为了提取功能,可以更好地代表应用程序行为,自民党利用静态分析来提取关键特性通过反编译的应用程序和分析他们使用机器学习的最优算法。流程见图 2和提供的细节如下: (一)

静态分析:自民党雇佣apktool反编译应用程序,获得不同的特性集AndroidManifest文件和反编译源代码。

限制访问权限机制的一系列关键api ( 31日]。本文是指危险权限对应的api作为敏感的api。几项研究选择api作为机器学习的特点。分类信息是相对富裕,所有敏感的api都选为特征。然而,耗费时间与巨大的资源消耗和过程必须存在冗余和毫无意义的功能。然而,敏感的api调用的前提是,应用程序必须声明在AndroidManifest文件权限。例如,应用程序必须声明SEND_SMS允许调用sendTextMessage()和sendMultipartTextMessage()来发送消息。因此,自民党选择权限,而不是api作为机器学习的特点,以确保它是轻量级的。

如何选择权限,这不是合适的选择常用的权限都恶意应用程序和良性的应用程序。如果使用的所有权限,这将不可避免地导致“维数的诅咒。“如前面所示的工作 19),恶意应用程序声明危险权限通常良性的应用程序。因此,我们的研究方法认为经常使用的权限通过恶意软件作为我们的研究对象和提取特征从以下方面。

声明权限和意图:调用敏感的api的应用程序必须声明在AndroidManifest文件中相应的权限。我们提取这些声明权限后反编译应用程序。活动、服务和广播接收器被激活的意图和他们注册使用意图过滤器在AndroidManifest文件类型的意图。恶意应用程序可以利用Android系统的公告引发恶意行为。因此,我们的方法提取的意图总是恶意应用程序中使用的特性,例如,BATTERY_CHANGE_ACTION SMS_RECEIVED。

未使用的权限和根特权:一些应用程序申报危险的权限;然而,没有映射Smali代码的api中使用的应用程序,因为危险权限动态加载或被开发人员。

我们的方法首先提取危险权限AndroidManifest中列出的文件。然后,我们遍历反编译源代码基于权限之间的关系和提供的api PScout [ 32),寻找宣布权限映射的api调用。这样危险的权限被定义为未使用的权限。如果存在敏感api没有映射的危险在AndroidManifest文件权限,我们怀疑,应用程序可能是试图获得根权限。因为根特权给绝对控制设备的应用程序,它可以执行任何恶意行为没有权限( 33]。

权限用于组件:权限组件中使用我们的方法的亮点。在这项研究中,敏感的api是作为起点来回溯调用图的生成。根据权限之间的关系和PScout提供的api,我们的方法扫描Smali代码和查找映射的api。接着,随着这些api作为起点,父函数的回溯的过程迭代,直至组件可以通过文件确认父函数的地方。

回溯的生成过程的具体步骤如下: (1)

遍历所有Smali文件反编译后的文件夹,并找出敏感的API,如 Landroid /电话/ TelephonyManager; > getDeviceId Ljava / lang / String ()。然后,寻找包含敏感的API函数,这是最近的功能从底部到顶部。把图 3例如,包含敏感的API的功能 getDid ()。

反编译之后,我们的方法检查是否应用程序存储库的lib文件夹。如果lib文件夹存在,本机代码的功能是设置为1。为了缓解没有反射的情况下,自民党提取有关反射api,如 forname ()。特性使我们能够知道隐藏的代码执行。因此,反射的特点设置为1或0取决于反射相关的代码。

注释是一个Java语言的特点广泛用于开发Android应用程序( 34]。有两种类型的注释:dalvik。一个nnotation package is not open to the public, which is only used for the core library and code testing, and it is under the Dalvik \ src \ \ Java \ Dalvik \注释目录;另一个是android。一个nnotation and the corresponding annotation declaration is under the framework android \ \基础\ \ Java \核心注释目录中。注释常常出现在回溯的过程。

应用“net.maxicom.android。蛇”作为一个例子,图中所示的代码片段 5。当检测回溯父函数时,自民党遇到注释代码,“EnclosingMethod”指定了自己的类的范围。“方法”表明注释作用于一个函数,和价值告诉我们,它位于SnakeService onCreate ()。因此,自民党SnakeService文件打开,第二行是“ .Super Landroid /应用程序/服务。“因此,可以推断,敏感的API服务组件。

