和识别这些克隆。在本文中，我们提出了一个新的工具，名为DroidMorph，提供变形的Android应用程序（APK）在不同层次的抽象，并可用于创建Android应用程序（恶意软件/良性）克隆。作为一个案例研究，我们执行测试和评估当前的商业反恶意软件产品对DroidMorph生成的Android恶意软件克隆攻击的弹性。我们发现，17个领先的商业反恶意软件程序中有8个无法检测到任何变形的APK。我们希望DroidMorph将用于未来的研究，以改善Android恶意软件克隆的分析和检测，并帮助阻止它们。
2021-06-17 cs.CR
Reassessing feature-based Android malware detection in a contemporary context
本文重新评估了基于特征的Android恶意软件检测方法，发现简单模型和静态特征仍能实现高准确率。
2025-11-13 cs.CR cs.LG
Android Malware Detection: an Eigenspace Analysis Approach
随着融合了日益复杂的规避技术的新菌株的出现，缓解Android恶意软件的战斗变得更加关键，这反过来又需要更先进的检测功能。因此，在本文中，我们提出并评估了一个基于机器学习的方法，基于特征空间分析的Android恶意软件检测使用的功能来自Android应用程序的静态分析表征。实际恶意软件和良性样本数据集的实证评估表明，使用该方法可以实现超过96%的检测率和非常低的误报率。
2016-07-27 cs.CR
Understanding Concept Drift with Deprecated Permissions in Android Malware Detection
Department of Computer Science, University of Birzeit（计算机科学系，巴勒斯坦比尔zeit大学）；Department of Computer Science, University of Central Florida（计算机科学系，中央佛罗里达大学）
本研究针对Android恶意软件检测中因系统权限更新引发的概念漂移问题，分析弃用/受限权限对检测模型的影响，发现排除这类权限对性能影响极小，还可优化概念漂移检测效果。
2025-07-29 cs.CR cs.LG
LLM-Generated Samples for Android Malware Detection
University of Brighton（布莱顿大学）
本研究利用大语言模型生成Android恶意软件样本，通过微调GPT-4.1-mini提升检测性能，发现合成数据能有效补充有限数据集，但单独使用效果有限。
2025-09-30 cs.CR cs.LG
Automatic Investigation Framework for Android Malware Cyber-Infrastructures
Android系统的普及，不仅在手机设备中，而且在物联网设备中，使其成为恶意软件非常有吸引力的目的地。事实上，恶意软件正在以类似的速度扩张，目标是在大多数情况下依赖互联网正常工作的设备。最先进的恶意软件缓解解决方案主要集中在使用动态和静态分析特征来区分恶意应用程序和良性应用程序的实际恶意Android应用程序的检测上。然而，Android恶意应用程序的互联网/网络维度的覆盖范围很小。在本文中，我们提出了ToGather，一个自动调查框架，以Android恶意软件样本，作为输入，并产生一个关于这些样本家庭的恶意网络基础设施的情况意识。ToGather利用最先进的图论技术来生成可操作的粒度智能，以减轻Android恶意软件应用程序的恶意互联网活动所带来的威胁。我们对来自不同Android家族的真实恶意软件样本进行了ToGather实验，获得的结果非常有趣，非常有前途
2018-06-23 cs.CR
AiDroid: When Heterogeneous Information Network Marries Deep Neural Network for Real-time Android Malware Detection
West Virginia University（西弗吉尼亚大学）；Tencent（腾讯）
Android恶意软件的爆炸式增长和日益复杂化要求新的防御技术能够保护移动用户免受新的威胁。本文首先从Android应用中提取运行时应用程序编程接口（API）调用序列，然后分析生态系统内的高层语义关系，全面表征应用程序。要对不同类型的实体建模（即，应用、API、IMEI、签名、关联）以及它们之间丰富的语义关系，构造了一个结构化异构信息网络（HIN），并提出了基于元路径的方法来刻画应用之间的关联性。为了有效地对节点进行分类（例如，apps）在构造的HIN中，我们提出了HinLearning方法，首先获得样本内节点嵌入，然后学习样本外节点的表示，而无需在第一次尝试时重新运行/调整HIN嵌入。之后，我们设计了一个深度神经网络（DNN）分类器，将学习到的HIN表示作为Android恶意软件检测的输入。通过腾讯安全实验室的大规模真实样本集进行了全面的实验研究，以比较各种基线。实验结果表明，我们开发的系统AiDroid集成了我们提出的方法，在实时的【形】Android恶意软件检测方面优于其他系统。AiDroid已经被纳入腾讯移动安全产品，服务于全球数百万用户。
