一种Android应用加固方案

Android应用安全问题日益突出,大量Android应用遭受逆向、非法复制及恶意代码注入等攻击。对Android应用安全机制进行研究,在分析静态逆向和动态逆向攻击原理的基础上,提出一种移动应用加固保护方案。方案综合运用加壳、反调试、签名校验及反编译等应用加固技术,对目标应用进行加固;经测试,该加固方案能够很好地对抗常见的静态分析和动态分析等逆向攻击。     

基于Android的无线渗透测试平台的设计

设计了一种基于Android移动设备的无线综合渗透测试方案。针对主流商业Android设备内置Wi-Fi网卡不支持混杂模式和注入模式的问题,提出了外接USB无线网卡并修改编译Android内核以提供驱动程序的方法,解决了渗透测试所需的报文捕获和报文注入。针对Android系统渗透测试工具功能与数量有限的问题,基于CHROOT完成了Kail Linux在Android系统上的直接部署,实现了对Android系统与Kail Linux系统中渗透测试工具的并行应用。该方案不但具有便携性、隐蔽性和高效性,而且还可推广至蓝牙、Zig Bee与GSM等无线网络及以太网络的渗透测试。     

基于静态污点分析的Android应用Intent注入漏洞检测方法

针对Android应用程序组件间通信过程中的消息载体Intent有可能被攻击者构造进而引发组件被恶意注入的安全风险问题,提出了一种基于静态污点分析的检测方法。在构建Android应用的函数调用图和控制流图的基础上,通过跟踪应用组件内和组件间不可信Intent消息的污点传播过程,检测应用中潜在的Intent注入漏洞。用该方法对4类标准测试应用和50款第三方应用进行测试,实验结果表明了该方法的可行性和有效性。     

基于JNI机制与云平台的细粒度Android应用加固方法

Android应用加固是信息安全领域研究的热点之一.针对现有加壳技术以及so文件整体加固方案的不足,融合JNI机制、动态加载技术及云平台理念,提出一种面向Android应用的加固模型,给出了基于JNI机制的函数代码加固方案和基于云平台的加壳解壳方案,形成了一种基于JNI机制与云平台的细粒度Android应用加固方法,从而实现了so文件的细粒度加固,解决了源apk文件易被获取以及解壳程序易被篡改的问题.开发了加固系统原型,验证了基于JNI机制与云平台的细粒度Android应用加固方法的有效性,且加固应用的Dalvik虚拟机工作负担、内存占用量及启动时间并未显著增加.     

浅析Wakelock机制与Android电源管理

从Android电源管理模块的设计角度出发,研究基于Android架构平台的电源管理,如Android移动电话、Android平板电脑。简单介绍Android电源管理,通过Android源代码以及Proximity Sensor Wakelock应用实例分析Android电源管理中的Wakelock机制,以期探究Android电源管理实做理念,并在此基础上寻求更优的电源管理方法。     

基于Android虚拟化框架的隐私保护方案

Android插件，是在Android系统中一个全新的应用级虚拟化技术。这种虚拟化技术已经广泛应用于热门应用的开发，因为宿主系统对于宿主系统中的被多开的应用具有不弱于Root权限的权限，能够方便地、快捷有效地介入应用的运行过程，也能够实时动态检测宿主系统中应用的运行状况。应用级虚拟化框架的引入，打破了Android原有的安全机制，引入了一定威胁，例如特权提升攻击、代码注入攻击、勒索软件攻击、系统服务漏洞和网络钓鱼攻击，恶意应用软件可以利用虚拟化框架的漏洞进行隐私数据的获取。因此，本文针对以上漏洞在虚拟化框架中进行修复，通过本文中的方案，提供了一个比较安全可靠的虚拟化框架供应用在其中运行，并且不会对Android原生系统进行修改，保证用户的隐私数据能够免受恶意APP的窃取。     

基于SMC的Android软件保护研究与实现

随着Android平台的广泛应用,Android平台的软件保护越来越受到重视。由于Android平台普及时间较短,Android软件保护的研究尚处于起步阶段,而且开发人员安全意识不足,导致软件开发者的知识产权受到侵犯的事件屡见不鲜。文章针对Android平台逆向工程技术越来越泛滥的问题,在深入研究Android系统软件保护的基础之上,结合Android平台的软件破解技术,提出一种改进的基于代码自修改(self-modifying code,SMC)的Android软件保护机制。文章参考Windows平台代码自修改技术,通过对Android平台应用运行机制的整合,实现了Android平台的代码自修改。该机制在Android的代码自修改基础之上,采用自校验技术以及双层SMC,实现了对程序完整性的自校验以及在程序运行时对内存关键代码的修改,并通过相关代码的测试,验证该机制能够有效提高Android应用的抗逆向分析和防篡改能力。     

