基于動(dòng)態(tài)分析的安卓惡意應(yīng)用檢測(cè)系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn).pdf

1、安卓(Android)手機(jī)憑借能運(yùn)行多種多樣的應(yīng)用比如，社交應(yīng)用（微博等），手機(jī)游戲，以及日常輔助工具（地圖導(dǎo)航等），正在改變?nèi)藗兩詈蜏贤ǖ姆绞健?br>　　隨著Android市場(chǎng)占有率的持續(xù)增加，不法分子開(kāi)始對(duì)Android發(fā)動(dòng)新的攻擊。他們主要通過(guò)篡改流行應(yīng)用的手段，將不良代碼添加到正常應(yīng)用中，然后將含有不良代碼的應(yīng)用通過(guò)第三方Android應(yīng)用市場(chǎng)或者其他網(wǎng)站發(fā)布。目前，Android惡意應(yīng)用的主要形式為吸取費(fèi)用，后臺(tái)扣費(fèi)，來(lái)竊

2、取用戶(hù)財(cái)產(chǎn)。除此之外，某些Android惡意應(yīng)用還會(huì)泄露手機(jī)中的隱私數(shù)據(jù)（如，手機(jī)串碼、位置信息、通話記錄等）。
　　由于基于靜態(tài)分析的檢測(cè)方法只能捕獲Android應(yīng)用的靜態(tài)行為特征、依靠已有的特征庫(kù)來(lái)檢測(cè)Android惡意應(yīng)用，并不能很好的檢測(cè)未知的Android惡意應(yīng)用。因此，本論文通過(guò)對(duì)Android應(yīng)用在運(yùn)行過(guò)程中所具有的兩類(lèi)不同的動(dòng)態(tài)行為特征數(shù)據(jù)的采集，即系統(tǒng)調(diào)用特征數(shù)據(jù)和網(wǎng)絡(luò)流量特征數(shù)據(jù)，通過(guò)機(jī)器學(xué)習(xí)的分類(lèi)算法來(lái)學(xué)習(xí)

3、Android應(yīng)用的動(dòng)態(tài)行為特征，實(shí)現(xiàn)對(duì)Android惡意應(yīng)用的檢測(cè)。為了實(shí)現(xiàn)這個(gè)目的，本文提出了一種基于雙重檢測(cè)的Android惡意應(yīng)用檢測(cè)方法，并設(shè)計(jì)與實(shí)現(xiàn)該方法的原型系統(tǒng)。
　　該系統(tǒng)首先通過(guò)系統(tǒng)調(diào)用劫持、網(wǎng)絡(luò)數(shù)據(jù)表捕獲等技術(shù)對(duì)Android應(yīng)用在手機(jī)上運(yùn)行時(shí)產(chǎn)生的系統(tǒng)調(diào)用數(shù)據(jù)和網(wǎng)絡(luò)流量數(shù)據(jù)進(jìn)行采集，并把采集到的數(shù)據(jù)發(fā)送給云端服務(wù)器;其次，云端接收到特征數(shù)據(jù)文件后，使用特征選擇算法來(lái)選擇能較好表示Android應(yīng)用動(dòng)態(tài)行為的

4、特征數(shù)據(jù);隨后，使用特征選擇算法所選擇的特征數(shù)據(jù)和分類(lèi)算法來(lái)對(duì)Android惡意應(yīng)用進(jìn)行檢測(cè)。在測(cè)試階段，本文首先對(duì)運(yùn)行在手機(jī)上的系統(tǒng)客戶(hù)端的CPU使用率進(jìn)行了測(cè)試，結(jié)果表明該客戶(hù)端程序在運(yùn)行時(shí)CPU占用率較低不會(huì)影響其他應(yīng)用正常運(yùn)行。其次，對(duì)特征選擇算法和Android惡意應(yīng)用檢測(cè)進(jìn)行了測(cè)試。結(jié)果表明，通過(guò)特征選擇算法選取的特征能更好的表示Android應(yīng)用的動(dòng)態(tài)行為特征，并提高分類(lèi)算法的準(zhǔn)確率，從而使得分類(lèi)算法能夠更準(zhǔn)確的檢測(cè)And