2019-05-20 cs.CR cs.LG
XAI and Android Malware Models
San Jose State University（圣何塞州立大学）
针对安卓恶意软件检测中ML/DL模型的黑箱问题，本文将LIME、SHAP等XAI技术应用于SVM、CNN等模型，获取全局与局部解释结果并探讨其实用性，同时提供相关XAI工作的文献综述。
2024-11-25 cs.CR cs.LG
Analysis, Detection, and Classification of Android Malware using System Calls
随着Android在过去十年中的日益普及，Android在用户和攻击者中很受欢迎。大量的android用户吸引了android攻击者的注意力。由于android恶意软件的种类和攻击技术的不断发展，我们的检测方法也需要更新。研究者的工作大多是基于静态特征，很少关注动态特征。在本文中，我们通过使用系统调用检测Android恶意软件来填补文献空白。我们正在使用模拟器检测恶意软件的监控和控制环境中运行恶意应用程序。恶意行为在其运行期间通过一些模拟事件来激活其敌对行为。在应用程序运行时收集的恶意软件将被分析并提供给不同的机器学习模型，用于恶意软件的检测和家族分类。结果表明，K-最近邻和决策树分别给出了最高的准确率在恶意软件检测和家庭分类。
2022-08-12 cs.CR
DySign: Dynamic Fingerprinting for the Automatic Detection of Android Malware
Android操作系统的惊人普及，不仅在智能手机和平板电脑中，而且在物联网设备中，使这个操作系统成为恶意软件威胁的非常诱人的目标。事实上，后者正在以类似的速度扩张。在这方面，恶意软件指纹，无论是基于加密还是模糊散列，都是抵御此类攻击的第一道防线。模糊散列指纹适用于捕获恶意软件静态特征。此外，它们对恶意软件文件的实际静态内容的微小变化更具弹性。另一方面，动态分析是另一种恶意软件检测技术，它使用仿真环境来提取Android恶意软件的行为特征。然而，据我们所知，没有这样的指纹技术，利用动态分析，并将作为第一个防御Android恶意软件攻击。在本文中，我们解决了以下问题：我们可以生成有效的指纹Android恶意软件通过动态分析？为此，我们提出了DySign，一种新的技术指纹Android恶意软件的动态行为。这是通过从对现有已知恶意软件的恶意软件样本的动态分析生成摘要来实现的。值得一提的是：（i）DySign指纹近似于动态分析期间观察到的行为，以便实现对未来恶意软件变体行为中的微小变化的弹性;（ii）指纹计算与分析的恶意软件样本或系列无关。DySign利用最先进的自然语言处理（NLP）技术来生成上述指纹，然后利用这些指纹构建具有家庭归属的增强型Android恶意软件检测系统。
2017-02-19 cs.CR
Brief View and Analysis to Latest Android Security Issues and Approaches
由于性能和功能的不断改进，Android仍然是当今手机上最受欢迎的操作系统。然而，各种恶意应用程序给系统带来了极大的威胁。在过去的几年里，恶意软件和反措施都发生了重大变化。具体而言，恶意软件不断发展，并采用先进的方法进行更准确的检测。为了跟上最新的形势，在本文中，我们进行了广泛的分析，包括最新的恶意软件，Android安全功能和方法。我们也提供了一些我们在收集资料和进行实验时所发现的，我们认为对进一步的研究是有用的，在以前的工作中没有提到。
2021-09-02 cs.CR cs.LG
Decoding Android Malware with a Fraction of Features: An Attention-Enhanced MLP-SVM Approach
University of Maryland, Baltimore County（马里兰大学巴尔的摩分校）；University at Buffalo（布法罗大学）
本文提出注意力增强的MLP-SVM框架，仅用CCCS-CIC-AndMal-2020数据集中47个特征并经LDA降至14维，实现超99%的安卓恶意软件检测与分类准确率，兼顾高效性与鲁棒性。
2025-04-11 cs.CR cs.LG
