基于深度神经网络的Android恶意软件检测方法

doi:10.11959/j.issn.2096-109x.2020060

网络与信息安全学报 ›› 2020, Vol. 6 ›› Issue (5): 67-79.doi: 10.11959/j.issn.2096-109x.2020060

基于深度神经网络的Android恶意软件检测方法

超凡¹,杨智¹(),杜学绘¹,孙彦²

¹ 信息工程大学密码工程学院，河南郑州 450001
² 中国电子技术标准化研究院，北京 100007

修回日期:2020-02-03 出版日期:2020-10-15 发布日期:2020-10-19
作者简介:超凡（1995- ），女，江苏启东人，信息工程大学硕士生，主要研究方向为信息安全、代码信息流分析|杨智（1975- ），男，河南开封人，博士，信息工程大学副教授，主要研究方向为操作系统安全、云计算安全|杜学绘（1968- ），女，河南新乡人，博士，信息工程大学教授、博士生导师，主要研究方向为空间信息网络、云计算安全|孙彦（1986- ），男，江苏南京人，博士，中国电子技术标准化研究院工程师，主要研究方向为数据安全、信息安全国际标准化、网络产品和服务安全
基金资助:
国家重点研发计划(2018YFB0803603);国家自然科学基金(61972040);国家自然科学基金(61802436)

Android malware detection method based on deep neural network

Fan CHAO¹,Zhi YANG¹(),Xuehui DU¹,Yan SUN²

¹ College of Cryptogram Engineering,Information Engineering University,Zhengzhou 450001,China
² China Electronics Standardization Institute,Beijing 100007,China

Revised:2020-02-03 Online:2020-10-15 Published:2020-10-19
Supported by:
The National Key R＆D Program of China(2018YFB0803603);The National Natural Science Foundation of China(61972040);The National Natural Science Foundation of China(61802436)

摘要/Abstract

摘要：

Android 系统正日益面临着恶意软件的攻击威胁。针对支持向量机等传统机器学习方法难以有效进行大样本多分类的恶意软件检测，提出一种基于深度神经网络的Android恶意软件检测与家族分类方法。该方法在全面提取应用组件、Intent Filter、权限、数据流等特征基础上，进行有效的特征选择以降低维度，基于深度神经网络进行面向恶意软件的大样本多分类检测。实验结果表明，该方法能够进行有效检测和分类，良性、恶意二分类精度为 97.73%，家族多分类精度可达到 93.54%，比其他机器学习算法有更好的分类效果。

关键词: 安卓, 恶意软件检测, 静态分析, 特征选择, 深度神经网络

Abstract:

Android is increasingly facing the threat of malware attacks.It is difficult to effectively detect large-sample and multi-class malware for traditional machine learning methods such as support vector machine,method for Android malware detection and family classification based on deep neural network was proposed.Based on the comprehensive extraction of application components,Intent Filter,permissions,and data flow,the method performed an effective feature selection to reduce dimensions,and conducted a large-sample detection and multi-class classification for malware based on deep neural network.The experimental results show that the method can conduct an effective detection and classification.The accuracy of binary classification between benign and malicious Apps is 97.73%,and the accuracy of family multi-class classification can reach 93.54%,which is higher than other machine learning algorithms.

Key words: Android, malware detection, static analysis, feature selection, deep neural network

中图分类号:

TP309.5

超凡,杨智,杜学绘,孙彦. 基于深度神经网络的Android恶意软件检测方法[J]. 网络与信息安全学报, 2020, 6(5): 67-79.

Fan CHAO,Zhi YANG,Xuehui DU,Yan SUN. Android malware detection method based on deep neural network[J]. Chinese Journal of Network and Information Security, 2020, 6(5): 67-79.