Android是消息驱动和消息处理机制的本质是一个线程打开一个循环,不断听取和处理消息发送的其他线程。如果在创建一个新线程运行在主线程,系统会抛出一个异常。因此,异步回调机制提供的处理程序是线程之间的通信(安卓系统 35]。

如图 6主线程,UI线程。系统初始化一个电影对象并创建一个与之关联的MessageQueue。消息处理程序接收到的对象和过程。MessageQueue消息队列。每个UI线程只能有一个电影,不断地把消息从MessageQueue分发到相应的处理程序。

当电影一个新的消息,handleMessage()来处理新消息。这个Android消息处理机制导致调用图,从而导致回溯的失败。因此,我们的方法构造一个实例初始化方法有特别的名字 “< init >, ”这是由一个编译器。然后,我们使用该方法作为回溯的新起点。

采取“ServiceCommunication1。apk”作为一个例子,我们回溯父函数调用API敏感,直到父函数” handleMessage”,如图 7(一)。然后,我们发现类继承 “Landroid / os /处理程序”基于代码。如果一个方法构造” 以汉/麻省理工学院/ icc_service_message / MessengerService IncomingHandler美元;- > HandleMessage (Landroid / os /消息;)V,”回溯失败。我们的方法构造” 以汉/麻省理工学院/ icc_service_messages / MessengerService IncomingHandler美元;- > < init >(以汉/麻省理工学院/ icc_service_messages / MessengerService;) V”作为新起点,寻找它的位置。如图 7 (b)第二行“ .super Landroid /应用程序/服务;“显示危险权限用于服务组件。

一个进程可以包含多个线程,可以用作独立操作和独立调度的基本单位。因为线程小于过程和不拥有系统资源,有效地调度成本很低,可以提高程序的并发执行多个程序之间的系统。

有两种方法来实现线程在一个Android系统。一个是扩展 “java.lang.threads。”重写” run (),”和单独使用多个线程来完成他们的任务。另一个是实现Runnable接口和实例化类的线程。所不同的是,使用Runnable接口创建的线程可以共享资源,当多个线程访问相同的资源,而线程通过继承创建线程类有自己的资源。

当父函数的敏感API” run ()”,有必要检查关键字” .Super”和“ .Implement“在Smali文件。如果存在“ .super Ljava / lang /线程”或“ .Implement Ljava / lang /可运行,“我们需要遍历所有Smali文件再一次实例化和使用函数,启动线程的线程作为回溯的起点,并向上搜索父函数。注意,线程类的方法” run ()”和“ start (),“而实现Runnable接口的只有“ run ()”的方法。

采取“net.maxicom.android。蛇”为例,应用程序调用位置/ LocationManager; - > requestLocationUpdates (Ljava / lang / String;JFLandroid /位置/ LocationListener) V ACCESS_FINE_LOCATION对应权限,及其母公司函数Lnet / max-icom / android /蛇/ SnakeService 1美元;- >运行(V),第二行SnakeService $ 1显示了" .super Ljava / lang /线程“在” net/maxicom/android/snake/SnakeService 1美元”文件。提供的方法构造类的父类函数,方法,和参数如前所解决,回溯失败。我们把 Lnet / maxicom / android /蛇/ SnakeService 1美元;- >开始(V)作为回溯的新起点。最终,扫描和匹配后,父函数 Lnet / maxicm / android /蛇/ SnakeService; - > onCreate (),该文件位于 net/maxicom/android/snake/snakeService在第二行显示敏感API被称为服务组件,如图 8。

步骤1:建立一个样本数据集。恶意程序样本来自MalGenome和AndroMalShare [ 26]。MalGenome是被许多研究者广泛使用它帮助我们比较结果与相关方法。作为补救,AndroMalShare提供了最新的恶意软件样本,可以通过恶意软件分类的家庭。我们收集1600份恶意应用程序作为样本,分类根据Android恶意软件的家庭。数据集的优势是,我们可以选择特定的Android恶意软件家庭建立检测模型和分析的能力检测模型检测未知应用程序从其他Android恶意软件的家庭。为了确保平衡的数据集,我们采用爬虫程序下载1700良性从小米App Store应用程序。进一步检查良性的应用程序和恶意应用程序,我们与Virustotal验证这些应用程序,这是网站分析和url来检测可疑文件类型的恶意软件,自动与安全社区分享他们。