Why an Android App is Classified as Malware? Towards Malware Classification Interpretation
Nanyang Technological University（南洋理工大学）；Peking University（北京大学）；College of Intelligence and Computing, Tianjin University（天津大学智能与计算学部）；Harbin Institute of Technology (Shenzhen)（哈尔滨工业大学（深圳））；College of Cyber Science, Nankai University（南开大学网络空间安全学院）；Chinese University of Hong Kong（香港中文大学）
基于机器学习（ML）的方法被认为是Android恶意软件检测的最有前途的技术之一，并且通过利用常用的功能实现了高准确性。在实践中，大多数ML分类只为移动用户和应用程序安全分析师提供二进制标签。然而，利益相关者更感兴趣的是为什么应用程序在学术界和工业界都被归类为恶意应用程序。这属于可解释ML的研究领域，但在特定的研究领域（即，移动恶意软件检测）。尽管已经展示了几种可解释的ML方法来解释许多前沿人工智能（AI）研究领域的最终分类结果，但到目前为止，还没有研究解释为什么应用程序被归类为恶意软件或揭示特定领域的挑战。在本文中，为了填补这一空白，我们提出了一种新的和可解释的ML为基础的方法（命名为XMal）分类恶意软件具有高精度，同时解释分类结果。(1)XMal的第一个分类阶段融合了多层感知器（MLP）和注意力机制，并确定了与分类结果最相关的关键特征。(2)第二个解释阶段旨在自动生成神经语言描述，以解释应用程序中的核心恶意行为。我们通过与现有的可解释的基于ML的方法（即，Drebin和LIME）来证明XMal的有效性。我们发现，XMal能够更准确地揭示恶意行为。此外，我们的实验表明，XMal也可以解释为什么一些样本被ML分类器错误分类的原因。我们的研究通过对Android恶意软件检测和分析的研究来窥视可解释的ML。
2020-09-04 cs.CR cs.LG
Context-aware, Adaptive and Scalable Android Malware Detection through Online Learning (extended version)
Nanyang Technological University（南洋理工大学）
众所周知，Android恶意软件不断发展，以逃避检测。这导致整个恶意软件群体是不稳定的。与此事实相反，大多数基于机器学习的Android恶意软件检测的现有工作都假设所观察到的恶意软件特征的分布（即，特征）不随时间改变。在这项工作中，我们解决的问题，恶意软件的人口漂移，并提出了一种新的在线学习为基础的框架来检测恶意软件，CASANDIX（Contextaware，自适应和可扩展的ANDRoid mAlware检测器）。为了执行准确的检测，提出了一种新的图内核，便于捕获应用程序的安全敏感行为以及它们的上下文信息从依赖图。除了准确性和可扩展性之外，CASANTR还具有特定的优势：i）适应恶意软件功能随时间的演变，ii）解释导致应用程序分类为恶意或良性的重要功能。在一个大规模的比较分析中，CASANTOWN在基准数据集上的表现优于两种最先进的技术，达到99.23%的F-测量。当使用在野外收集的87，000多个应用程序进行评估时，CASANTOWN实现了89.92%的准确率，在典型的批处理学习设置中比现有技术高出25%以上，在持续保留时高出7%以上，同时保持了相当的效率。
2017-07-06 cs.CR cs.LG cs.SE
A Review on The Use of Deep Learning in Android Malware Detection
North China Electric Power University（华北电力大学）
Android是过去几年中占主导地位的移动操作系统。可以由Android驱动的设备的流行不仅吸引了应用程序开发人员，而且还吸引了恶意软件开发人员，他们具有犯罪意图，可以设计和传播恶意应用程序，这些应用程序可以影响Android手机和平板电脑的正常工作，窃取个人信息和凭据数据，甚至更糟的是锁定手机并要求赎金。研究人员不断设计对策策略来反击恶意软件。在过去五年中应用的策略之一是在Android恶意软件检测中使用深度学习方法。这就需要对已完成的工作进行审查，以了解已建立的努力，确定未解决的问题，并激励未来的研究方向。在这项工作中，静态分析，动态分析和混合分析，利用深度学习方法进行了广泛的调查，并详细讨论了它们的关键概念，贡献和局限性。
2018-12-26 cs.CR cs.LG stat.ML
Explaining Black-box Android Malware Detection
