苏 庆，林华智，黄剑锋，林志毅

广东工业大学 计算机学院，广州 510006

2018 年间，360 互联网安全中心记录了大约1.1 亿次恶意安卓应用程序感染[1]，说明网络安全态势存在严重威胁，也使得恶意安卓应用检测成为网络安全的研究热点之一。恶意安卓软件检测技术可分为静态分析技术和动态分析技术两大类[2]。其中动态分析技术是利用沙盒、虚拟机来仿真应用的执行过程，通过实时监控应用执行过程中所产生的行为来判断其是否为恶意软件，此方法必须在程序运行时才能实施检测，耗费资源和时间多。静态分析法不执行程序文件，而是先对程序进行反编译，然后提取特征值进行分析和研究，是一类较为简便的安卓恶意应用判定方法。

近年来，越来越多学者将机器学习或者深度学习方法应用于恶意安卓应用检测。Zhu等人[3]提出通过提取权限、敏感的API 监控系统事件和许可率等关键特性，采用整体旋转森林（rotation forest）构建一个经济有效的安卓应用检测模型，其检测效果优于支持向量机模型，但所选取的特征较少，检测准确率不高。Wang 等人[4]通过提取权限、硬件功能和接收者动作等122 个特征，使用多种机器学习分类器进行训练和测试，并使用随机森林分类器（random forest）获得较高的分类准确率，但由于未提取系统调用函数特征，导致误报率比一般防病毒程序高。Suman 等人[5]提出通过提取权限和API 等特征，使用逻辑回归（logistic regression）构建分类模型，并且通过删除低方差特征来优化特征，获得较好的分类效果。……