郗 桐金 昊徐根炜周金岭

1(中国科学院信息工程研究所 北京 100089)2(信息安全共性技术国家工程研究中心 北京 100080)(xitong@iie.ac.cn)

随着Android移动智能终端的普及，Android应用市场迅猛发展.但与此同时，Android恶意应用的数量也呈现了爆炸式的增长，给正常的Android应用生态环境造成了巨大的破坏，也给Android终端用户带来了一系列经济损失和信息泄露的风险.工信部中国信息通信研究院发布的《2017年中国手机安全生态报告》显示，2017年上半年，360互联网安全中心共截获Android平台新增恶意程序样本483.9万个，平均每天截获新增恶意应用近2.3万个[1].Sophos等信息安全企业在报告中指出，Android平台恶意应用的数量在过去4年呈现稳步增长的趋势.2013年只有50多万的恶意应用程序，到2015年这一数字已经上升到了大约250万，再到2017年，这个数字已经高达近350万[2].针对Android恶意应用的检测研究关乎个人切身利益甚至国家的信息安全，具有较大的研究意义.

Android恶意应用检测方法大体可以分为2个步骤：第1步从待检测的Android应用程序中提取能够区分良性应用与恶意应用的应用特征；第2步根据第1步提取的特征，对Android应用进行判别分类.根据应用特征的获取方式不同，可以将Android恶意应用检测方法分为动态检测方法和静态检测方法.动态检测是指在Android虚拟机中通过自动化测试工具自动运行Android应用程序，通过观察其执行流程与信息流动路径等信息，判断其是否为恶意应用.动态检测能够较好地应对代码混淆、加密等隐藏恶意行为的方法，但是……