University of Cagliari（卡利亚里大学）；Pluribus One（Pluribus One公司）
机器学习模型最近被用于检测恶意Android应用程序，在基准数据集上报告了令人印象深刻的性能，即使只在从应用程序静态提取的特征（如系统调用和权限）上进行训练。然而，最近的研究结果强调了这种体外评估与基准数据集的脆弱性，表明对Android恶意软件内容的很少更改可能足以逃避检测。因此，我们如何才能相信在基准数据上表现良好的恶意软件检测器在部署到操作环境中时会继续这样做呢？为了缓解这一问题，最流行的Android恶意软件检测器使用线性、可解释的机器学习模型来轻松识别对每个决策最有影响力的特征。在这项工作中，我们将这种方法推广到任何黑盒机器学习模型，通过利用基于梯度的方法来识别最有影响力的局部特征。这使得使用非线性模型能够在不牺牲决策的可解释性的情况下潜在地提高准确性。我们的方法还强调了模型学习的全局特征，以区分良性和恶意软件应用程序。最后，正如我们对一个流行的Android恶意软件检测任务的实证分析所示，它还有助于识别线性和非线性模型对对抗性操作的潜在漏洞。
2018-10-29 cs.CR cs.LG stat.ML
Resilient and Adaptive Framework for Large Scale Android Malware Fingerprinting using Deep Learning and NLP Techniques
Android恶意软件检测是一个严重的问题，影响了现有市场中使用数百万Android应用程序（应用程序）的数十亿用户。本文提出了PetaDroid，一个准确的Android恶意软件检测和家庭聚类的框架上的静态分析。PetaDroid自动适应Android恶意软件和随着时间的推移与常见的二进制混淆技术的弹性良性变化。该框架采用了基于自然语言处理（NLP）和机器学习技术的新技术，以实现准确、自适应和弹性的Android恶意软件检测和家族聚类。PetaDroid使用卷积神经网络（CNN）的集成来识别恶意软件。该框架利用使用深度神经自动编码器生成的样本特征聚类将检测到的恶意软件样本聚类到恶意软件家族组中。为了适应变化，PetaDroid在部署过程中利用检测置信概率自动收集扩展数据集，并定期使用它们来构建新的恶意软件检测模型。此外，PetaDroid在训练过程中使用代码片段随机化，以增强对常见混淆技术的弹性。我们在多个参考数据集上广泛评估了PetaDroid。PetaDroid在不同的评估设置下实现了高检测率（98- 99%f1评分），在生成的聚类中具有高同质性（96%）。我们与最先进的解决方案MaMaDroid、DroidAPIMiner、MalDozer进行了彻底的定量比较，其中PetaDroid在所有评估设置下都优于它们。
2021-05-27 cs.CR
FamDroid: Learning-Based Android Malware Family Classification Using Static Analysis
Android是目前世界上使用最广泛的智能手机平台。由于其流行性和开源性，Android恶意软件近年来增长迅速，给用户的隐私带来了极大的风险。恶意软件家族中的恶意软件应用可以具有共同的特征和类似的行为，这对于恶意软件检测和检查是有益的。因此，将Android恶意软件分类到其相应的家族中是恶意软件分析中的重要任务。目前，现有Android恶意软件家族分类研究工作存在的主要问题在于，提取的特征不足以代表恶意软件家族中恶意软件的共同行为特征，且利用单一分类器或静态集成分类器进一步提高分类精度受到限制。在本文中，我们提出了FamDroid，一个基于学习的Android恶意软件家族分类方案，使用静态分析技术。在FamDroid中，从恶意软件应用程序的apk文件中提取显式功能，包括权限、硬件组件、应用程序组件、意图过滤器。此外，从提取的API中生成的隐藏特征用于表示应用程序中的API调用关系。然后，我们设计了一个自适应加权集成分类器，它考虑了样本对每个基分类器的适应性，进行准确的恶意软件家族分类。我们在包含5560个Android恶意应用程序的Drebin数据集上进行了实验。通过与5种传统的机器学习模型和4种最先进的参考方案的比较，证明了FamDroid的优越性。FamDroid可以正确地将98.92%的恶意软件样本分类到它们的家族中，并达到99.12%的F1分数。
2021-01-29 cs.CR
Light up that Droid! On the Effectiveness of Static Analysis Features against App Obfuscation for Android Malware Detection
University of the Basque Country UPV/EHU（巴斯克大学 UPV/EHU）；University of Genoa（热那亚大学）；CASD - Centre for Advanced Defense Studies（高级防御研究中心（CASD））
