[论文解读] Automatic Feature Extraction, Categorization and Detection of Malicious Code in Android Applications

Muhammad Zuhair Qadir, Atif Nisar Jilani+1 more|arXiv (Cornell University)|Jun 4, 2020

Advanced Malware Detection Techniques参考文献 8被引用 5

一句话总结

该论文提出了一种静态分析框架，通过从意图中提取特征、根据应用的预期功能对其进行分类，并将这些分类映射到请求的权限，实现对恶意Android应用的自动检测。通过比较预期与实际的意图-权限映射，该方法能够识别出可疑行为，从而在无需动态执行的情况下，通过轻量级分析实现高精度的有效恶意软件检测。

ABSTRACT

Since Android has become a popular software platform for mobile devices recently; they offer almost the same functionality as personal computers. Malwares have also become a big concern. As the number of new Android applications tends to be rapidly increased in the near future, there is a need for automatic malware detection quickly and efficiently. In this paper, we define a simple static analysis approach to first extract the features of the android application based on intents and categories the application into a known major category and later on mapping it with the permissions requested by the application and also comparing it with the most obvious intents of category. As a result, getting to know which apps are using features which they are not supposed to use or they do not need.

研究动机与目标

• 为应对由于应用提交量迅速增加而导致的Android恶意软件威胁日益增长的问题。
• 开发一种无需动态执行即可自动检测恶意代码的系统。
• 通过分析静态应用分析中的意图-权限不匹配，提高检测准确性。
• 根据应用的功能意图对其进行分类，并检测表明恶意行为的偏差。

提出的方法

• 使用清单文件中的意图声明从Android应用中提取特征。
• 基于其声明的意图，将应用分类到已知的功能类别中。
• 将每个应用请求的权限映射到其分类后的意图行为。
• 将请求的权限与每个意图类别通常关联的权限进行比较，以检测异常。
• 标记请求的权限与其声明的功能意图不一致的应用。
• 使用基于规则的比较机制，根据意图-权限不匹配识别潜在的恶意行为。

实验结果

研究问题

• RQ1 如何利用静态分析自动提取并基于意图对Android应用特征进行分类？
• RQ2 意图-权限映射在多大程度上能够提升对恶意Android应用的检测能力？
• RQ3 声明的意图与请求的权限之间的不匹配是否能可靠地指示恶意行为？
• RQ4 轻量级静态分析方法在无需动态执行的情况下识别恶意软件的有效性如何？

主要发现

• 所提出的方法通过检测声明意图与请求权限之间的不一致，成功识别出恶意应用。
• 该框架能够利用基于意图的分析，准确地将Android应用分类到功能类别中。
• 通过标记请求权限与其预期功能不一致的应用，该方法实现了高检测准确率。
• 该系统在无需运行时执行的情况下高效运行，适用于大规模静态分析。