一种基于行为的Android恶意软件家族聚类方法

一种基于行为的Android恶意软件家族聚类方法 A Behavior-Based Family Clustering Method for Android Malwares 1 first-author 肖云倡，男，硕士生，主要从事移动终端安全、恶意代码方面的研究. E-mail:jerryfound@qq.com 肖云倡，男，硕士生，主要从事移动终端安全、恶意代码方面的研究. E-mail: jerryfound@qq.com jerryfound@qq.com 2 1 corresp E-mail:guojpeng@whu.edu.cn E-mail:guojpeng@whu.edu.cn guojpeng@whu.edu.cn 1 3 武汉大学 计算机学院，湖北 武汉 430072 武汉大学 计算机学院，湖北 武汉 430072 School of Computer, Wuhan University, Wuhan 430072, Hubei, China School of Computer, Wuhan University, Wuhan 430072, Hubei, China 猎豹移动公司，北京 100123 猎豹移动公司，北京 100123 Cheetah Mobile Company, Beijing 100123, China Cheetah Mobile Company, Beijing 100123, China 武汉大学 空天信息安全与可信计算教育部重点实验室，湖北 武汉 430072 武汉大学 空天信息安全与可信计算教育部重点实验室，湖北 武汉 430072 Key Laboratory of Aerospace Information Security and Trusted Computing, Wuhan University, Wuhan 430072, Hubei, China Key Laboratory of Aerospace Information Security and Trusted Computing, Wuhan University, Wuhan 430072, Hubei, China 基于同一家族恶意软件在行为上的相似性特征，提出了一种基于行为的Android恶意软件家族聚类方法.该方法构建了软件行为刻画特征集合，通过定制ROM的方式来构建行为捕获机制并采集恶意软件的行为日志，基于行为日志提炼恶意软件特征集，使用DBSCAN(density-based spatial clustering of applications with noise)聚类算法进行家族聚类.通过对大量已经人工分类的恶意软件进行评估，实验结果表明，在最优情况下，本方法在聚类准确率上达到了91.3%，在测试样本识别预测上正确率达到了82.3%. n this paper, we propose a behavior-based malware cluster method inspired by the characteristic that Android malwares in a same family behave similarly to speed up the procedure of malware detection and analysis. With a good understanding of Android malware, it defines features for characterizing malware behavior, and extracts them from a customized Android ROM while malware running. With these collected feature data, DBSCAN algorithm is employed to cluster malwares into various families. The evaluation results shows that the accuracy rate of malware clustering can reach 91.3% at best, and the correct prediction rate is 82.3% for evaluated samples. Android 恶意软件 基于行为的分析 家族聚类 DBSCAN Android malware behavior-based analysis family clustering density-based spatial clustering of applications with noise (DBSCAN) 引 言 1 近年来，移动互联网高速发展，智能终端设备已成为人们生活、工作的重要部分.Android系统以其良好的开放性和灵活的生态系统成为最流行的移动平台 [ 1 1 ] ，Android系统的广泛使用导致其恶意程序急剧增加.