李璐

（北京交通大学计算机与信息技术学院，北京 100044）

0 引言

智能手机问世以来逐渐成为人们生活的一部分。2008年Android操作系统发布后迅速占领智能手机操作系统市场，据Gartner统计Android市场占有率目前已是iOS的4倍。相较iOS而言，Android系统的开放性和可移植性使它成为手机恶意软件攻击的众矢之的[1]。

Android恶意软件一般通过重打包、更新包以及偷渡式下载等方式安装在用户手机[2]。恶意软件一旦安装，可能产生的危害包括恶意扣费、隐私窃取、特权提升等[2]，不仅给个人甚至给企业造成严重损失，因此研究有效的Android恶意软件检测方法有非常重要的意义。

本文提出了一种基于CNN处理图（graph）结构的Android恶意软件检测方法。相对于目前基于深度学习的恶意软件检测方法，本文方法有三个优点：（1）整个过程中特征学习和分类同步进行，省略单独的特征工程步骤；（2）与其他检测方法不同，本文模型能够应对不断增长的数据集而实现快速更新；（3）本文方法充分利用CNN的局部感受野和权值共享的特点，相比基于N-gram的检测方法可以大幅减少模型参数数目。

1 检测方法

本文提出的Android恶意软件检测方法基本框架如图1所示：第一步使用Androguard工具得到每个样本的用户函数和系统API之间的调用关系并将其表示为图结构。CNN之所以能处理图像是因为图像的像素点之间存在一定的空间关系，但处理图形关键问题也在于节点序列关系的缺失，并且一个图集合中任意两个图的节点也不完全对应。所以使用CNN处理图形需要解决两个问题：（1）确定需要建立邻接图的节点序列；……