行为特征值序列匹配检测Android恶意应用

针对Android恶意代码的混淆、隐藏、加密情况以及现有方法的检测能力不足问题,提出了一种基于恶意应用行为特征值序列的动态检测方法。首先利用远程注入技术将动态检测的模块注入到Android系统的Zygote进程中,执行内联挂钩来监测应用中的重要函数。然后,通过函数监听得到Android应用的重要行为;进而,按照行为的特征将其量化为特征值,再按照时间顺序将行为特征值排为序列,得到行为特征值序列。通过利用支持向量机来训练5 560个恶意样本,得到恶意应用家族的行为特征值序列;最后利用此序列与被检测应用的序列进行相似度比较,判断应用是否为恶意应用。在恶意应用动态检测方面的正确率可达到95.1%,以及只增加被检测的应用21.9 KB内存。实验结果表明,所提方法能够正常检测经过代码混淆、代码加密、代码隐藏的恶意应用,提高了恶意应用检测的正确率,所占内存空间减少,有效提升检测效果。     

Android系统 Root权限获取与检测

Android是一个基于Linux多用户多进程操作系统,在这个系统中,应用程序（或者系统的部分）会在自己的进程中运行。系统和应用之间的安全性通过Linux的Sandbox（沙盒机制）在进程级别来强制实现的,比如会给应用程序分配user ID和Group ID。在Android系统中Root拥有最高权限,如果成为Root用户就可以实现破解。本文介绍了Android的安全机制和常用的Android获取Root权限的方法,以及如何检测Android是否被Root。     

基于关联分析的Android权限滥用攻击检测系统

为了限制应用软件的行为,Android系统设计了权限机制.然而对于用户授予的权限,Android应用软件却可以不受权限机制的约束,任意使用这些权限,造成潜在的权限滥用攻击.为检测应用是否存在权限滥用行为,提出了一种基于关联分析的检测方法.该方法动态检测应用的敏感行为与用户的操作,并获得两者的关联程度.通过比较待检测应用与良性应用的关联程度的差别,得到检测结果.基于上述方法,设计并实现了一个原型系统DroidDect.实验结果表明,DroidDect可以有效检测出Android应用的权限滥用行为,并具有系统额外开销低等优点.     

代码向量深度学习的恶意Android应用检测方法

目前针对恶意Android应用的静态检测方法大多基于对病毒哈希值的分析与匹配,无法迅速检测出新型恶意Android应用及其变种,为了降低现有静态检测的漏报率,提高对新型恶意应用的检测速度,提出一种通过深度网络融合模型实现的恶意Android应用检测方法。首先提取反编译得到的Android应用核心代码中的静态特征,随后进行代码向量化处理,最后使用深度学习网络进行分类判别。该方法实现了对恶意应用高准确度的识别,经过与现存方法的对比分析,验证了该方法在恶意代码检测中的优越性。     

一种面向图神经网络安卓恶意代码检测的通用解释定位方法

面对不断涌现的安卓恶意应用,虽然大量研究工作采用图神经网络分析代码图实现了准确高效的恶意应用检测,但由于未提供应用内恶意代码的具体位置信息,难以对后续的人工复核工作提供有效帮助.可解释技术的出现为此问题提供了灵活的解决方法,在基于不同类型神经网络及代码特征表示实现的检测模型上展示出了较好的应用前景.本研究聚焦于基于图神经网络的安卓恶意代码检测模型上,使用可解释技术实现安卓恶意代码的准确定位:（1）提出了基于敏感API及多关系图特征的敏感子图提取方法.根据敏感API,控制流逻辑以及函数调用结构三类特征与恶意代码子图分布的关联性,细致刻画恶意代码特征,精简可解释技术关注的代码图规模;（2）提出了基于敏感子图输入的可解释技术定位方法.使用基于扰动原理的可解释技术,在不改变检测模型结构的情况下对代码图边缘进行恶意性评分,为各类基于图神经网络安卓恶意代码检测提供解释定位;（3）设计实验验证敏感子图提取对于与恶意代码特征的刻画效果以及基于敏感子图提取的解释定位效果.实验结果显示,本文的敏感子图提取方法相较于MsDroid固定子图半径的方法更为精确,能够为可解释技术提供高质量的输入;基于此方法改进后得到的可解释技术定位方法相较于GNNExplainer通用解释器及MsDroid定位方法,在保证定位适用性和效率的同时,恶意代码平均定位准确率分别提高了8.8%和2.7%.     

