LibPass:基于包结构和签名的第三方库检测方法

第三方库检测是Android应用安全分析领域的上游任务,其检测精度对于恶意应用检测、重打包检测、隐私泄露等下游任务有显著影响.为了提升检测精度和效率,采用相似性比较的思想,提出一种基于包结构和签名的第三方库检测方法,命名为LibPass.LibPass以流水线式模式组合主模块识别、第三方库候选识别和细粒度检测等3个组件.主模块识别方法区分主程序二进制代码与引入的第三方库二进制代码,旨在提升方法检测效率.在此基础上,提出由第三方库候选识别和细粒度检测构成的两阶段检测方法.前者利用包结构特征的稳定性来应对应用程序的混淆行为以提升混淆情形下的检测精度,并利用包结构签名完成快速比对以识别候选第三方库,达到显著降低成对比较次数、提升检测效率的目的;后者在前者涮选出的候选中,通过更细粒度但代价更高的相似性分析精确地识别第三方库及其对应的版本.为了验证方法的性能和效率,构建3个评估不同检测能力的基准数据集,在这些基准数据集上开展实验验证,从检测性能、检测效率和抗混淆性等方面对实验结果进行深入分析,结果表明LibPass具备较高的检测精度,检测效率,以及应对多种常用混淆操作的能力.

DriodRC:基于资源和代码的Android应用重打包检测方法

由于Android系统的开放性,应用市场中有着大量的重打包应用程序,对开发者的利益和用户的安全隐私造成了威胁。该文提出一种基于资源和代码的Android应用重打包检测方法,以Android应用程序包(APK)中的资源和代码为分析对象,从资源角度提出了一种基于R文件匹配的粗粒度检测方法,对于可疑的APK对,进一步采用基于代码的细粒度检测方法识别重打包应用。在真实的Android应用数据集上开展试验,结果表明提出的方法的检测准确率达99.58%,优于现有的其他方法,且具有较快的检测速度,适合于大规模应用重打包检测。

基于静态行为特征的细粒度Android恶意软件分类

由于Android系统的开放性,恶意软件通过实施各种恶意行为对Android设备用户构成威胁。针对目前大部分现有工作只研究粗粒度的恶意应用检测,却没有对恶意应用的具体行为类别进行划分的问题,提出了一种基于静态行为特征的细粒度恶意行为分类方法。该方法提取多维度的行为特征,包括API调用、权限、意图和包间依赖关系,并进行了特征优化,而后采用随机森林的方法实现恶意行为分类。在来自于多个应用市场的隶属于73个恶意软件家族的24553个恶意Android应用程序样本上进行了实验,实验结果表明细粒度恶意应用分类的准确率达95.88%,综合性能优于其他对比方法。