白鸽，钱步仁

（中国石油大学 地球物理与信息工程学院，北京　102249）

基于Dalvik指令的Android应用检测方法

白鸽，钱步仁

（中国石油大学 地球物理与信息工程学院，北京102249）

为提高Android移动平台的安全性，提出一种基于Dalvik指令的静态检测方法，通过分析应用程序的虚拟机代码，找出敏感信息的数据流，包括跟踪敏感信息、函数的调用，从而判断出该应用程序是否有恶意行为。用上述方法建立系统模型来验证其有效性，最终实验结果表明此方法既避免了检测方法的滞后性，又能有效的检测出恶意软件。

Android；行为检测；数据流；Dalvik指令

随着Android用户数量的迅速增长，Android恶意软件的数量也呈喷井式增加，对于移动平台上面临的这种严峻考验，加大移动平台安全研究十分重要。因此，实现实时、准确的检测对减少用户的财产损失和隐私威胁有重要的作用。目前，Android平台下恶意软件的检测方法主要有特征码（Signature-based）检测和行为（Behavior-based）检测两种［1］。为了实现实时性检测必须采用行为检测的方法，因为特征码检测有滞后性，也就是只有用户受到损失一定时间之后，恶意样本才能被发现，而行为检测的优点就是实时性，但由于Java代码混淆等原因造成这种检测方法的检测率较低。为了在实现实时性的前提下来提高检测率，必须解决代码混淆问题。因此，文中提出一种基于Dalvik虚拟机指令的行为检测方法。该检测方法通过反编译来分析Dalvik虚拟机代码，获取敏感信息的数据流，包括跟踪敏感变量，函数和方法的调用等详细情况进行分析研究，最终判断该应用程序是否有恶意行为。……