基于行为的Android恶意软件判定方法及其有效性

来源：计算机应用杂志2016年第4期北京时间：

作者：孙润康, 彭国军, 李晶雯, 沈诗琦

单位：1. 武汉大学 计算机学院, 武汉 430072;2. 空天信息安全与可信计算教育部重点实验室(武汉大学), 武汉 430072

摘要：针对当前Android平台资源受限及恶意软件检测能力不足这一问题,以现有Android安装方式、触发方式和恶意负载方面的行为特征为识别基础,构建了基于ROM定制的Android软件行为动态监控框架,采用信息增益、卡方检验和Fisher Score的特征选择方法,评估了支持向量机(SVM)、决策树、k-邻近(KNN)和朴素贝叶斯(NB)分类器四类算法在Android恶意软件分类检测方面的有效性。通过对20916个恶意样本及17086个正常样本的行为日志的整体分类效果进行评估,结果显示,SVM算法在恶意软件判定上准确率可以达到93%以上,误报率低于2%,整体效果最优。可应用于在线云端分析环境和检测平台,满足海量样本处理需求。

关键词：Android,恶意软件特征,动态行为分析,恶意性判定,机器学习

基金资助：国家自然科学基金资助项目(61202387, 61373168, 61202385);中国博士后科学基金资助项目(2012M510641);高等学校博士学科点专项科研基金资助项目(20120141110002);武汉市青年科技晨光计划项目(201271031367)。