基于多类特征的Android应用恶意行为检测系统.pdfVIP

计 .且L 第 37 卷第1 期 机 报 算 气? Vo l. 37 No. 1 2014 年 1 月 CHINESE JOURNAL OF COMPUTERS Jan. 2014 基于多类特征的 Android 应用恶意行为检测系统 杨欢1) 张玉清川胡予潢1)刘奇旭2) 1)( 西安电子科技大学综合业务网理论及关键技术国家重点实验室 西安 71007 1) 2)(中国科学院大学国家计算机网络入侵防范中心 北京 100190) 摘 要 目前针对未知的 Android 恶意应用可以采用数据挖掘算法进行检测，但使用单一数据挖掘算法无法充分 发挥 Android 应用的多类行为特征在恶意代码检测上所起的不同作用.文中首次提出了一种综合考虑 Android 多 类行为特征的三层混合系综算法 THEACTriple Hybrid Ensemble Algorithm) 用于检测 Android 未知恶意应用.首 先，采用动静态结合的方法提取可以反映 Android 应用恶意行为的组件、函数调用以及系统调用类特征;然后，针 对上述 3 类特征设计了三层混合系综算法 THEA，该算法通过构建适合 3 类特征的最优分类器来综合评判 Android 应用的恶意行为;最后，基于 THEA 实现了 Android 应用恶意行为检测工具 Androdect ，并对现实中的 1126 个恶意应用和 2000 个非恶意应用进行检测.实验结果表明，Androdect 能够利用 Android 应用的多类行为特 征有效检测 Android 未知恶意应用.并且与其它相关工作对比，Androdect 在检测准确率和执行效率上表现更优. 关键词 系综算法;Android 应用g 多类特征;恶意代码检测;行为分析;数据挖掘;智能子机;网络行为 中国法分类号 TP393 001 号 10. 3724jSP.J. 1016.2014.00015 A Malware Behavior Detection System of Android Applications Based on Multi-Class Features YANG Huan 1) ZHANG Yu-Qing川 .2) HU Yu-Pu l ) LIU Qi-Xu2) 1) (State Key Laboratory of Integrated Services Networks , Xidian University , Xi an 71007 1) 2) (National Computer Network Intrusion Protection Center. University of Chinese Academy of Sciences. Beijing 100190) Abstract At present , data mining algorithm is always used to detect unknown malicious applica- tions of Android. While single data mmmg algorithm could not play the role of mult