基于操作码的安卓恶意代码多粒度快速检测方法

张雪涛，孙蒙，王金双

基于操作码的安卓恶意代码多粒度快速检测方法

张雪涛，孙蒙，王金双

（陆军工程大学指挥控制工程学院，江苏 南京 210001）

基于操作码的检测方式被广泛用于安卓恶意软件检测中，但存在特征提取方法复杂、效率低等问题。针对此类问题，提出一种基于操作码的安卓恶意软件多粒度快速检测方法，其中多粒度指以词袋模型为基础、函数为基本单位提取特征，通过逐级聚合特征获得APK多层级信息，通过对数长度表征函数规模；并基于Dalvik指令集中操作码语义上的相似性对其进行压缩映射以提升效率，构建相应分类模型。测试表明所提方法在性能和效率上均有明显优势。

操作码；压缩映射；多粒度；快速检测；卷积神经网络

1 引言

近年来，安卓平台恶意软件数量呈大幅增长的态势。相关报告显示[1]，2018年全年安卓平台可检测的恶意软件增加了283.1万个。安卓平台恶意软件种类繁多，来源多样，如挖矿木马、勒索软件等恶意软件多为单独开发，隐私窃取、恶意扣费等软件则多是通过对良性软件进行恶意代码插入获得[2-3]。

机器学习方法已被应用于安卓恶意软件检测，常基于敏感权限、敏感API调用、控制流图（CFG，control flow graph）、APK的操作码（opcode）等特征进行识别。但对于由普通安卓软件改造而来的恶意软件，由于插入代码量少，其恶意特征可能被其他无关代码混淆掩盖，影响检测速度与效果。同时传统的检测方法严重依赖于专家经验以及人为制定的规则，导致其检测效率低。……