Android平台恶意软件检测系统设计和实现.docVIP

Android平台恶意软件检测系统设计和实现 　　摘 要：基于Android平台，通过提取待测软件特征值与已知恶意软件特征库，使用相似性检测算法计算出恶意软件相似度，从而实现对未知恶意软件的检测。详细给出了Android系统恶意软件的检测系统设计与实现，并进行了恶意软件检测结果测试。 　　关键词：Android；恶意软件；检测系统 　　DOIDOI：10.11907/rjdk.1511032 　　中图分类号：TP319 　　文献标识码：A 文章编号文章编号：1672-7800（2015）012-0104-03 　　0 引言 　　基于Android系统的智能手机已经成为中国智能手机市场的主导，但越来越多的恶意攻击者将利润目标转向Android系统。从首个Android 手机的恶意软件“Android 短信卧底”开始，Android 平台上的安全问题逐渐被关注。艾媒咨询（iiMedia Research）发布的2015Q1中国手机安全市场季度监测报告[1]中称，截至2015第一季度，中国手机安全应用用户规模达4.72亿，相较于2014第一季度，用户规模增长0.65亿。360在2015年1月份发布的2014年中国手机安全状况报告[2]中指出，2012年恶意程序样本只有12.4万；而到了2013年，恶意程序样本数量达到了67.1万；2014年，恶意程序样本数量竟然达到了326万，是2012年的26倍之多，如图1所示。 　　图1 2012-2014Android平台恶意软件数量 　　本文基于Android平台，通过提取待测软件特征值与已知恶意软件特征库，使用相似性检测算法计算出恶意软件相似度，从而实现对未知恶意软件的检测。文中详细给出了Android系统恶意软件的检测系统设计与实现，并进行恶意软件检测结果测试。 　　1 Android平台结构 　　Android是谷歌公司推出的完全免费和开放性的智能手机操作系统，是一种专门为移动电话、平板电脑等设计的操作系统。其内核精简、运行速率快并且成熟稳定。根据功能特点，其系统架构分为4层，从上到下分别是：应用程序、应用程序框架、中间件、Linux内核，如图2所示。 　　图2 Android系统整体构架 　　（1） Linux内核（Linux Kernel）。Android平台运行在Linux2.6上，相当于Linux内核部分手机软件层和硬件层之间的一个抽象层。Android内核提供显示驱动、摄像头驱动、存储驱动器、键盘驱动、Wi-Fi驱动、音频驱动和电源管理等功能。 　　（2） 中间件（Middleware）。中间件包括两部分：核心库（Libraries）和Android运行环境（Android Runtime）。其中，核心库包含了一些C/C++库，被系统中不同的组件使用，同时提供了最核心的功能管理。显示系统管理（Surface Manager）负责在手机屏幕上显示图像信息。媒体框架（Media Framework）负责控制多媒体文件，包括多种音频、视频和静态图片文件。SQLite数据库提供了一个轻量级的关系型数据库。WebKit为嵌入式Web浏览器引擎。此外，还有很多其它库，各自发挥作用，保证了Android中核心功能能够得到完美实现。基本运行环境由Dalvik Java虚拟机和基础的Java类库组成。 　　（3） 应用程序框架（Applicantion Framework）。Applicantion Framework提供与Android系统开发人员直接相关的程序开发人员的接口。Activity管理器（Activity Manager）的作用是处理应用程序各个Activity的生命周期并提供常用的导航回退功能。内容提供者（Content Provider）使得应用程序可以访问另一个应用程序的数据（如联系人数据库）或者共享它们自己的数据库。视图系统（View System）用于建立应用程序视图，如本地字符串、图片或布局文件等。信息管理器（Notification Manager）负责在状态栏中显示各个应用程序的提示信息。 　　（4） 应用程序（Application）。Android系统将一些核心的常用应用程序安装在系统中，包括联系人、浏览器、电话、Home视图等。这些应用程序和用户自己编写的应用程序是完全平行的，都是用Java语言编写的。并且用户还能够根据自己的需要更换系统自带的应用程序，或者增添自己的应用程序。 　　2 Android恶意软件检测系统设计与实现 　　2.1 系统整体构架 　　本系统分为用户端和服务器端。用户端监听待测程序，提取待测程序特征值，发送检测请求与待测程序信息到服务器端，最后接收服务器端反馈的监测信息，并按照用户要求处理检测出的