据卡巴斯基统计 [ 2 2 ] ，从2004年到2013年，卡巴斯基检测到了近20万个恶意移动代码的样本，而在2014年和2015年，这个数据分别是29万和88万.根据手机拥有用户众多隐私数据这一特点，Android上恶意应用主要通过恶意扣费、隐私窃取、诱骗欺诈等方式实施恶意行为，对用户的隐私和经济利益构成了严重威胁. 面对海量的不断新发现的恶意样本，安全公司和研究人员很难快速、高效的逐个进行详细分析，确定威胁；而恶意软件家族分类则提供了一个对样本进行系统性管理的方法.安全公司根据新恶意样本的功能等特征，进行家族分类和命名，进而基于已有的样本家族信息可初步确定其恶意功能、攻击目的或攻击来源等，最后根据需要可再进行进一步的详细分析.在对批量样本进行家族分类和识别时，目前传统方法主要采用手工方式进行，费时费力.在手工分析过程中主要通过静态分析来提取样本特征，如资源和反汇编代码特征；但基于静态分析的家族分类方法，难以应对大量的经过加固或代码混淆、加密的恶意样本，同时静态分析难以获取恶意样本真实的恶意功能目的，最终使得样本家族分类结果产生错误. 此外，由于Android恶意应用的快速演变和攻击目的的复杂多变，家族类别也在不断增加，这就需要寻找合适的聚类算法以不断发现新的恶意样本类别. 针对这些情况，本论文使用基于行为的动态分析方法对恶意软件进行分析.利用动态分析过程中提取的恶意软件行为信息，使用DBSCAN [ 3 3 ] (Density-Based Spatial Clustering of Applications with Noise)算法对恶意软件进行聚类，得到的聚类结果可用于预测新样本的家族归属，从而帮助反病毒公司对大量新增的恶意样本进行快速、准确的分类，发现新威胁. 研究现状 1 基于行为特征，利用机器学习算法进行恶意软件恶意性判定、分类等相关研究中，Aafer等人 [ 4 4 ] 通过静态分析后提取Android应用程序的API调用信息作为特征，然后使用KNN(K-Nearest Neighbor Classification)、SVM(Support Vector Machine)等算法进行恶意软件的判定，发现使用KNN算法具有较高的检测率与准确性.Burguera等人 [ 5 5 ] 开发的Crowdroid通过动态分析Android应用，监控文件访问、短信发送、网络通信等行为，然后使用机器学习算法对恶意程序进行识别.DREBIN [ 6 6 ] 使用Android权限与敏感API两方面相结合的方式作为恶意应用特征，使用SVM算法进行训练，从而进行恶意应用判定.但恶意性判定只能判定软件是否为恶意软件，而无助于对恶意软件家族名的预测. 随着样本的不断增加，恶意软件家族的类别也在不断增加，由于机器学习上的分类工作需要人为指定类别数量，因而家族类别不断增加的恶意样本难以使用分类算法进行分类，而聚类则因为可以不需要指定类别而可以较好的解决这一问题. 在Android系统中，基于聚类的研究则相对偏少.目前已有的聚类工作主要是将Android应用软件分为不同的类别从而方便归纳Sanz等人 [ 7 7 ] 以Android应用软件中出现的字符串、应用权限等作为特征，分别使用KNN、决策树等算法将样本划分为通讯类、工具类、多媒体类等6个类别；Samra等人 [ 8 8 ] 则使用WEKA软件中的K-means算法，以应用软件信息、应用软件权限等作为特征将商业类和工具类的样本划分为2个类别，通过观察分类结果与原有分类的区别得出聚类算法的可行性.Aung等人 [ 9 9 ] 提出了基于权限的Android恶意应用判定方法，但他们使用K-means这种聚类算法来进行判定应用是正常应用还是恶意应用.但Android权限的滥用情况 [ 10 10 ] 使得正常软件的权限可以比肩恶意软件，并且K-means算法需要规定类别数量.Aresu等人 [ 11 11 ] 同样也运用聚类算法比较Botnet型恶意软件与正常的区别，发现在HTTP协议上的数据包的特征可以用于区分正常软件和Botnet类型的恶意软件.他们同时也关注了Botnet型恶意软件的分类质量，发现同种家族的样本在HTTP流量上表现的特征存在相似性.DroidMat [ 12 12 ] 则通过静态分析提取出应用软件调用权限、API调用等信息，然后使用奇异值分解矩阵来预估样本分类的簇数量，根据簇的数量分别使用K-means算法和EM算法进行聚类.但DroidMat中用于测试的恶意样本为34个家族的238个样本，其样本数量偏少，并且文章中并没有表明其分类结果，无法直观表明分类的有效性.随着恶意样本的不断增加，样本的人工家族分类工作的出错情况也会随之增加并且不可估计，预估样本簇数量从而使用聚类算法的方式不一定适用于这种情况. 方案设计 1 方案依据 2 恶意软件的命名方案主要使用CARO命名方案 [ 13 13 ] ，该方案在制定时就指明恶意软件应根据代码相似度按家族分类.