本文评估了特定混淆技术对Android静态分析特征的影响，发现部分特征在混淆下仍保持有效性，并据此提出了一种抗混淆且优于现有技术的ML恶意软件检测器。
2023-10-24 cs.CR cs.LG cs.SE
Android Malware Detection with Unbiased Confidence Guarantees
Frederick University（弗雷德里克大学）
针对现有Android恶意软件机器学习检测方法未量化不确定性的问题，提出结合Conformal Prediction框架与随机森林的动态分析方法，可提供无偏的有效置信度保证，在含6682个应用的数据集上验证了其有效性与实用性。
2023-12-17 cs.CR cs.LG
A Preliminary Study On the Sustainability of Android Malware Detection
Washington State University（华盛顿州立大学）
基于机器学习的恶意软件检测主导了当前Android应用的安全防御方法。然而，由于Android平台和恶意软件的发展，现有的这种技术受到其对成本高昂的持续再训练的需要以及对可能无法及时获得的新恶意软件样本的依赖的广泛限制。因此，新的和新兴的恶意软件溜过，从恶意软件在野外的持续激增可以看出。因此，一个更实用的探测器不仅需要精确，更重要的是，它要能够在不频繁重新训练的情况下长期保持其能力。在本文中，我们研究了Android应用程序如何随着时间的推移而演变为一个群体，在他们的行为相关的访问敏感信息和操作。我们首先对七年来开发的6K良性和恶意应用程序进行纵向表征，重点关注应用程序执行中的这些敏感访问。我们的研究表明，在长期的演变过程中，恶意软件和良性应用程序之间关于此类访问的一致，明确的区别，通过相关方法调用的相对统计数据来衡量。根据这些发现，我们开发了DroidSpan，这是一种基于Android应用程序新行为特征的新型分类系统。通过广泛的评估，我们发现DroidSpan不仅可以有效地检测恶意软件，而且可以在四年内保持高检测准确率（93%的F1测量值）（五年内81%的F1测量值）。通过一项专门的研究，我们还展示了它对复杂规避方案的弹性。通过与最先进的恶意软件检测器进行比较，我们证明了我们的方法在合理的成本下具有很大程度上优越的可持续性。
2018-08-03 cs.CR cs.LG cs.SE
A Longitudinal Study of Cryptographic API: a Decade of Android Malware
密码技术已广泛用于Android应用程序中，以保证安全通信，隐藏关键数据以防止逆向工程，或确保移动用户的隐私。Android的各种基于系统和第三方的库都提供了加密功能，以前的工作主要是探讨在良性应用程序中滥用加密API。然而，加密API的作用尚未在Android恶意软件中被探索。本文对Android恶意软件中的加密API进行了全面的纵向分析。特别是，我们分析了在$2012$和$2020$之间发布的$603\,937$ Android应用程序（其中一半是恶意的，一半是良性的），收集了超过100万个加密API表达式。我们的研究结果揭示了有趣的趋势和见解，如何以及为什么在Android恶意软件中使用加密技术。例如，我们指出了弱散列函数的广泛使用和从不安全的DES到AES的后期过渡。此外，我们表明，密码相关的特性可以帮助提高基于学习的系统在检测恶意应用程序的性能。
2022-07-06 cs.CR
Deep learning guided Android malware and anomaly detection
University of Manchester（曼彻斯特大学）；University of Bristol（布里斯托尔大学）
在过去的十年中，与移动设备有关的网络犯罪有所增加。移动设备，特别是运行在Android操作系统上的移动设备对恶意软件创建者特别感兴趣，因为用户通常在其移动设备上保存最大数量的个人信息，例如他们的联系人，社交媒体配置文件，电子邮件和银行账户。动态和静态恶意软件分析对于预防和检测恶意软件都是必要的，因为这两种技术都有各自的优点和缺点。在本文中，我们提出了一种深度学习技术，该技术依赖于LSTM和编码器-解码器神经网络架构，用于基于CPU，内存和电池使用情况的动态恶意软件分析。所提出的系统能够检测并通知用户系统中的异常，这可能是恶意软件行为的后果。该方法作为OWASP Seraphimdroids反恶意软件机制的一部分实现，并通知用户设备上的异常情况。证明该方法的F1评分为79.2%。
2019-10-23 cs.CR cs.CY cs.LG
Android Malware Family Classification Based on Resource Consumption over Time
