刘易，叶凯

（1.四川大学网络空间安全学院，成都610065；2.棕北中学，成都610041）

0 引言

随着Android手机用户大幅增长，移动终端出现大量Android恶意软件。根据2019年Android恶意软件专题报告显示，360安全中心全年截获移动端新增恶意样本为180.9万个，平均每天截获恶意程序样本0.5万个[1]。Android恶意软件通常采用消耗手机资费、窃取手机隐私、远程控制手机等攻击行为，这使得移动智能终端安全受到严重威胁。现有Android恶意软件检测方法能有效识别已知样本，但不能有效检测改造升级后的新版本Android恶意软件，也不利于对新型恶意软件进行溯源。

当前Android恶意软件特征提取技术主要为动态分析和静态分析，通过获取Android应用程序权限、API以及字节码等信息作为特征。William等人[2]提出污点分析系统TaintDroid，用于检测Android应用中敏感数据泄露。通过修改Android虚拟机解释器，TaintDroid实现系统级别污点追踪，发现大量应用存在地理位置、设备ID、电话号码等数据的泄露。Chen等人[3]监控运行状态下API调用，结合半监督机器学习，准确识别恶意软件。动态分析技术能够应对混淆、加壳等问题；需要的特征体量相对较少，无需频繁更新特征。但是动态分析需要在监控下进行真机的运行[4]，耗时、占用过多系统资源特性难以应对大量恶意软件识别。静态分析通过逆向工程分析Android应用信息，这种方式不需要在真机实时运行，能够快速分析大量应用软件。Schmidt等人[5]基于Opcode对恶意样本进行分类，与此类似的有Zhou等人[6]提出了DroidMoss，将Android应用软件的DEX文件反编译为Dalvik字节码，并通过Opcode来计算应用软件的模散列值，结合应用软件的作者信息作为应用软件的“指纹”判定Android应用是否被重打包，以此判定Android应用的恶意性。……