除此之外，文献 [ 14 14 , 15 15 ] 等研究均表明了同种家族样本相对于不同家族样本具有较高的相似性.因而同一家族的恶意应用实现的功能存在很高的相似度.根据这一推论，本论文首先使用行为监控采集样本运行日志，从中提取恶意应用行为特征，然后使用聚类算法进行聚类. 总体设计 2 基于行为日志的Android恶意应用家族聚类框架由行为监控和家族分类两部分构成，其框架如 图 1 图 1 所示. 在行为监控中，Android恶意应用运行在定制的ROM中，通过模拟用户点击行为和广播事件尽可能触发恶意软件的行为，从而生成恶意软件的行为日志. 在家族分类中，通过行为日志提取出恶意软件的行为特征，然后使用DBSCAN算法对其进行聚类计算，得到的分类结果可用于新样本的家族归属预测. 行为监控 2 ROM定制 3 对Android应用程序进行动态分析时，常见的方法主要有Smali修改和ROM定制.Smali修改对程序进行反汇编操作生成Smali代码，然后在其中添加监控代码后重新编译成APK文件，将其运行在ROM中得到相应的日志.Smali修改需要对每一个文件进行修改，并且部分恶意应用会使用反Smali修改的手段导致修改后的APK文件不能正常运行.相较于Smali修改，ROM定制只需要一次性修改Android系统源码后编译成系统镜像.将恶意应用运行在定制ROM中，ROM中监控代码一旦触发就可执行，不需要对恶意应用进行任何修改，适用性更为广泛. 为了执行恶意功能，恶意应用需要在代码中调用Android系统上相关的API函数.因而一个恶意应用的功能可以从它调用的API函数及其上下文环境来体现. 为了获取API函数调用及其上下文环境，在ROM定制中，我们对需要监控的API函数的实现代码内部中添加了监控模块.当恶意应用在定制ROM中运行时，一旦恶意应用调用了这些API函数，监控代码就会将该函数的名称及其上下文环境输出到日志中. Android系统中存在成千上万种API函数，其中有些API函数由于涉及到系统资源或用户隐私而具有较高的风险，这些函数也往往是绝大多数恶意应用会调用的API函数.为了筛选出这类API函数时，可使用两种策略来进行选择.一方面，通过对恶意应用样本的逆向分析，统计出恶意应用样本的API函数使用频率，从而选择恶意应用中常见的敏感API函数.另一方面，考虑到一些恶意操作不是每个恶意应用都会执行，因而通过人工分析，从Android文档的API函数列表中手动选择被认为涉及敏感操作的API函数.经过这两种策略，我们提炼出164个API函数. 164个API函数可以根据获取资源的不同分成5种类别：1) 应用程序特定资源相关API，这些API函数提供了应用间的访问，如startService()、query()等；2) Android框架层资源相关API，通话类、短信类等API函数如sendTextMessage()、getDeviceId()等属于此类；3) DVM相关资源API如loadClass()、loadLibrary()等可以实施外部文件的动态加载；4) 系统资源相关API，网络连接状态、GPS状态、I/O读写均属于此类；5) 公共API如字符串转换、加解密相关的API均属于此类别. 行为触发 3 在定制的ROM中测试恶意应用时，需要模拟用户的操作和外部广播事件来尽量触发恶意应用的功能操作.对于行为触发，我们借鉴了文献 [ 16 16 ] 中使用的行为触发方法.该文献使用了事件触发和启发式探索来达到智能执行，提高了行为触发的覆盖率. 行为日志 3 在定制的ROM中通过行为触发可以得到行为日志， 图 2 图 2 是样本的行为日志中的某一条记录. 由 图 2 图 2 可见，该记录中包含调用时间、调用该函数的程序进程id、线程id、调用函数名、返回值、调用参数和调用堆栈. 家族分类 2 通过行为监控部分，可以得到每一个恶意样本的行为日志.在家族分类部分中，需要对行为日志进行分析，从中提取行为特征，然后使用聚类算法将每一个恶意样本进行聚类. 特征提取 3 从行为日志中可以提取出两个特征，分别为API函数名和函数堆栈.由于同一种家族恶意软件的行为大致相同或相似，因而它们分别调用的API函数重复率较高.而函数堆栈不仅包含调用的API函数，还包含着程序入口点到该函数的调用流程，因而相同家族的样本由于API使用相近、作者编写习惯等原因在调用堆栈也具有相似性.对于不同家族的样本，虽然API函数使用可能相同，但由于调用路径的差异，使得函数调用堆栈并不一定相同. 