一种基于行为的android恶意程序分析系统设计

一种基于行为的android恶意程序分析系统设计

随着android系统市场的快速发展，安卓安全问题日益严重。作者提出了基于行为的android恶意软件分析系统（ndroidandroid系统），考虑到应用程序来源的多样性，用户安装的应用程序必须按照需要下载。根据服务器上的android恶意软件数据库和资源分析工具，检测恶意软件，并及时通知用户。考虑到大量用户的检测速度和影响，该系统将主动接收并分析他们获得的android安装包（apk，android包），并在虚拟运营商中运行以运行分析结果。1与android意涵的检测框架YajinZhou和XuxianJiang创立了“AndroidMalwareGenomeProject”AsafShabtai等人的“Andromaly”检测框架IkerBurguera等人的“Crowdroid”GianlucaDini等人提出的“MADAM(multi-levelanomalydetectorforandroidmalware)”2系统设计考虑Android系统所能使用的资源有限,nDroidAS通过低计算资源消耗的客户端与高消耗的服务器端配合完成恶意程序的检出.2.1ndrogs程序nDroidAS系统由客户端(nDroidC,nDroidASClient)和服务器(nDroidS,nDroidASServer)构成.nDroidC向nDroidS查询应用程序的属性,并提供查询对象的APK安装包;nDroidS完成应用程序的恶意属性判别、存储等功能,如图1所示.nDroidC是一个轻量级的Android应用程序,主要用途是程序安装事件监控、程序安装包特征提取和恶意程序响应等.nDroidS覆盖抓取、分发、分析、虚拟运行及数据存储,后台需要多台物理或虚拟服务器实体支撑.其主要组成部分包括:1)任务分发器,接收恶意程序分析请求,并根据当前系统运行情况分发执行任务至各个程序运行器;2)程序信息库,存储系统分析过的APK程序信息,提供任务分发器快速响应分析请求的能力,也可作为程序分析器的训练数据;3)程序运行器,基于Android模拟器,提供仿真运行Android应用程序的功能,收集程序运行特征向量.此外,运行器需要加入虚拟交互策略,保证运行特征向量能完整体现程序的行为;4)程序分析器,对运行器收集到的特征向量进行处理,依靠机器学习技术分类数据,最终实现恶意程序的检出;5)程序抓取器,负责从各个应用市场或其他可下载APK程序包的网站抓取APK程序.2.2android应用程序检测nDroidAS设计了两种工作模式:验证安装模式及抓取安装模式.验证安装模式主要用于对用户意图安装的APK程序包进行安全性验证;抓取安装模式对应系统的主动抓取功能,目的是提高对用户请求的响应速度.验证安装模式面向用户设备的Android程序安装事件,主要工作流程如下:nDroidC监控到用户Android设备上使用APK程序包安装应用程序;在应用程序安装之前,nDroidC提取APK程序包的基本特征,建立分析请求发送给nDroidS;任务分发器利用程序包基本特征与程序信息库进行匹配查询,若查询到结果,直接返回给nDroidC相应结果,整个过程结束;如果没有匹配,向nDroidC请求发送完整APK程序包;nDroidC发送完整的APK程序包;任务分发器进行任务分配,提交程序包至程序运行器,由程序运行器运行并收集运行特征向量;程序分析器获得特征向量后,使用分类算法对数据进行分类,最终判断程序是否恶意;程序信息库存储分析器的最终分析结果,且反馈至nDroidC,整个过程结束.抓取安装模式主要针对应用程序商店和其他能下载到APK程序安装包的网站,基本流程与验证安装模式类似,但步骤1是程序抓取器根据系统定义的程序商店或网站解析APK下载地址,下载到本地后提取安装包的基本特征,从而建立分析请求.2.3android系统模拟交互技术交互模型特征向量,合适的特征向量需满足两个条件:有效性,能直观反映当前程序运行的真实特征,具备很强的应用程序代表性;易收集性,信息能相对容易地收集,不影响程序的运行.考虑Android系统架构的特点,以上两点决定特征向量需要进行多层次收集,包括框架信息和系统调用两方面.模拟交互,某些程序的恶意功能在一定条件下才会触发.因此,模拟交互技术对无人工干预下的程序自动运行过程至关重要.理想的模拟交互技术需适应当前应用程序,针对性地产生策略交互事件.原型系统中,使用了Google提供的Monkey工具3原型实现与验证基于上述nDroidAS的设计,使用现有方案实现了一个较为简单的原型系统.验证结果表明,该系统对用户的系统安全可起到保护作用,可一定程度检出已知恶意程序的小规模变种.3.1系统实现与模拟交互根据系统原理设计,截至目前,实现了一个简化版本的nDroidAS原型系统,该系统可基本完成设计中的系统功能.原型系统构成如图2所示.nDroidC可在Android2.3及以上系统安装部署,使用了数个华为手机作为用户设备.使用3台服务器(IntelXeon2GHz,2GB,500GB)作为运行节点,部署nDroidS各个组件.特征向量目前选择使用部分底层Linux系统调用次数,利用strace命令收集后进行选择性统计.模拟交互目前使用Monkey工具产生随机事件流.每个分析对象程序需要运行5分钟,之后将特征向量交付分析器进行属性判别.最后,基于K近邻算法,对特征向量进行分类,完成恶意程序的检出.3.2恶意程序安装包实验原型系统设置了7个国内应用市场进行自动化抓取.如图3所示,总共抓取了14113个应用程序.同时,利用“AndroidMalwareGenomeProject”中的部分Android恶意程序样本进行了验证.主要导入了DroidKungFu系列(包括DroidKunFu1/2/3/4,简称DKF)、FakePlayer和Pjapps3个家族的恶意程序APK安装包,如图4所示.其中,训练样本类作为程序分析器的训练数据,收集运行特征向量后人工给定恶意属性,分析器基于这类数据进行其他程序的属性判断.分析类是准备在原型系统的用户设备上安装的APK程序包.如图5所示,nDroidAS原型系统对Android恶意程序有检出效果.其中,加入实验的FakePlayer家族的总体个数较少,可用于作为分析训练数据的运行特征信息不多,正确识别的1个APK安装包从运行情况来看总体类似,而未识别的安装包体积区别非常明显,可能对运行特征信息有影响.DKF系列尽管子家族区别较大,但可用于训练的样本很多,分析类的APK程序包大部分区别也不是那么明显,因此,最终验证结果较FakePlayer好.选择了10000个商业杀毒软件判定为良性的程序样本进行误报率的性能验证,如图6所示.在不同良性程序样本数量情况下,误报率均在20%左右,说明nDroidAS原型系统对恶意程序和良性程序的行为区别判断能力有不足.4实现了用户意图安装的提前分析笔者描述了Android恶意程序行为分析系统:nDroidAS.该系统整合用户设备主动请求、任务分发、程序