图/表 6

表1

图1

图2

表2

表3

表4

参考文献 26

[1]	ARP D , SPREITZENBARTH M , HUBNER M ,et al. Drebin:efficient and explainable detection of Android malware in your pocket[C]// The 19th Annual Network and Distributed System Security Symposium (NDSS). 2014: 1-12.
[2]	AVDIIENKO V , KUZNETSOV K , GORLA A ,et al. Mining APPs for abnormal usage of sensitive data[C]// The 37th International Conference on Software Engineering (ICSE). 2015: 426-436.
[3]	XU K , LI Y , DENG R H . ICCDetector:ICC-based malware detection on Android[J]. IEEE Transactions on Information Forensics and Security, 2016,11(6): 1252-1264.
[4]	DAHL G E , STOKES J W , DENG L ,et al. Large-scale malware classification using random projections and neural networks[C]// The 38th International Conference on Acoustics,Speech and Signal Processing. 2013: 3422-3426.
[5]	HUANG W Y , STOKES J W . MtNet:a multi-task neural network for dynamic malware classification[C]// The 5th International Conference on Detection of Intrusions and Malware,and Vulnerability Assessment. 2016: 399-418.
[6]	TOBIYAMA S , YAMAGUCHI Y , SHIMADA H ,et al. Malware detection with deep neural network using process behavior[C]// IEEE 40th Annual Conference on Computer Software and Applications. 2016: 577-582.
[7]	李璐 . 基于函数调用图的Android恶意软件检测[J]. 现代计算机(专业版), 2018(12): 28-33.
	LI L . Android malware detection based on function call graph[J]. Modern Computer, 2018(12): 28-33.
[8]	NIX R , ZHANG J . Classification of Android APPs and malware using deep neural networks[C]// The 17th International Joint Conference on Neural Networks. 2017: 1871-1878.
[9]	MCLAUGHLIN N , RINCON J M , KANG B J ,et al. Deep Android malware detection[C]// The 7th ACM on Conference on Data and Application Security and Privacy (CODASPY). 2017: 301-308.
[10]	杨宏宇, 那玉琢 . 一种Android恶意软件检测模型[J]. 西安电子科技大学学报, 2019,46(3): 45-51.
	YANG H Y , NA Y Z . Android malware detection model[J]. Journal of Xidian University, 2019,46(3): 45-51.
[11]	欧阳立, 芦天亮 . 基于深度置信网络的 Android 恶意软件检测[J]. 信息技术与网络安全, 2019,38(5): 22-27.
	OUYANG L , LU T L . Android malware detection using deep belief network[J]. Journal of Information Technology and Network Security, 2019,38(5): 22-27.
[12]	吴招娣, 徐洋, 谢晓尧 . 基于AE-DBN的Android恶意软件检测[J]. 贵州师范大学学报(自然科学版), 2019,37(3): 96-101.
	WU Z D , XU Y , XIE X Y . Android malware detection based on AE-DBN[J]. Journal of Guizhou Normal University (Natural Sciences), 2019,37(3): 96-101.
[13]	石兴华, 曹金璇, 芦天亮 . 基于深度森林的安卓恶意软件行为分析与检测[J]. 软件, 2019,40(10): 1-5,72.
	SHI X H , CAO J X , LU T L . Analysis and detection of Android malware based on Gcforest[J]. Computer Engineering ＆ Software, 2019,40(10): 1-5,72.
[14]	YUAN Z L , LU Y Q , WANG Z G ,et al. Droid-Sec:deep learning in Android malware detection[J]. ACM SIGCOMM Computer Communication Review, 2014,44(4): 371-372.
[15]	YUAN Z L , LU Y Q , XUE Y B . DroidDetector:Android malware characterization and detection using deep learning[J]. Tsinghua Science and Technology, 2016,21(1): 114-123.
[16]	苏志达, 祝跃飞, 刘龙 . 基于深度学习的安卓恶意应用检测[J]. 计算机应用, 2017,37(6): 1650-1656.
	SU Z D , ZHU Y F , LIU L . Android malware application detection using deep learning[J]. Journal of Computer Applications, 2017,37(6): 1650-1656.
[17]	XU L F , ZHANG D P , JAYASENA N ,et al. HADM:hybrid analysis for detection of malware[C]// The 3rd SAI Intelligent Systems Conference. 2016: 702-724.
[18]	王涛, 李剑 . 基于深度学习的Android恶意软件检测系统的设计和实现[J]. 信息安全研究, 2018,4(2): 140-144.
	WANG T , LI J . Design and implementation of Android malware detection system based on deep learning[J]. Journal of Information Security Research, 2018,4(2): 140-144.
[19]	周明, 孙树栋 . 遗传算法原理及应用[M]. 北京: 国防工业出版社, 1999.
	ZHOU M , SUN S D . Genetic algorithm theory and applications[M]. Beijing: National Defense Industry PressPress, 1999.
[20]	ARZT S , RASTHOFER S , FRITZ C ,et al. FlowDroid:precise context,flow,field,object-sensitive and lifecycle-aware taint analysis for Android APPs[C]// The 35th ACM SIGPLAN Conference on Programming Language Design and Implementation (PLDI). 2014: 259-269.
[21]	RASTHOFER S , ARZT S , BODDEN E . A machine-learning approach for classifying and categorizing Android sources and sinks[C]// The 19th Annual Network and Distributed System Security Symposium (NDSS). 2014(42): 1-15.
[22]	DESNOS A . Androguard documentation,release 3.3.5[R]. 2019.
[23]	黄文坚, 唐源 . TensorFlow 实战[M]. 北京：电子工业出版社, 2017.
	HUANG W J , TANG Y . TensorFlow practice[M]. Beijing: Electronic Industry PressPress, 2017.
[24]	ZHOU Y J , JIANG X X . Dissecting Android malware:characterization and evolution[C]// The 33rd IEEE Symposium on Security and Privacy (Oakland). 2012: 95-109.
[25]	Google Groups. VirusTotal[EB].
[26]	周志华 . 机器学习[M]. 北京: 清华大学出版社, 2016.
	ZHOU Z H . Machine learning[M]. Beijing: Tsinghua University PressPress, 2016.

