MaMaDroid：通过构建行为模型的马尔可夫链检测安卓恶意软件
密码学与安全
2017-11-21 v3
摘要
安卓平台的日益普及导致针对它的恶意软件威胁激增。由于安卓恶意软件和操作系统本身都在不断演变，设计出无需修改或昂贵的重新训练即可长期有效运行的鲁棒恶意软件缓解技术极具挑战性。本文提出 MaMaDroid，一个基于应用行为的安卓恶意软件检测系统。MaMaDroid 从应用执行的抽象化 API 调用序列中构建行为模型（马尔可夫链形式），并利用该模型提取特征进行分类。通过将调用抽象到其包或家族，MaMaDroid 保持了对 API 变化的弹性，并使特征集大小可控。我们在历时六年收集的 8.5K 良性应用和 35.5K 恶意应用数据集上评估其准确性，结果表明它不仅有效检测恶意软件（F-measure 高达 99%），而且系统构建的模型能长期保持检测能力（训练后一年和两年，平均 F-measure 分别为 86% 和 75%）。最后，我们与依赖应用 API 调用频率的最新系统 DroidAPIMiner 进行比较，显示 MaMaDroid 显著优于它。
引用
@article{arxiv.1612.04433,
title = {MaMaDroid: Detecting Android Malware by Building Markov Chains of Behavioral Models},
author = {Enrico Mariconti and Lucky Onwuzurike and Panagiotis Andriotis and Emiliano De Cristofaro and Gordon Ross and Gianluca Stringhini},
journal= {arXiv preprint arXiv:1612.04433},
year = {2017}
}
备注
This paper appears in the Proceedings of 24th Network and Distributed System Security Symposium (NDSS 2017). Some experiments have been slightly updated in this version