所有的实验都进行机16 GB的内存和英特尔(R) (TM)核心i7 - 4720总部2.60 GHz处理器。

在这个工作中,TP率, F测量,中华民国是用来评估的性能检测模型。恶意应用程序正样本和良性的负样本应用程序在我们的评估,我们提出四种类型的值。 t _ pos 是恶意的应用程序的数量正确认定为恶意应用程序; f _ 负的 是恶意应用程序错误的数量确定为良性的应用程序; t _ 负的 是良性的应用程序的数量正确认定为良性的应用程序;和 f _ pos 是良性的应用程序的数量错误地认定为恶意应用程序: (1) TP率 = 回忆 = t _ pos t _ pos + f _ 负的 , FP率 = f _ pos t _ 负的 + f _ pos , 精度 = t _ pos t _ pos + f _ pos , F 量 测量 = 2 ∗ 回忆 ∗ 精度 回忆 + 精度 , 精度 = t pos + t 负的 t pos + t 负的 + f pos + f 负的 。

在这些指标, F测量是一个指标指的是精度和召回。中华民国领域是最重要的评价指标之一,检查任何分类模型的性能。中华民国领域越高,分类越好。

为了达到更好的检测性能,选择丰富,歧视,是分类的关键步骤和独立的特性。我们设计两个实验来比较使用权限集和测试集验证。实验Ι:选择所有危险权限作为机器学习的特点;实验二:选择86798年排名前20位的使用权限的恶意软件样本收集的AndroMalShare作为机器学习的特点,如图 9。

实验Ι选择927恶意应用程序和1000良性不会导致检测模型的应用程序作为一个测试集。危险权限功能的机器学习的结果如表所示 3。资讯和SVM相对比其他分类器,他们恶意软件检测的TP率最高。然而,四个分类器的表现不是很满意。

在实验2中,我们使用相同的训练集建立检测模型和分析相同的测试集的算法。唯一的区别是,特点是使用的前20名86798 AndroMalShare收集的恶意应用程序的权限。实验结果如表所示 4。

从结果可以看出,支持向量机算法是最好的TP率,达到了90.9%。比较的结果表 3和 4有类似的表现,相同的测试集和分类器。很难评估权限集是更好;然而,我们可以识别的特征更重要的分类根据信息增益特性。两组结果如表所示 5和 6,分别。

根据排名功能和权限的实际使用状况,我们选择从两组24权限的功能,如表所示 7。我们发现的权限,执行恶意行为的需求可能不是重要的像网络许可,由恶意软件和常用良性的应用程序。

然后,我们使用所选权限功能作为机器学习的特点,学习训练集和分析相同的应用程序从测试集分类器。结果如表所示 8,所有指标优于在上面的实验。在这些算法中,TP率最高达到93.8%, F测量与J48分类器是最好的。

通过进一步分析分类错误,我们发现大部分的这些应用程序错误分类申报危险权限经常宣称的恶意软件应用程序和良性的应用程序,尤其是READ_PHONE_STATE, ACCESS_COARSE_LOCATION, ACCESS_FINE_LOCATION SEND_SMS, READ_SMS。虽然这些危险的权限是完全相同的,使用这些权限之间良性的应用程序和恶意应用程序是不同的。例如,READ_PHONE_STATE相对较低的信息增益,但是恶意的应用程序通常使用服务组件为了避免任何用户的注意力从良性的应用程序是不同的。

基于以前的工作( 23, 24),我们进一步完善上述权限和提取信息的组件在危险的第一次权限的功能。和恶意应用程序的代码特性,意图恶意应用程序经常使用,以及是否应用程序利用本机代码,反射机制,考虑和根,自民党的特点如表所示 9,我们添加SEND_SMS和合并ACCESS_COARSE_LOCATION ACCESS_FINE_LOCATION到位置,SEND_SMS和READ_SMS SMS的维度的诅咒。

自由民主党也使用相同的数据集和分类器进行分析。结果如表所示 10。每个算法都有比以前更好的性能。在这些分类器,J48是最好的和TP利率 F测量是0.945。它表明,自民党的特点可以更好地代表恶意行为。

此外,自民党的结果也显示为中华民国区域图 10。ROC曲线下的面积的价值曲线下的面积(AUC)。面积越大,分类越好。结果是显而易见的,这四个分类器有良好的性能在检测恶意应用程序和所有民国面积都超过0.9。