表 1 表 1 是Android.Troj.Smssend.t家族中的某个样本的行为日志中提取的API函数集合和堆栈集合. API集合 堆栈集合部分内容 SystemClock.sleep SmsMessage.getMessageBody TelephonyManager.getDeviceId String.contains TelephonyManager.getLine1Number Context_startService URL.openConnection FileInputStream. Class.getResourceAsStream Intent.putExtra TelephonyManager.getSubscriberId SmsMessage.getOriginatingAddress Thread.start AlarmManager_set android.content.ContextWrapper.openFileInput android.content.Intent.putExtra android.os.Handler.dispatchMessage android.os.Looper.loop android.os.SystemClock.sleep android.telephony.SmsMessage.getMessageBody android.telephony.SmsMessage.getOriginatingAddress android.telephony.TelephonyManager.getDeviceId android.telephony.TelephonyManager.getLine1Number android.telephony.TelephonyManager.getSubscriberId com.android.internal.os.ZygoteInit MethodAndArgsCaller.run com.android.internal.os.ZygoteInit.main dalvik.system.BaseDexClassLoader.findResource dalvik.system.DexPathList Element.findResource dalvik.system.DexPathList.findResource 相似性度量 3 聚类是一个把数据对象划分为多个簇的过程，使得簇内的对象具有很高的相似度，而簇间的对象的相似度则较低.因而聚类计算需要评估对象之间的相似度，使得相似度高的对象能够被划分在同一个簇中.在特征提取阶段，可以发现特征为非数值特征，因而使用Jaccard距离来评估任意两个样本之间的相似度.给出集合 X 和 Y ， X 和 Y 之间的Jaccard距离定义为： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4464730&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4464730&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4464730&type=middle 以Android.Troj.FakeMypp家族的两个样本为例，提取出如 表 2 表 2 中的各自的API集合后，计算API集合的相似度的方法为： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4464738&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4464738&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4464738&type=middle 样本1 样本2 TelephonyManager.getSimSerialNumber Activity.startActivity TelephonyManager.getDeviceId PreferenceManager.getDefaultSharedPreferences Thread.start ContextWrapper.startActivity StringBuilder.toString StringBuffer.toString String.equals Intent.getAction String.indexOf String.startsWith String.substring TelephonyManager.getSubscriberId TelephonyManager.getLine1Number Socket.init TelephonyManager.getSimSerialNumber ApplicationPackageManager.getInstalledPackages TelephonyManager.getDeviceId PreferenceManager.getDefaultSharedPreferences TelephonyManager.getLine1Number StringBuilder.toString URL.openStream String.equals String.lastIndexOf String.startsWith ApplicationInfo.loadLabel String.substring TelephonyManager.getSubscriberId Thread.start Socket.init 聚类计算 3 目前，常见的聚类算法有基于划分的方法、基于层次的方法和基于密度的方法等.