行为特征值序列匹配检测Android恶意应用

• 作者: 张震 曹天杰
• 来源期刊: 计算机工程与应用
• 学科: 工学
• 关键词: Android恶意应用 远程内联挂钩 动态检测 支持向量机 特征值序列
• 年，卷（期）: 2018,（24）
• 所属期刊栏目: 网络、通信与安全
• 页码范围: 97-102
• 页数: 6页
• 分类号: TP309.1
• 字数: 6485字
• 语种: 中文
• DOI: 10.3778/j.issn.1002-8331.1805-0241

摘要

针对Android恶意代码的混淆、隐藏、加密情况以及现有方法的检测能力不足问题,提出了一种基于恶意应用行为特征值序列的动态检测方法.首先利用远程注入技术将动态检测的模块注入到Android系统的Zygote进程中,执行内联挂钩来监测应用中的重要函数.然后,通过函数监听得到Android应用的重要行为;进而,按照行为的特征将其量化为特征值,再按照时间顺序将行为特征值排为序列,得到行为特征值序列.通过利用支持向量机来训练5560个恶意样本,得到恶意应用家族的行为特征值序列;最后利用此序列与被检测应用的序列进行相似度比较,判断应用是否为恶意应用.在恶意应用动态检测方面的正确率可达到95.1％,以及只增加被检测的应用21.9 KB内存.实验结果表明,所提方法能够正常检测经过代码混淆、代码加密、代码隐藏的恶意应用,提高了恶意应用检测的正确率,所占内存空间减少,有效提升检测效果.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	曹天杰	中国矿业大学计算机科学与技术学院	56	486	10.0	20.0
2	张震	中国矿业大学计算机科学与技术学院	26	45	4.0	5.0