特征类别	特征格式
应用组件	Activity组件数占应用中总组件数的比重
	Activity组件名（无前缀、含Intent Filter信息）
	Service组件数占应用中总组件数的比重
	Service组件名（无前缀、含Intent Filter信息）
	Broadcast Receiver组件数占应用中总组件数的比重
	Broadcast Receiver组件名（无前缀、含Intent Filter信息）
	Content Provider组件数占应用中总组件数的比重Content Provider组件名（无前缀）
Intent Filter	Activity 组件中声明的 action 属性（系统定义、自定义）
	Activity 组件中声明的 category 属性（系统定义、自定义）
	Service组件中声明的action属性（系统定义、自定义） Service组件中声明的category属性（系统定义、自定义）
	Broadcast Receiver组件中声明的action属性（系统定义、自定义）
	Broadcast Receiver组件中声明的category属性（系统定义、自定义）
权限	申请且以API形式使用的权限及其API使用点
	申请且未以API形式使用的权限（系统定义、自定义）未申请且以API形式使用的权限及其API使用点
数据流	FlowDroid输出的source-sink对（方法签名形式）

算法	查准率	查全率	F1值	精度
DNN	97.40%	97.94%	97.67%	97.73%
SVM	92.49%	93.89%	93.18%	93.35%
CNN	94.63%	95.16%	94.89%	95.04%
DBN	96.55%	97.86%	97.20%	97.27%

算法	宏查准率	宏查全率	宏F1值	精度	耗时/s
DNN	62.27%	62.36%	62.31%	93.54%	22.05
SVM	46.76%	49.58%	48.13%	88.62%	27.81
CNN	58.91%	59.73%	59.32%	91.96%	23.46
DBN	57.65%	58.53%	58.09%	92.12%	21.6

基于深度神经网络的Android恶意软件检测方法

Android malware detection method based on deep neural network

在线阅读

pdf下载

可视化

摘要/Abstract

引用本文

使用本文

图/表 6

参考文献 26

相关文章 15

Metrics

推荐阅读 0

特征类别	原始特征数量	新特征数量
应用组件	17 879	72
Intent Filter	2 146	21
权限	2 845	30
数据流	1 292	77
总和	24 162	200

[1]	易聪, 胡军. 新的基于鼠标行为的持续身份认证方法[J]. 网络与信息安全学报, 2022, 8(5): 179-188.
[2]	陈浩, 王锋, 张卫明, 俞能海. 载体独立的深度光照水印算法[J]. 网络与信息安全学报, 2022, 8(4): 110-118.
[3]	袁占慧, 杨智, 张红旗, 金舒原, 杜学绘. 基于通信顺序进程的Android程序复杂信息流分析方法[J]. 网络与信息安全学报, 2021, 7(5): 156-168.
[4]	超凡, 杨智, 杜学绘, 韩冰. 基于多因素聚类选择的Android应用程序分类风险评估方法[J]. 网络与信息安全学报, 2021, 7(2): 161-173.
[5]	张鑫,羌卫中,吴月明,邹德清,金海. 基于卷积神经网络恶意安卓应用行为模式挖掘[J]. 网络与信息安全学报, 2020, 6(6): 35-44.
[6]	周天昱,申文博,杨男子,李金库,秦承刚,喻望. Docker组件间标准输入输出复制的DoS攻击分析[J]. 网络与信息安全学报, 2020, 6(6): 45-56.
[7]	付溪,李晖,赵兴文. 网络钓鱼识别研究综述[J]. 网络与信息安全学报, 2020, 6(5): 1-10.
[8]	尹小康,刘鎏,刘龙,刘胜利. PPC和MIPS指令集下二进制代码中函数参数个数的识别方法[J]. 网络与信息安全学报, 2020, 6(4): 95-103.
[9]	毕仁万,陈前昕,熊金波,刘西蒙. 面向深度神经网络的安全计算协议设计方法[J]. 网络与信息安全学报, 2020, 6(4): 130-139.
[10]	严飞,张铭伦,张立强. 基于边界值不变量的对抗样本检测方法[J]. 网络与信息安全学报, 2020, 6(1): 38-45.
[11]	肖辉,翁彬,黄添强,普菡,黄则辉. 融合多特征的视频帧间篡改检测算法[J]. 网络与信息安全学报, 2020, 6(1): 84-93.
[12]	张斌,李立勋,董书琴. 基于改进SOINN算法的恶意软件增量检测方法[J]. 网络与信息安全学报, 2019, 5(6): 21-30.
[13]	于游, 付钰, 吴晓平. 中文文本分类方法综述[J]. 网络与信息安全学报, 2019, 5(5): 1-8.
[14]	张东,张尧,刘刚,宋桂香. 基于机器学习算法的主机恶意代码检测技术研究[J]. 网络与信息安全学报, 2017, 3(7): 25-32.
[15]	孙博文,黄炎裔,温俏琨,田斌,吴鹏,李祺. 基于静态多特征融合的恶意软件分类方法[J]. 网络与信息安全学报, 2017, 3(11): 68-76.