在本文中，我们使用DBSCAN这种基于密度的算法来进行聚类计算. DBSCAN算法是一种典型的基于密度的聚类算法.对于使用DBSCAN算法进行聚类的样本，可以将它们分成三部分：核心点、边界点和噪声点.如果一个点上以Eps为半径的球型邻域内的点不小于给定的阈值minPts，那么这个点是核心点.边界点是指不是核心点但位于核心点领域内的点，而噪声点既不是核心点也不是边界点.DBSCAN的原理是将任何两个距离低于Eps的核心点放在同一个簇中，然后将任何与核心点足够靠近的边界点指派到一个与之关联的核心点的簇中.对于噪声点，它们将会被丢弃.在DBSCAN算法中，需要人为确定Eps和minPts的值. DBSCAN算法的描述如下： 1) 输入测试样本，从中选取任意一个样本 x ,检查样本 x 的Eps邻域. 2) 如果 x 的Eps邻域内的样本数量低于minPts，则被当作噪声点处理. 3) 如果 x 的Eps领域内的样本数量不低于minPts，则其为核心点.如果该核心点并没有被划分，则创建一个新的簇 C ，并将该核心点 x 放入簇 C 中. 4) 对于核心点 x ，查找 x 的Eps领域内的所有点集合.如果点集合中的某一个点 y 不属于核心点，则该点为边界点，如果 y 没有被划分，则将 y 添加到簇 C 中；如果 y 属于核心点并且没有被划分，则将 y 及其Eps邻域内的所有未被划分的点添加到簇 C 中，并对于核心点 y 执行步骤4)，直至所有未被划分的核心点和边界点都遍历完毕. 5) 转到第1步，重复执行算法，直到所有的点都被处理完毕. DBSCAN算法的优点是抗噪音且能够处理任意形状和大小的簇.相对于K近邻算法(KNN)、K中心点算法(K-means)等，DBSCAN算法并不需要指定簇的数量.由于恶意应用的家族分类数目时刻在变化，DBSCAN算法的这一特性对于恶意应用家族聚类来说就显得非常合适. 样本预测 3 根据聚类算法的计算结果，可以借此预测新样本属于哪一个家族.给出簇集 C 、阈值 t 和新样本 x ，样本预测的方法如下： 1) 对于新样本 x ，运行行为监控模块，给出其行为日志并提取出行为特征. 2) 对于簇集 C 中的任意一个簇，计算簇中每个样本与新样本 x 的Jaccard距离，其平均值则作为该簇与新样本 x 的距离. 3) 选择距离最小的簇，其距离设为 d .如果 d > t ，则该新样本不属于任何一个簇；如果 d ≤ t ，则新样本 x 属于此簇. 实验与结果分析 1 实验环境 2 本实验主要在PC上通过Android模拟器运行测试恶意样本软件，具体环境主要如 表 3 表 3 所示. 名称 配置参数 PC 处理器：Intel(R) Core(TM) i5-3470 CPU @ 3.20 GHz 内存：8 GB Android模拟器信息 系统版本：Android 4.4 内核版本：3.4.0 + 处理器：ARM(armeabi-v7a) 内存：2 GB 机身存储：512 MB 样本信息 2 训练样本总共数量为10 030个，主要有Trojan、Malware、Riskware、Hacktool、Adware这五大类，这些样本的家族名称均为Android安全厂商人工分析或自动化手段分析而得.样本的分布如 表 4 表 4 所示. 类别 数量 家族变种数量 Trojan 8 503 1 701 Riskware 398 88 Malware 327 76 Hacktool 580 126 Adware 26 9 其他 196 45 由 表 4 表 4 可知，Trojan类数量占整体样本的85%，在样本数量占据了绝对地位，其他如Riskware、Malware、Hacktool各占整体样本的4%、3%、6%左右. 测试样本数量为300个，从10 330个样本中随机抽取而得. 家族分类 2 在使用DBSCAN聚类算法时，其参数minPts和Eps需要人为确定.由于聚类算法是无监督机器学习算法，没有已知数据可供学习，因而选择了通过多次试验，取不同的minPts和Eps值来验证此算法的有效性. 为了评估家族分类结果，我们设定了“聚类准确”的概念，即在聚类计算后得出的每一个簇中，少数其他家族样本的比例低于25%，比例越低，意味着该簇中的样本越接近于同一个家族.对于家族分类的结果，将从两个方面来进行评估，这两个方面分别是准确率和噪点比.准确率指的是“聚类准确”的簇的数量在所有簇数量中的比例，而噪点率为噪声点数量相较于样本数量的比例. 在DBSCAN算法中，minPts和Eps对准确度和噪声比有极大的影响.