基于混合特征的惡意安卓程序檢測(cè)方法研究與實(shí)現(xiàn).pdf

1、隨著互聯(lián)網(wǎng)技術(shù)的日益發(fā)展，互聯(lián)網(wǎng)平臺(tái)已逐步開(kāi)始由傳統(tǒng)PC端轉(zhuǎn)向移動(dòng)端。對(duì)比PC端的互聯(lián)網(wǎng)時(shí)代，智能手機(jī)端是一個(gè)隱私數(shù)據(jù)高度密集的平臺(tái)。應(yīng)用程序可以通過(guò)特定系統(tǒng)接口隨意獲取如通訊錄、短信甚至資金賬號(hào)密碼等敏感數(shù)據(jù)信息。然而基于目前許多應(yīng)用商城對(duì)待發(fā)布應(yīng)用的檢測(cè)審核工作不夠完善，為了保證 Android用戶的數(shù)據(jù)安全和促進(jìn)整個(gè)生態(tài)的健康發(fā)展，基于Android平臺(tái)惡意軟件的檢測(cè)至關(guān)重要。
　　基于Android平臺(tái)的惡意程序檢測(cè)研究通

2、常分為動(dòng)態(tài)或靜態(tài)方法。動(dòng)態(tài)方法指通過(guò)代碼插樁，可以在程序運(yùn)行時(shí)動(dòng)態(tài)收集其行為特征數(shù)據(jù)，而靜態(tài)方法通過(guò)反編譯 Apk文件，分析源代碼并提取程序的特征，根據(jù)特征數(shù)據(jù)來(lái)建立檢測(cè)模型。無(wú)論是動(dòng)態(tài)還是靜態(tài)方法，提取的特征可分為兩類：1）語(yǔ)法特征：如權(quán)限和 Intent-Action；2）語(yǔ)義特征：如 Api調(diào)用鏈。缺點(diǎn)是單獨(dú)基于語(yǔ)法特征的方法需要跟隨技術(shù)的不斷更新特征組合，特征庫(kù)的維護(hù)成本較大。優(yōu)點(diǎn)是檢測(cè)速度快，算法復(fù)雜度低；單獨(dú)基于語(yǔ)法特征的方

3、法優(yōu)點(diǎn)在于能夠準(zhǔn)確反映程序行為，但是特征數(shù)據(jù)復(fù)雜，不利于檢測(cè)模型的訓(xùn)練。因此，根據(jù)單一語(yǔ)法或語(yǔ)義特征的方法都存在一定的弊端。
　　本文提出一種混合提取語(yǔ)法和語(yǔ)義特征的檢測(cè)方法，語(yǔ)義特征為基于類抽象的污點(diǎn)傳播路徑集合，并結(jié)合權(quán)限聲明和Intent-Action等語(yǔ)法特征，對(duì)特征規(guī)范化后應(yīng)用k-means算法訓(xùn)練樣本集生成惡意程序家族的特征向量，應(yīng)用歐式距離檢測(cè)未知程序與特征向量的相似度。基于FlowDroid實(shí)現(xiàn)原型系統(tǒng)，對(duì)400個(gè)