基于md5的android恶意程序检测技术研究

基于md5的android恶意程序检测技术研究

0android恶意程序检测与分析目前，android应用市场缺乏统一的apk程序安全检测和审查系统，android应用程序不顺畅。大量恶意软件严重威胁着个人的隐私和信息安全。因此,加强对Android恶意程序的检测与分析研究十分必要。国外对Android恶意程序检测等方面的研究成果显著,DavidBarrera等在对上述各种方法进行学习研究以及对传统的特征码比对方法进行分析的基础上,提出将相似性哈希算法SimHash灵活运用到Android恶意程序检测,设计并开发了基于SimHash算法的Android恶意应用检测程序,并对其进行了实验验证。1检测恶意软件特征码的方法恶意程序特征码检测主要采用的方法是基于已有的特征信息,对程序进行特征码提取和特征模式匹配,以此判定是否为恶意程序1.1恶意代码比对基于特征码的检测方法可归纳为模式的提取和匹配,特征码就是提取出的恶意代码的特征模式,而恶意代码的扫描过程就是特征模式匹配的过程,即特征码比对。传统的特征代码检测主要基于MD5计算,即先计算程序的MD5值,如果此值与已有的某个恶意程序的MD5值相同,则认为该程序具备恶意程序的特征针对上述问题,提出基于SimHash算法的特征码比对方法。1.2基于simhash算法的特征码比对方法SimHash算法设计的初衷是为了解决海量数据的重复检测问题,主要思想是降维,将高维的特征向量映射成一个f-bit的指纹(fingerprint),通过比较两篇文章的f-bit指纹的HammingDistance来确定文章是否重复或者高度近似针对Android恶意程序的检测,运用SimHash算法进行特征码比对,需要经过三个步骤。首先,将APK文件转化为文本文件;其次,对文本文件生成其对应的数字指纹;最后,对其数字指纹进行信息比对分析。经过上述三个步骤的分析和处理,最终判别Android程序的安全性。2基于simhash算法的android恶意软件检测2.1相似度的确定SimHash是局部敏感哈希的一种,最早由MosesCharikar通过降维,将高维的特征向量映射成一个低维的特征向量,通过两个向量的海明距离来确定两个文件的相似度2.2传统hish算法SimHash算法的输入为一个N维向量V,每个特征具有一定权重。输出是一个C位的二进制签名S。具体步骤如下(1)初始化一个C维向量Q(为0),C位的二进制签名S为0。(2)对V中的每一个特征,使用传统的Hash算法计算出一个C位0、1组成的散列值H。对1≤i≤C,如果H的第i位为1,则Q的第i个元素加上该特征的权重;否则,Q的第i个元素减去该特征的权重。(3)如果Q的第i个元素大于0,则S的第i位为1,否则为0。(4)返回二进制签名S。2.3simhash计算假设S采用MD5进行计算,结果如下:SS由此可见,尽管S另外,采用SimHash进行计算,程序输出如图2所示。SS于是可以得出结论:字符串S3android程序的复合功能代码提取3.1)位置特征编码恶意代码的特征,简称特征码,即是指其所特有的、非恶意代码所没有的特征。也就是从恶意代码体内不同的位置提取的一系列字节,这些字节和恶意代码有唯一的关联性。特征码一般包括行为特征和状态特征。行为特征包括API调用函数、访问网络资源(创建SOCKETS,发起连接TCP、UDP、DNS)、修改系统服务等行为。状态特征包括程序的文件信息(程序大小、MD5值)、程序代码段、程序操作的连贯顺序等。3.2应用程序特性方面由特征码定义可知,程序的代码段、网络访问等都可以作为特征,就Android程序而言,权限、广播接收器、服务都可以作为特征,考虑到单一特征存在的局限性,不能全面地概括应用程序特性。因此,可以把Android程序的权限、广播接收器、服务等信息组合起来构成复合特征,这样才可以全面精准地反映Android程序的特性。另外,可以通过开源恶意软件分析包Androguard中的androlyze.py工具分别导出APK文件的权限及调用映射、广播接收器、服务等信息,将其组合成该APK文件对应的复合特征文本。3.3文件对象的提取使用Androlyze.py-s命令进入Androlyze的Shell交互环境,通过a,d,dx=AnalyzeAPK(“./Android4-4.apk”,decompiler=“dad”)命令分别实现了建立的apk、dex文件对象的提取,DalvikVMFormat()调用的功能。使用命令:show_Permissions(dx)可以提取Android程序权限及其调用映射,详见图3。3.4android程序广播接收机提取通过命令a.get_receivers()实现APK文件的广播接收器提取(详细信息略)。3.5android程序服务通过命令a.get_services()实现APK文件的服务提取(详细信息略)。4simhash算法的android程序检测示例4.1阶段pk、形貌待测试应用程序为Android4-4.apk、Android4-5.apk、cutepuppies.apk。其中,Android4-4.apk是远程控制木马程序,Android4-5.apk是Android4-4.apk的升级版,而cutepuppies.apk为C&C类型恶意程序。4.2图1:美国专家书法优选择Android4-4.apk特征文本如图4所示。由于篇幅有限,在此就不再给出其升级版Android4-5.apk和cutepuppies.apk的特征文本。4.3不同android的app相似度将特征文本转换为字符串后进行SimHash计算,其结果如图5所示。cutepuppies.apk和Android4-4.apk的海明距离为14。cutepuppies.apk和Android4-5.apk的海明距离为14。Android4-4.apk和Android4-5.apk的海明距离为2。因为是64bithash值,故其相似度为:cutepuppies.apk和Android4-4.apk:50/64,等于78.125%。cutepuppies.apk和Android4-5.apk:50/64,等于78.125%。Android4-4.apk和Android4-5.apk:62/64,等于96.875%。4.4android恶意程序复合特征文本个数GurmeetSinghManku等实验测试发现SimHash比较适用于大文本,500字以上效果都不错,经初步统计Android恶意程序复合特征文本字数在600~3000字区间范围,可适用于SimHash算法进行检测。通过对CutePuppiesWallpaper.apk、Android4-4.apk等5款恶意程序进行检测,并与360杀毒软件做比较,发现基于SimHash算法的恶意程序检测方法效果显著,检测率高于360杀毒软件。5与400恶意程序检测比较针对当前Android应用程序良莠不齐,大量的恶意程序对个人隐私和信息安全构成严重威胁的现状,提