因而，为了观察不同minPts的值对准确率和噪点比的影响，首先设定Eps为0.5，分别使用API集合和堆栈集合来观察minPts在不同的值的情况下的准确率和噪声比. 图 3 图 3 和 图 4 图 4 是实际观测情况. 可以看到，minPts越大，准确率越高.当minPts较低时，一个样本只需要有minPts个相似度超过Eps的样本就可以形成一个簇，这样在结果中，同一家族中就有可能混入其他家族的样本，导致准确率低.而当minPts值增加时，形成一个簇的条件越来越困难，这样准确率虽然高，但是噪声点也就更多了.综合准确率和噪声点的情况，将minPts设为3是一个较好的选择. 为了观察不同的Eps值对准确率和噪声比的影响，我们也经过多次的实验观察Eps在不同的值的情况下的准确率和噪点比，如 图 5 图 5 和 图 6 图 6 所示. 可以看到，当Eps值比较高的时候，同一个家族中就有可能混入其他家族的样本，使得准确率较低.当Eps的值逐渐降低时，准确率会相应提升.但当Eps的值继续减少时，形成簇的条件越来越困难，虽然准确率会继续提升，但出现的噪声点也大大增加了. 通过 图 3 图 3 ~ 图 6 图 6 可以发现，使用堆栈集合的准确率普遍低于使用API集合的准确率. 相较于API集合，堆栈集合包含的信息明显更为丰富.API集合是通过监控164个高风险API函数的调用情况而得，而堆栈集合不仅仅包含了监控的API函数，还包含了在调用这些API函数的过程中的其他函数的调用.这些其他函数更具体的表现应用程序的行为，但相较于这164个函数，其他函数的涉及到恶意性行为的可能性更小，因而在相似性度量中， 堆栈集合由于存在这些其他函数，导致同种家族的堆栈集合相似性普通低于API集合，从而导致准确率相对低一些. 综合 图 3 图 3 ~ 图 6 图 6 的结果，发现在minPts为3，Eps选择为0.3的时候，分类的综合效果最好.更具体地，在此参数设置下，使用API集合作为特征时，DBSCAN算法将2 046个变种共10 030个样本中的9 248个样本划分为1 737个簇，剩余782个样本作为噪声点没有归入任何簇当中；使用堆栈集合作为特征时，DBSCAN算法将10 030个样本中的9 388个样本划分为1 667个簇，剩余642个样本则作为噪声点没有归入到任何簇中. 进一步研究聚类算法分类的结果时，可以发现91.3%的簇是“聚类准确”的，但也有一些额外的情况，这是因为有一些不同家族的某些样本在行为特征上存在很多共同之处导致被归为同一簇中.以Android.Backdoor.QinSpy.a和Android.Backdoor.Spy.a这两个家族为例，在评估相似度时，这两个家族的某些样本之间的相似度非常高，因而这两个家族的样本被划分为同一个簇，而且两个家族的样本的数量相差不大，因而就导致了“聚类不准确”的情况.手工分析这两个家族的样本之后，发现这可能是因为触发条件不完备而导致其所有的恶意行为并没有触发，使得生成的行为日志非常接近.另一个例子是Android.Troj.hh_Fakeguard.i和Andoid.Troj.at_Fakeguard.i这两个家族，经过样本分析之后，发现这两个家族的样本确实存在较多的共同之处，因而此分类可能是人工出错的原因. 另外，相较于安全厂商的分类，算法分类得到的簇的数量普遍更少.经分析有两种原因，第一是有些家族的变种只有一两个样本，在聚类计算中被归并到其他的簇中.第二，人工分类标准主要是人工分析得到的静态特征，而算法分类则是以行为角度为依据，两者分类角度不同，结果自然也并不全一样. 样本预测 2 在样本预测中，需要指定的参数值为阈值 t .由于在DBSCAN算法中，Eps的作用就是判断两个样本是否可以归于同一类别，因而设定 t =1-Eps=0.7. 样本预测结果使用准确率来评估聚类结果的有效性.对于聚类计算，使用以API集合作为特征，minPts=3和Eps=0.3的聚类结果来预测新样本的归属.经计算，在300个测试样本中，有7个样本无法给出预测结果，而在剩余的293个样本中，有247个样本的预测结果与其家族名相同，准确率为82.3%.进一步观察结果时发现，在未预测正确的样本中，大部分样本原本家族名称已存在于预测归属的簇中的样本的家族名称中，但由于属于该家族的样本数量在这些簇中占少数，导致样本预测出现错误. 在样本预测的过程中，我们统计了平均每个样本完成预测的时间，如 表 5 表 5 所示. 操作 平均时间/s 行为监控 383.49 结果预测 4.64 可以看到，由于动态分析相较于静态分析而言比较耗时，因而其行为监控部分耗时较长；一旦给出行为监控的结果，系统可以在5 s之内给出新样本的预测结果，从而达到了快速分析的目的. 结 论 1 移动互联网的兴起使得智能手机越来越普及，Android系统用户也越来越多.但与此同时，Android系统面对着严峻的安全威胁，针对Android系统的恶意应用与日俱增.