当今绝大多数移动恶意软件都针对Android设备。这推动了过去几年Android恶意软件分析的研究工作。恶意软件分析的一个重要任务是将恶意软件样本分类到已知的家族中。已知静态恶意软件分析不足以对抗改变恶意软件的静态特性（例如，代码混淆）的技术，而动态分析已被证明对抗此类技术是有效的。据我们所知，纯粹基于动态分析的Android恶意软件家族分类最值得注意的工作是DroidScribe。对于DroidScribe，我们的方法更容易复制。我们的方法只使用公开可用的工具，不需要对模拟环境或Android操作系统进行任何修改，并且可以从物理设备收集数据。后者是一个关键因素，因为现代移动恶意软件可以检测模拟环境并隐藏其恶意行为。我们的方法依赖于proc文件系统提供的资源消耗度量。通过去趋势波动分析和相关性提取特征。最后，一个SVM分类恶意软件到家庭。我们对Drebin数据集的恶意软件样本进行了实验评估，获得了82%的分类准确率，证明我们的方法达到了与DroidScribe相当的准确率。此外，我们公开了我们开发的软件，以便于我们结果的重现性。
2017-09-04 cs.CR
Flexible Android Malware Detection Model based on Generative Adversarial Networks with Code Tensor
Alibaba Group（阿里巴巴集团）；Huazhong University of Science and Technology（华中科技大学）；Xi’an International Studies University（西安外国语大学）
恶意软件威胁的行为正在逐渐增加，提高了对恶意软件检测的需求。然而，现有的恶意软件检测方法仅针对已有的恶意样本，对新的恶意代码和恶意代码变种的检测能力有限。在本文中，我们提出了一种新的方案，检测恶意软件及其变种有效。基于生成对抗网络（GANs）的思想，获取符合真实恶意软件特征的“真实”样本分布，利用它们欺骗恶意软件，从而实现对恶意代码攻击的防御，提高恶意软件检测能力。首先，提出了一种新的Android恶意软件APK对图像纹理特征提取的分割方法--分段自生长纹理分割算法。其次，基于低秩的张量奇异值分解（tSVD）将不同大小的恶意特征统一转换为固定的三阶张量，输入神经网络进行训练学习。最后，提出了一种基于带代码张量的GANs（MTFD-GANs）的Android恶意软件检测模型。实验结果表明，该模型总体上优于传统的恶意软件检测模型，最高效率提高了41.6%.同时，GANs生成器新生成的样本极大地丰富了样本多样性。对恶意软件检测器进行再训练，可以有效提高传统模型的检测效率和鲁棒性。
2022-10-25 cs.AI cs.CR cs.LG
Collective Intelligence: Decentralized Learning for Android Malware Detection in IoT with Blockchain
Yangtze Delta Region Institute (Huzhou), University of Electronic Science and Technology of China（电子科技大学长三角研究院（湖州））；International Institute of Next Generation Internet, Macau University of Science and Technology（澳门科技大学下一代互联网国际研究院）；University of Electronic Science and Technology of China（电子科技大学）
Android物联网设备的广泛意义在于其灵活性和硬件支持功能，这些功能通过在日常生活的各个领域引入令人兴奋的应用，如医疗保健，智能城市，智能环境，安全，遥感等，彻底改变了数字世界。这种通用的适用性为更多的恶意软件攻击提供了动力。在本文中，我们提出了一个框架，不断聚合多个用户训练模型的非重叠数据到单一的模型。具体到恶意软件检测任务，（i）我们提出了一种新的用户（本地）神经网络（LNN），它在本地分布上进行训练，（ii）然后为了确保模型的真实性和质量，我们提出了一种新的智能合约，它可以在区块链平台上进行聚合过程。LNN模型分析恶意软件和良性软件的各种静态和动态特征，而智能合约使用本地模型的存储聚合特征验证恶意应用程序在网络中的上传和下载过程。通过这种方式，所提出的模型不仅使用分散的模型网络提高了恶意软件检测的准确性，而且还使用区块链提高了模型的有效性。我们用三种最先进的模型评估了我们的方法，并对相关模型的提取特征进行了深入分析。
2021-06-26 cs.CR cs.LG
Robust Android Malware Detection System against Adversarial Attacks using Q-Learning