为了评估的重要性危险权限用于组件的特性,我们收集恶意应用程序从Android恶意软件的家庭,如FakePlayer DroidCoupon, TapSnake和浮游生物。这些应用程序只声明几个危险权限如READ_PHONE_STATE ACCESS_COARSE_LOCATION, READ_SMS由良性常用的应用程序。这意味着如果没有足够的可用信息分类检测方法都是基于声明的权限。

相比之下,我们雇佣了两组的权限功能。特性表 7作为两组之一,另一个是危险的权限应用于组件的功能取代宣布权限基于表的特点 7,涉及READ_PHONE_STATE ACCESS_COARSE_LOCATION ACCESS_FINE_LOCATION, READ_SMS。例如,READ_PHONE_STATE A-READ_PHONE_STATE所取代,B-READ_PHONE_STATE, S-READ_PHONE_STATE。

通过测试63年恶意应用程序和70年温和的声明类似权限的应用程序,我们使用SVM算法执行10倍交叉验证。检测的准确性为77.8%,声明的权限,而检测的准确性达到92.5%的细粒度的权限。两个数据集的规模相对较小,因为几乎没有合格的良性的应用程序。

此外,我们使用信息增益来评估功能,包括细粒度的权限的重要性。如表所示 11危险的权限的,有三个特征用于组件排名在前十四的权限。结果显示权限用于组件的特性有助于分类。

为了检查自民党的预测能力,我们收集恶意软件的家庭为未知的恶意软件家庭表所示 12。这些应用程序不是在训练集构造检测模型,其中包括PApriori和DREBIN无法检测的恶意软件的家庭。

我们使用三种检测模型来识别相同的应用程序从未知恶意的家庭。三种检测模型采用危险权限作为机器学习的特点(即。,Experiment Ι), the top 20 used permissions of malicious applications declared as the features of machine learning (i.e., Experiment II), and FDP, respectively. The experimental results show that FDP can accurately detect more malicious families, especially with few dangerous permissions, which are shown in Figure 11。例如,所有的恶意应用程序从DroidCoupon家庭只声明READ_PHONE_STATE和WRITE_EXTERNAL_STORAGE;所有的恶意应用程序从浮游生物的家庭只有READ_PHONE_STATE申报。它表明,自民党可以识别更多的恶意应用程序由于细粒度的权限功能。

PApriori使用频繁模式挖掘得到的最大频繁权限49恶意软件的家庭和构造特征库来检测恶意应用程序许可。1260年恶意软件应用程序从MalGenome, PApriori检测恶意软件样本的87%。然而,当恶意应用宣布不那么危险的权限为良性,PApriori失败。PApriori列表恶意软件家庭MalGenome本身未被发现,如Asroot FakePlayer, DroidCoupon DroidDeluxe, Tapsnake,浮游生物。这就是为什么PApriori检测良性的应用程序中有明显的局限性。自民党可以检测上述恶意家庭因为细粒度选择危险的权限,代表良性的应用程序和恶意应用程序之间的区别。

DREBIN检测恶意软件的准确性94%,但它不能检测到恶意应用程序从Gappusin家庭因为有恶意特征识别样本太少。我们使用应用程序从Gappusin家庭作为未知恶意应用程序和TP率100%。同时,有问题的不平衡数据集的数据DREBIN它包含123453个良性5560恶意应用程序和应用程序。如果DREBIN选择平衡的数据集,可以提高准确性。

DroidEnsemble使用字符串功能权限和意图和结构特点等来检测恶意软件的应用。数据集的大小和组成比例的良性的应用程序和恶意应用程序类似于民主党,和准确性达到98.4%。值得注意的是,结构特征在检测未知恶意家庭可能表现不佳,因为它在很大程度上依赖于先前的发现恶意的家庭。因此,它也有同样的问题和PApriori DREBIN检测不能生效,如果没有明显的区别良性的应用程序和恶意应用程序声明的权限。

为了评估我们的方法的适用性的实际实现,我们计算时间消耗使用50恶意应用程序和50良性的应用程序,和应用程序的规模从12 KB到61 MB。平均而言,自民党可以分析一个应用程序在15.205 s,这表明我们在Android恶意软件检测的方法是有效的,尽管有很多细粒度的信息提取。