本论文以“相同家族的Android恶意应用的行为相似”作为依据，构建了一套Android恶意软件行为的自动化提取方案，并在此基础上构建了基于DBSCAN的恶意软件家族聚类方法. 实验结果表明，在minPts为3、Eps为0.3的条件下，该方法的分类结果在保持较低的噪点比的基础上达到了91.3%的准确率，其新样本预测准确率为82.3%.因此本文中的聚类算法在一定程度上可以媲美人为家族分类的工作，帮助安全研究人员快速分析大量的新增恶意软件的家族. 本文的不足之处有二：一是行为触发机制不够完善，导致部分恶意软件无法获取全面的行为；二是DBSCAN算法在面对海量数据时的运行效率有待增强. 因而，在后续研究中，我们将继续加强行为处罚与监控机制研究，并结合静态分析和动态分析达到更准确的分析效果，同时还将研究适合海量数据的聚类算法，以应对急剧增加的样本分析需求. 参考文献 IDC. Smartphone OS Market Share[EB/OL]. [2015-08-29] . http://www.idc.com/prodserv/smartphone-os-market-share.jsp http://www.idc.com/prodserv/smartphone-os-market-share.jsp . KASPERSK Y. Mobile Malware Evolution 2015[DB/OL]. [2016-01-23] . https://securelist.com/analysis/kaspersky-security-bulletin/73839/mobile-malware-evolution-2015/. https://securelist.com/analysis/kaspersky-security-bulletin/73839/mobile-malware-evolution-2015/. ESTER M, KRIEGEL H P, SANDER J, et al . A density-based algorithm for discovering clusters in large spatial databases with noise[C]// Proceedings of the Second International Conference on Knowledge Discovery and Data Mining (Kdd). Palo Alto: AAAI, 1996: 226-231. AAFER Y, DU W, YIN H. DroidAPIMiner: Mining API-level Features for Robust Malware Detection in Android[DB/OL]. [2015-09-25] . http://www.cis.syr.edu/~wedu/Research/paper/Malware_Analysis_2013.pdf http://www.cis.syr.edu/~wedu/Research/paper/Malware_Analysis_2013.pdf . BURGUERA I, ZURUTUZA U, NADJM-TEHRANI S. Crowdroid:Behavior-Based Malware Detection System for Android[DB/OL]. [2015-10-17] . http://www.ida.liu.se/labs/rtslab/publications/2011/spsm11-burguera.pdf http://www.ida.liu.se/labs/rtslab/publications/2011/spsm11-burguera.pdf . ARP D, SPREITZENBARTH M, HUBNER M, et al . DREBIN: Effective and Explainable Detection of Android Malware in Your Pocket[DB/OL]. [2015-08-09] . https://www.tu-braunschweig.de/Medien-DB/sec/pubs/2013-drebin.pdf https://www.tu-braunschweig.de/Medien-DB/sec/pubs/2013-drebin.pdf . SANZ B, SANTOS I, LAORDEN C, et al . On the automatic categorisation of android applications[C]// Proceedings of the 2012 IEEE Consumer Communications and Networking Conference . Piscataway: IEEE, 2012: 149-153. SAMRA A A A, YIM K, GHANEM O A.Analysis of clustering