BITS Pilani（比尔拉科学技术学院）；Microsoft（微软）
当前最先进的Android恶意软件检测系统基于机器学习和深度学习模型。尽管具有优越的性能，这些模型容易受到对抗攻击。因此，在本文中，我们开发了八种基于机器学习和深度神经网络的Android恶意软件检测模型，并研究了它们对对抗攻击的鲁棒性。为此，我们使用强化学习创建了新的恶意软件变体，这些变体将被现有的Android恶意软件检测模型错误分类为良性。我们提出了两种新的攻击策略，即使用强化学习的白盒和灰盒场景下的单策略攻击和多策略攻击。站在对手的立场上，我们设计了针对检测模型的对抗攻击，目标是最大化欺骗率，同时对Android应用程序进行最少的修改，并确保应用程序的功能和行为不会发生变化。我们在所有8个检测模型中分别实现了44.21%和53.20%的平均欺骗率，最多使用单策略攻击和多策略攻击进行5次修改。采用多策略方法，对基于决策树的模型进行了5次修改，取得了86.09%的最高欺骗率。最后，我们提出了一种对抗性防御策略，该策略可以将针对单个策略攻击的平均欺骗率降低三倍至15.22%，从而提高检测模型的鲁棒性，即所提出的模型可以有效地检测恶意软件的变体（变形）。实验分析表明，我们提出的基于强化学习的Android恶意软件检测系统对对抗攻击具有更强的鲁棒性。
2021-01-27 cs.AI cs.CR cs.LG
Creating Android Malware Knowledge Graph Based on a Malware Ontology
本文通过扩展现有恶意软件本体提出AndMalOnt，并基于MalwareBazaar报告构建覆盖2600余个安卓恶意软件样本的开源知识图谱，以系统化组织威胁情报。
2023-08-04 cs.CR
DeepTrust: Multi-Step Classification through Dissimilar Adversarial Representations for Robust Android Malware Detection
Artificial Intelligence Research Institute (IIIA-CSIC)（人工智能研究所（IIIA-CSIC））
提出DeepTrust元启发式方法，通过级联条件激活的异构分类器序列，最大化内部模型表示差异，在特征空间逃逸攻击下实现鲁棒检测，在2025年IEEE SaTML竞赛中获第一名。
2025-10-14 cs.CR cs.LG
Level Up with ML Vulnerability Identification: Leveraging Domain Constraints in Feature Space for Robust Android Malware Detection
Radboud University（拉德堡德大学）；Ruhr University Bochum（波鸿鲁尔大学）
针对ML在Android恶意软件检测中易受可实现对抗样本规避攻击的问题，提出在特征空间学习Android域约束的新方法，有效检测对抗样本，并在对抗训练中显著提升模型鲁棒性和训练效率。
2024-12-24 cs.CR cs.LG
Android-COCO: Android Malware Detection with Graph Neural Network for Byte- and Native-Code
随着Android的普及率呈指数级增长，恶意软件的数量也大幅激增。这可以说是移动平台上最具病毒性的问题之一。最近，已经引入了各种方法来检测Android恶意软件，其中大多数是基于Manifest File功能或结构信息，例如控制流图和API调用。在这些方法中，几乎所有的方法都只考虑Java字节码作为检测恶意行为的目标。然而，最近的研究和我们自己的统计数据表明，原生负载通常用于良性和恶意应用程序。当前最先进的Android静态分析工具避免处理本机方法调用。这些工具都不具备捕捉语际行为的能力。在这项工作中，我们探讨了合奏机制，它提出了如何结合字节码和原生代码分析的Android应用程序可以有效地用于应付先进的复杂的Android恶意软件。因此，我们提出了一种多层方法，该方法利用深度学习，自然语言处理（NLP）以及图形嵌入技术来处理来自Java字节码和本机代码的Android恶意软件的威胁。在此基础上，设计了一个集成算法，得到了恶意软件检测系统的最终结果。具体来说，我们的检测方法的第一层操作的应用程序的字节码和本地代码的水平，而第二层侧重于集成算法。在100，113个样本（35，113个恶意软件和65，000个良性）上的大规模实验表明，仅字节码子系统的准确率为99.8%，本机代码子系统的准确率为96.6%，而Android-COCO方法的准确率为99.86%，优于各种相关工作。
2022-01-24 cs.CR