一种基于Native层的Android恶意代码检测机制

Android现有的恶意代码检测机制主要是针对bytecode层代码，这意味着嵌入Native层的恶意代码不能被检测，最新研究表明86%的热门Android应用都包含Native层代码。为了解决该问题，本文提出一种基于Native层的Android恶意代码检测机制，将smali代码和so文件转换为汇编代码，生成控制流图并对其进行优化，通过子图同构方法与恶意软件库进行对比,计算相似度值，并且与给定阈值进行比较，以此来判断待测软件是否包含恶意代码。实验结果表明，跟其他方法相比，该方法可以检测出Native层恶意代码而且具有较高的正确率和检测率。     

基于软件基因的Android恶意软件检测与分类

随着移动互联网的发展,针对Android平台的恶意代码呈现急剧增长。而现有的Android恶意代码分析方法多聚焦于基于特征对恶意代码的检测,缺少统一的系统化的分析方法,且少有对恶意代码分类的研究。基于这种现状,提出了恶意软件基因的概念,以包含功能信息的片段对恶意代码进行分析;基于Android平台软件的特点,通过代码段和资源段分别提取了软件基因,其中代码段基因基于use-def链（使用-定义链）进行形式化。此外,分别提出了基于恶意软件基因的检测框架和分类框架,通过机器学习中的支持向量机对恶意软件基因进行学习,有较高的检测率和分类正确率,其中检测召回率达到了98.37%,验证了恶意软件基因在分析同源性中的作用。     

基于SVM的Android应用程序安全检测综述

当前基于SVM的Android应用程序安全检测技术主要是通过将SVM算法与动静态分析方法相结合,应用于Android应用程序的漏洞和恶意软件的检测中,而恶意软件的检测又可分为恶意行为的检测和恶意代码的检测。故本文按SVM算法应用到的检测领域分类,分别对其应用于Android应用程序中的恶意行为检测、恶意代码检测和漏洞检测方面的研究进行分析与讨论,并总结了当前该领域中仍然存在的一些问题,给出了SVM算法和其应用于Android安全检测中的改进之处,最后对未来的发展进行了展望。     

On Locating Malicious Code in Piggybacked Android Apps

To devise efficient approaches and tools for detecting malicious packages in the Android ecosystem, researchers are increasingly required to have a deep understanding of malware. There is thus a need to provide a framework for dissecting malware and locating malicious program fragments within app code in order to build a comprehensive dataset of malicious samples. Towards addressing this need, we propose in this work a tool-based approach called HookRanker, which provides ranked lists of potentially malicious packages based on the way malware behaviour code is triggered. With experiments on a ground truth of piggybacked apps, we are able to automatically locate the malicious packages from piggybacked Android apps with an accuracy@5 of 83.6% for such packages that are triggered through method invocations and an accuracy@5 of 82.2% for such packages that are triggered independently.     

基于多特征融合的安卓恶意应用程序检测方法

安卓恶意应用程序的检测目前存在着检测速度慢、检测率低等问题,本文针对这些问题提出了一种基于多特征融合的安卓恶意应用程序检测方法。从Android恶意应用的恶意行为特点出发,运用静态分析和动态分析互相结合的方法,提取出权限和组件、函数API调用序列、系统命令、网络请求等多维度特征,对维度较大的特征种类使用信息增益方法进行特征的筛选,取出最有用特征。本文还利用半敏感哈希算法的降维和保持相似度的特性,提出基于Simhash算法的特征融合方法,将原有的大维度的特征降维到相对较小的维度,并解决了特征的不平衡问题。融合后的特征使用GBDT算法和随机森林算法分类,检测恶意样本。实验对比分析得出本文使用的多种特征融合的方法在可以大大降低分类的训练时间,提高检测效率。     

Android恶意软件特征研究

智能手机的广泛应用导致手机恶意软件的数量急速增加,尤其是近几年,基于Android操作系统的手机在智能手机市场占据主导地位,针对Android系统的恶意软件数量快速增加。手机恶意软件主要收集手机用户地理位置、语音通信、短信等个人隐私信息,或进行恶意扣费、耗费系统资源等行为,给用户自身和手机系统带来很大危害。准确分析恶意软件行为特征可以为后续清除恶意软件提供有力依据。传统的恶意软件分析技术主要包括静态分析与动态分析,文中介绍了当前存在的一些手机恶意软件分析检测技术及其缺陷,并从安装、激活、恶意负载三方面对已知Android恶意软件主要行为特征进行详细分析。     

基于图像纹理和卷积神经网络的恶意文件检测方法

在大数据环境下,针对传统恶意文件检测方法对经过代码变种和混淆后的恶意文件检测准确率低以及对跨平台恶意文件检测通用性弱等问题,提出一种基于图像纹理和卷积神经网络的恶意文件检测方法。首先,使用灰度图像生成算法将Android和Windows平台下可执行文件,即.dex和.exe文件,转换成相应的灰度图像;然后,通过卷积神经网络（CNN）算法自动提取这些灰度图像的纹理特征并加以学习训练,从而构建出一个恶意文件检测模型;最后,使用大量未知待检测的文件去验证模型检测准确率的高低。通过对大量的恶意样本进行实验,在Android和Windows平台下,模型检测最高准确率分别达到79.6%和97.6%,平均准确率分别约为79.3%和96.8%;与基于纹理指纹的恶意代码变种检测方法相比,基于图像纹理和卷积神经网络的恶意文件检测方法准确率提高了约20%。实验结果表明,所提方法能够有效避免人工筛选特征带来的问题,大幅提高检测的准确率和效率,成功解决跨平台检测问题,实现了一种端到端的恶意文件检测模型。