基于图模式与内存足迹的Android恶意应用与行为检测

发布时间：2019-08-28 11:03

【摘要】：现有的各个Android应用商店大多检查已知的静态恶意应用,难以检测新颖、动态加载的恶意应用与行为,对此提出一种基于图结构与内存足迹分析的恶意应用检测系统。首先,采集应用的内存信息,分析应用的足迹与序列号,检测动态打包的恶意代码与新颖的恶意应用;然后,提取应用所请求的共生权限,将权限建模为图结构,并使用图的度量指标分析图的分类模式与中心权限,根据中心权限值选择可表示各类的最优图指标;最终,计算应用的隐私分数与风险阈值,基于该阈值检测各种恶意软件或恶意行为。仿真实验结果表明,本算法对不同类型的恶意应用均具有较好的效果,对于未知的恶意应用也具有较好的检测率。
【图文】：

实例图,特征计算,实例,权限

集设为NC。第一个特征是一个给定的应用与一个模式之间存在大量的共同权限，将该特征定义为PermCount，其相似性指数定义为simPermCount(A，patternC)=|ApermsNC|(10)计算一个应用与一个模式之间相同权限的图指标，作为其他的特征。定义指标m的相似性特征，根据应用的权限列表与类C中模式的归一化相似性计算而来，计算公式为simm(A，patternC)=∑p∈{Aperms∩NC}m(p)∑p∈NCm(p)(11)其中:m∈M。为每个应用的每个类与每个图指标之间建立一个相似性特征，，图3所示是一个指标的特征集实例。应用“游戏”(PID=244)类需要三个权限:P1、P2、P3，将这个权限列表与每个类模式的权限进行比较，图中显示了游戏、社交、购物三个类的模式。游戏模式包含三个权限:P1、P3、P6，其中权限P1、P3与应用(PID=244)的权限相同，社交类模式仅包含一个共同的权限P1，其相似性等于3/10，购物类的相似性分数为2/10。2.4隐私分数与风险指数使用识别最优的模式建立一个隐私分数。隐私分数基于以下三个假设:a)应用与模式越相似，隐私分数越高;b)如果应用请求模式的中心权限，其分数应当较高;c)如果应用请求的权限不存在模式中，其分数应当较低。使用请求权限的数量对应用与类的相似性进行加权处理，因为上述步骤获得了两个代表性的模式指标，所以将一个应用与模式之间的相似性定义为结合两个指标相似性的最终相似性LN，计算方法为LN(A，C)=αsimm1(A，patternC)+(1－α)simm2(A，patternC)(12)其中:(m1，m2)∈M2与α∈［0，1］是一个调节参数，用于平衡各指标的重要性。式中m1表示图的间接中心，m2表示加?

风险,阈值,相似性

数据集中的应用，红色圈是(β＞1，LN0=0)条件的应用，请参见电子版。当β=0，隐私分数等于相似性分数，风险阈值会固定为给定的相似性;当β=1，则定义了一个线性分离，通过应用权限计算的平均相似性分数决定风险阈值;当β＞1，风险阈值如图4所示，该阈值使相似性低的应用设置高风险值，即应用的权限越多，相似性阈值则越高。图4不同β值对应的风险阈值3检测模块检测模块基于其行为模式决定目标应用是否是恶意应用。检测模块包含以下几个部分:a)序列号的检查规则，将应用的序列号与恶意软件家族进行比较，判断应用是否为恶意软件;b)测试伪造文件的系统命令，检查应用使用的系统命令中是否包含了伪造的文件;c)检测应用是否隐藏了SMS的通知，这种恶意应用的目标是捕获用户订阅的服务信息;d)检测短信诈骗应用的规则，这种恶意应用捕获正常的短信并修改为诈骗短信;e)检查应用请求的权限分析，使用第2章“基于图模式的恶意应用与行为决策”进行权限分析，检测出恶意的应用。4实验与结果分析4.1实验环境本文的恶意软件检测系统包含客户端组件与服务器组件。客户端组件安装在智能手机上，操作系统为Android4．4．2;服务器为XeonX5660处理器，8GB内存，操作系统为Ubuntu12.04。使用Python3．2脚本实现服务器端的程序，服务器端的AndroidSDK为Android4．1．2sdkAPI16级。本文采用的恶意应用样本库来自于美国北卡州立大学Zhou等人［12］提供的ADＲD、AnserverBot等49个恶意应用家族，共1260个恶意应用样本。4.2实验结果与分析将本算法与DroidＲanger［13］、GoogleAVS［14］、PApriori［15］进行比较，全面地评估本系统的性能。表1所示是四种恶意软件检测方案对1260个恶意应用样本的检测结果，其中
【作者单位】：广东工业大学计算机学院;
【基金】：广东省重大科技专项资助项目(2015B010128014,2015B010108002) 广东省教育厅产学研合作项目(2015B090906015,2014A010103029,2014B090908010,2014B090901053) 广州市科技计划资助项目(2017010160012)
【分类号】：TP309;TP316

【相似文献】