DroidNative: Semantic-Based Detection of Android Native Code Malware
根据赛门铁克和F-Secure的威胁报告，2013年和2014年的移动恶意软件开发几乎完全集中在Android平台上。恶意软件编写者正在应用隐形突变（混淆）来创建恶意软件变体，从而阻碍基于签名的检测器的检测。此外，利用静态分析技术来检测这种变体的过多的更复杂的检测器仅在字节码级别操作，这意味着嵌入在本机代码中的恶意软件未被检测到。最近的一项研究表明，86%的最流行的Android应用程序包含本机代码，这使得这成为一个看似合理的威胁。本文提出了DroidNative，一个Android恶意软件检测器，使用特定的控制流模式来减少混淆的影响，提供自动化和平台独立性，据我们所知，它是第一个在Android本机代码级别运行的系统，允许它检测嵌入在本机代码和字节码中的恶意软件。当使用传统的恶意软件变体进行测试时，它的检测率（DR）为99.48%，而学术和商业工具的DR范围为8.33% -93.22%。当使用2240个样本的数据集进行测试时，DroidNative的DR为99.16%，假阳性率为0.4%，平均检测时间为26.87秒/样本。
2016-02-21 cs.CR
DroidAnalytics: A Signature Based Analytic System to Collect, Extract, Analyze and Associate Android Malware
智能手机和移动设备正迅速成为许多用户不可或缺的设备。不幸的是，它们也成为黑客部署恶意软件和传播病毒的肥沃土壤。有一个迫切需要有一个“安全分析和取证系统”，可以方便分析师检查，解剖，关联和关联大量的移动应用程序。一个有效的分析系统需要解决以下问题：如何自动收集和管理大量的移动恶意软件？如何分析零日可疑应用程序，并将其与数据库中现有的恶意软件家族进行比较或关联？如何执行信息检索以揭示与现有恶意软件相似的恶意逻辑，并快速识别新的恶意代码段？在本文中，我们提出了DroidAnalytics的设计和实现，基于签名的分析系统，自动收集，管理，分析和提取Android恶意软件。该系统便于分析人员在“操作码级别”检索、关联和揭示恶意逻辑。我们使用150，368个Android应用程序证明了DroidAnalytics的有效性，并成功确定了来自102个不同家族的2，494个Android恶意软件，其中342个是来自6个不同家族的零日恶意软件样本。据我们所知，这是第一个报告的案例，显示了如此大的Android恶意软件分析/检测。评估表明DroidAnalytics是一个有价值的工具，在分析恶意软件重新包装和突变方面非常有效。
2013-09-23 cs.CR
GANG-MAM: GAN based enGine for Modifying Android Malware
University of Kerala（喀拉拉大学）；University of Sannio（桑尼奥大学）；Cochin University of Science and Technology（科钦科技大学）
基于机器学习的恶意软件检测器容易受到对抗攻击的攻击。生成对抗网络（GAN）是基于神经网络的架构，可以生成成功的对抗样本。对这项技术的兴趣正在迅速增长。在本文中，我们提出了一个系统，产生一个特征向量，使Android恶意软件强烈回避，然后相应地修改恶意程序。这样的系统可以有双重贡献：它可以用来生成数据集，以验证检测基于GAN的恶意软件的系统，并扩大训练和测试数据集，以制作更强大的恶意软件分类器。
2021-09-27 cs.AI cs.CR cs.LG
When the Guard failed the Droid: A case study of Android malware
Android恶意软件是全球数十亿用户的持续威胁。作为一种对策，偶尔会实施Android恶意软件检测系统。然而，这些系统通常易受\emph{evasion attacks}攻击，在这种攻击中，攻击者操纵恶意实例，从而将它们误认为是良性的。在本文中，我们针对几个Android恶意软件检测系统推出了各种创新的规避攻击。所有这些系统固有的漏洞是，它们是Androguard~ \cite{desnos2011androguard}的一部分，这是一个流行的开源库，用于Android恶意软件检测系统。一些检测系统在攻击后检测率下降到0。因此，在恶意软件检测系统中使用开源库需要谨慎。此外，我们提出了一种新的评估方案规避攻击生成，利用已知的Android恶意软件检测系统的弱点。通过这样做，我们评估了规避攻击所创建的操纵实例的功能和恶意性。我们发现，在恶意和功能测试我们操纵的应用程序的变化。我们表明，非功能性的应用程序，而被认为是恶意的，不威胁用户，因此从攻击者的角度来看是无用的。我们的结论是，规避攻击必须评估功能和恶意，以评估其影响，这是一个步骤，这是远远不常见的今天。
2020-03-31 cs.CR
