基于谷歌距离的安卓恶意软件特征提取方法 - 计算机应用与软件.pdf

第３３卷第１２期　　　 计算机应用与软件 Ｖｏｌ３３Ｎｏ．１２ ２０１６年１２月　　 ＣｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓａｎｄＳｏｆｔｗａｒｅ Ｄｅｃ．２０１６ 基于谷歌距离的安卓恶意软件特征提取方法 杨春雷　孙军梅 （杭州师范大学杭州国际工程服务学院　浙江杭州３１１１２１） 摘　要　　针对传统特征码基于程序二进制文本的提取方法，提出一种对于安卓应用程序Ｊａｖａ源码进行特征提取的方法。该方法 通过使用谷歌距离计算源码中关键词如ＡＰＩ调用、安卓权限和常用参数之间的相关度，挖掘安卓恶意软件源码中常用的关键词，将 其按照相似度分类。然后与正常软件中的关键词进行对比实验，得到安卓恶意软件的特征。该方法打破了以往依靠文本上下文环 境记录病毒特征的常规方法，结合整个病毒软件操作环境形成特征库，记录下病毒的行为作为特征。实验证明，该方法是行之有 效的。 关键词　　恶意软件　谷歌距离　安卓　源码扫描 中图分类号　ＴＰ３　　　　文献标识码　Ａ　　　　ＤＯＩ：１０．３９６９／ｊ．ｉｓｓｎ．１０００３８６ｘ．２０１６．１２．０７７ ＥＸＴＲＡＣＴＩＯＮＭＥＴＨＯＤＯＦＡＮＤＲＩＯＤＭＡＬＷＡＲＥ ＣＨＡＲＡＣＴＥＲＩＳＴＩＣＳＢＡＳＥＤＯＮＧＯＯＧＬＥＤＩＳＴＡＮＣＥ ＹａｎｇＣｈｕｎｌｅｉ　ＳｕｎＪｕｎｍｅｉ （ＨａｎｇｚｈｏｕＩｎｓｔｉｔｕｔｅｏｆＳｅｒｖｉｃｅＥｎｇｉｎｅｅｒｉｎｇ，ＨａｎｇｚｈｏｕＮｏｒｍａｌＵｎｉｖｅｒｓｉｔｙ，Ｈａｎｇｚｈｏｕ３１１１２１，Ｚｈｅｊｉａｎｇ，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ　　Ｉｎｖｉｅｗｏｆｔｈｅｔｒａｄｉｔｉｏｎａｌｆｅａｔｕｒｅｅｘｔｒａｃｔｉｏｎｍｅｔｈｏｄｂａｓｅｄｏｎｂｉｎａｒｙｐｒｏｇｒａｍ，ａｍｅｔｈｏｄｆｏｒｆｅａｔｕｒｅｅｘｔｒａｃｔｉｏｎｏｆＪａｖａｓｏｕｒｃｅｃｏｄｅ ｉｓｐｕｔｆｏｒｗａｒｄ．ＴｈｅｍｅｔｈｏｄｕｓｅｓｔｈｅＧｏｏｇｌｅｄｉｓｔａｎｃｅｔｏｃｏｍｐｕｔｅｔｈｅｃｏｒｒｅｌａｔｉｏｎｂｅｔｗｅｅｎｋｅｙｃｏｄｅｓｓｕｃｈａｓＡＰＩｃａｌｌｓ，Ａｎｄｒｏｉｄｐｅｒｍｉｓｓｉｏｎｓａｎｄ ｔｈｅｃｏｍｍｏｎｐａｒａｍｅｔｅｒｓ，ａｎｄｍｉｎｅｓｔｈｅｃｏｍｍｏｎｋｅｙｗｏｒｄｓｉｎＡｎｄｒｏｉｄｍａｌｗａｒｅｓｏｕｒｃｅｃｏｄｅ．ＴｈｅｎｔｈｅｆｅａｔｕｒｅｏｆＡｎｄｒｏｉｄｍａｌｗａｒｅｉｓｌｅａｒｎｅｄｂｙ ｃｌａｓｓｉｆｙｉｎｇｔｈｅｍａｃｃｏｒｄｉｎｇｔｏｔｈｅｉｒｓｉｍｉｌａｒｉｔｙａｎｄｃｏｍｐａｒｉｎｇｔｈｅｅｘｐｅｒｉｍｅｎｔａｌｒｅｓｕｌｔｓｗｉｔｈｔｈｅｎｏｒｍａｌｓｏｆｔｗａｒｅ．Ｔｈｉｓｍｅｔｈｏｄｂｒｅａｋｓｔｈｅｃｏｎｖｅｎ ｔｉｏｎａｌｍｅｔｈｏｄ，ｗｈｉｃｈｉｓｂａｓｅｄｏｎｔｈｅｃｏｎｔｅｘｔｏｆｔｈｅｔｅｘｔ，ａｎｄｃｏｍｂｉｎｅｓｔｈｅｃｈａｒａｃｔｅｒｉｓｔｉｃｓｏｆｔｈｅｗｈｏｌｅｖｉｒｕｓｓｏｆｔｗａｒｅｏｐｅｒａｔｉｎｇｅｎｖｉｒｏｎｍｅｎｔｔｏ ｒｅｃｏｒｄｔｈｅｂｅｈａｖｉｏｒｏｆｔｈｅｖｉｒｕｓ．Ｅｘｐｅｒｉｍｅｎｔｓｓｈｏｗｔｈａｔｔｈｅｍｅｔｈｏｄｉｓｅｆｆｅｃｔｉｖｅ． Ｋｅｙｗｏｒｄｓ　　Ｍａｌｗａｒｅ　Ｇｏｏｇｌｅｄｉｓｔａｎｃｅ　Ａｎｄｒｏｉｄ　Ｓｏｕｒｃｅｃｏｄｅｓｃａｎｎｉｎｇ ０　引　言 １　相关工作 随着移动通信技术的发展，移动终端的功能也越来越多，除 对于移动恶意软件的检测策略主要有两种：静态分析和动 了打电话和发短信之外，还可以具备钱包、银行卡的功能。相较 态分析。在动态分析中，受测软件在一个可以分析软件行为的 于快速发展的移动通信技术，移动终端的恶意代码检测和信息 受控环境下操作，通过行为分析来判断软件性质。最新的 安全防护技术仍不够成熟。特别是Ａｎｄｒｏｉｄ系统由于其开源的 Ｄｒｏｉｄｄｏｌｐｈｉｎ系统能在应用程序运行时收集行为，如网络的进出 属性，市场上针对开源代码定制的