基于 Android manifest 权限的开放集识别下的恶意软件家族发现

恶意软件是按照其渗透技术、源代码及其他特征分为家族的恶意程序。在为网络威胁构建有效防御系统方面，将恶意软件归类到其对应家族是必不可少的。机器学习模型在移动设备恶意软件检测中发挥着巨大潜力，因为恶意软件家族可以通过对从 Android manifest 文件中提取的权限数据进行分类来识别。然而，恶意软件分类任务因权限数据的高维特性以及训练样本稀缺性而具有挑战性。特别是，新恶意软件家族的不断涌现使得获取覆盖所有恶意软件类别的综合训练集不可能。在本工作中，我们提出一种恶意软件分类系统，能够在对已知恶意软件进行分类的同时检测新出现的恶意软件。具体而言，我们将计算机视觉社区中开发的开放集识别技术——MaxLogit 与一种基于树的 Gradient Boosting 分类器相结合，后者在分类高维数据方面尤为有效。我们的解决方案非常实用，因为它可以无缝地集成到标准的分类工作流程中，同时也很高效，因为仅增加极少的计算开销。在公开和专有数据集上的实验表明，我们的方法具有潜力，已被部署在商业环境中。