technique in android malware detection[C]// Proceedings of the 2013 IEEE Innovative Mobile and Internet Services in Ubiquitous Computing . Piscataway: IEEE, 2013: 729-733. AUNG Z, ZAW W. Permission-based android malware detection[J]. International Journal of Scientific and Technology Research , 2013, 2(3): 228-234. STEVENS R, GANZ J, FILKOV V, et al . Asking for (and about) permissions used by android apps[C]// Proceedings of the 10th Working Conference on Mining Software Repositories . Piscataway: IEEE, 2013: 31-40. ARESU M, ARIU D, AHMADI M, et al . Clustering Android malware families by Http traffic[C]// Proceedings of the 2015 IEEE Malicious and Unwanted Software . Piscataway: IEEE, 2015: 128-135. WU D J, MAO C H, WEI T E, et al . DroidMat: Android malware detection through manifest and API calls tracing[C]// Proceedings of the 7th Asia Joint Conference on Information Security. Piscataway: IEEE, 2012: 62-69. BONTCHEV V. Current Status of the Caro Malware Naming Scheme[DB/OL]. [2015-10-13] . https://www.virusbulletin.com/uploads/pdf/conference_slides/2005/Vesselin%20Bontchev.pdf. https://www.virusbulletin.com/uploads/pdf/conference_slides/2005/Vesselin%20Bontchev.pdf. BAYER U, COMPARETTI P M, HLAUSCHEK C, et al . Scalable, Behavior-Based Malware Clustering[DB/OL]. [2015-02-10] . http://seclab.tuwien.ac.at/papers/clustering_ndss.pdf http://seclab.tuwien.ac.at/papers/clustering_ndss.pdf . HU X, SHIN K G, BHATKAR S, et al . MutantX-S: Scalable malware clustering based on static features[C]// Proceedings of the 2013 USENIX Annual Technical Conference . Berkeley, CA: USENIX, 2013: 187-198. RASTOGI V, CHEN Y, ENCK W. AppsPlayground: Automatic security analysis of smartphone applications[C]// Proceedings of the Third ACM Conference on Data and Application Security and Privacy . New York: ACM, 2013: 209-220. 10.14188/j.1671-8836.2016.05.005 TP 309.5 whdxxblxb-62-5-429 国家自然科学基金(61202387,61373168)；高等学校博士学科点专项科研基金(20120141110002) 2016-05-01 2020-12-10 版权所有 © 《武汉大学学报(理学版)》编辑部 Copyright © 2016 Journal of Wuhan University (Natural Science Edition). All rights reserved. 2016 武汉大学学报(理学版) 5 62