基于混合特征的恶意安卓程序检测方法研究与实现

《基于混合特征的恶意安卓程序检测方法研究与实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、—‘—’、＇ｉＶ—．＇；ｔ．．二追；．诚＾巧巧ｆ吊．＇．‘：：省级＾＿＿分类号？＿＿一；己＿．Ｊ，叩．扣Ｖ．４ｖ寺心‘、１＾学号０１１６００１２：眶Ｖ：２３索、域学校代码…－ｉ＾／＇讀＇六．古＇＇’．巧．．妓潘Ｖ．．．－‘：哨节餐；‘；嘴＼§，－，，、細狂衣争和繁緻巧巧＾師忿乂掌硕±研究生学位论文？、．．．．？、、－Ｗ，，，基于混合特征的惡意安阜程序检测方法Ｈ＾研究与实现．．’．．．，—知ｌＶｖ＇＇‘＾．Ｖ古巧，、－：又

2、’．ＡＨｂ－ｒｉｄＦｅａｔｕｒｅｂａｓｅｄＤｅｔｅｃｔｉｏｎＭｅｔｈｏｄＩｙｏｎＡｎｄｒｏｉｄＭａｌｗａｒｅ节譚醇．＊＇－＇■亩＾‘，．－－■１／－；１气．＾＇．／＾＂，＆ｒ７．徐林溪審礙荐竭｛古．非燒所：计算机信息工程学院导师姓違：郭机：．識学位类别：全日制工程硕去专业领域：计算机技术？；．．．：：．记為、Ｖ＇：么＇＇—＇－＇—：．．二０六六月？．ｎ．年《咬ｉ皆．．．．．＇．乂祭＼．＾—＇‘邱占．户＇；＾

3、＇－＇．．户卢？诉，／ｒ二人—，‘。’．一聲＾＇誦＞％巧於、：郑氣＞‘？’；、氏．一＇＇一产４库背杆ｈ／Ｖ；＼摘要随着互联网技术的日益发展，互联网平台已逐步开始由传统PC端转向移动端。对比PC端的互联网时代，智能手机端是一个隐私数据高度密集的平台。应用程序可以通过特定系统接口随意获取如通讯录、短信甚至资金账号密码等敏感数据信息。然而基于目前许多应用商城对待发布应用的检测审核工作不够完善，为了保证Android用户的数据安全和促进整个生态的健康发展，基于Android平台恶意软件的

4、检测至关重要。基于Android平台的恶意程序检测研究通常分为动态或静态方法。动态方法指通过代码插桩，可以在程序运行时动态收集其行为特征数据，而静态方法通过反编译Apk文件，分析源代码并提取程序的特征，根据特征数据来建立检测模型。无论是动态还是静态方法，提取的特征可分为两类：1）语法特征：如权限和Intent-Action；2）语义特征：如Api调用链。缺点是单独基于语法特征的方法需要跟随技术的不断更新特征组合，特征库的维护成本较大。优点是检测速度快，算法复杂度低；单独基于语法特征的方法优点在于能够准确反映程序

5、行为，但是特征数据复杂，不利于检测模型的训练。因此，根据单一语法或语义特征的方法都存在一定的弊端。本文提出一种混合提取语法和语义特征的检测方法，语义特征为基于类抽象的污点传播路径集合，并结合权限声明和Intent-Action等语法特征，对特征规范化后应用k-means算法训练样本集生成恶意程序家族的特征向量，应用欧式距离检测未知程序与特征向量的相似度。基于FlowDroid实现原型系统，对400个真实程序的分析结果表明该方法有较高的精确度。关键词：恶意程序检测；语义特征；污点传播；聚类；IAbstractWi

6、ththedevelopmentofInternettechnology,theInternethasbeengraduallyshifttomobileterminalfromtraditionalPC.ComparedtothePCInternetera,smartphoneisaplatformwithhighlyprivacy-intensive.Throughthespecificandroidapitheapplicationscaneasilygetdatasuchascontactlist,me

7、ssages,andevencapitalaccountpasswords.However,appsreviewinginmanymarketplacesisfarawayfromperfect.InordertoguaranteethesecurityofAndroiduser'sprivacyandpromotethehealthydevelopmentofAndroidecosystem,malwaredetectionbasedontheAndroidplatformiscrucial.Malwared

8、etectionmethodsbasedontheAndroidplatformisusuallydividedintodynamicmethodandstaticmethod.Dynamicmethodusecodeinstrumentationtodynamicallycollectthedateofbehaviorfeatureswhentheprogramisrunning;W