基于源代码分析与权限扫描的Android恶意软件检测框架AndroMD：一种结合自动化数据集构建、最优特征选择与集成分类的智能解决方案

本研究针对Android平台恶意软件日益复杂和多样化的问题，开发了名为AndroMD的智能检测框架。该研究通过自动化处理超过60万个APK文件，提取静态特征并构建了三个数据集（KeyCount、ZeroOne和MNF），提出了一种新颖的特征选择方法AOFS，并结合集成分类器实现了高精度检测。实验表明，AndroMD在内部测试中准确率达99.88%，实时测试中达91.66%，并能识别VirusTotal漏检的威胁，展现了其在实际应用中的潜力和价值。

随着Android操作系统在全球移动设备市场中占据主导地位，其开放性和普及性也使其成为恶意软件攻击的主要目标。恶意行为者通过社交工程、代码混淆和零日漏洞等手段，不断开发出新型恶意软件，如Joker、FluBot、Anubis等，这些恶意软件不仅窃取用户敏感信息，还能绕过传统安全检测机制，给个人隐私和设备安全带来严重威胁。尽管已有许多研究致力于Android恶意软件检测，但现有方法往往面临数据集规模小、特征选择不优化、依赖单一模型以及缺乏实时检测验证等局限性，难以应对日益复杂的恶意软件变种。

为了应对这些挑战，研究人员在《Results in Engineering》上发表了一项名为“AndroMD: An Android malware detection framework based on source code analysis and permission scanning”的研究。该研究旨在开发一个智能、可扩展的Android恶意软件检测框架，通过结合自动化数据集构建、最优特征选择和集成分类技术，提高检测的准确性和鲁棒性。研究团队由Arvind Prasad、Shalini Chandra、Wael Mohammad Alenazy、Gauhar Ali、Sajid Shah和Mohammed ElAffendi组成，他们来自印度GLA大学计算机工程与应用系。

研究的主要技术方法包括：首先，利用自动化管道处理超过60万个APK文件，从中提取静态特征，包括反编译的Java源代码和AndroidManifest.xml文件中的权限信息，构建了三个数据集（KeyCount、ZeroOne和MNF）。这些数据集基于从真实恶意代码分析中推导出的关键模式和权限，确保了特征的语义相关性。其次，提出了AndroMD最优特征选择（AOFS）方法，通过迭代评估和集成反馈，选择紧凑且高性能的特征子集。最后，采用集成检测模型，结合随机森林（Random Forest）、决策树（Decision Tree）和Bagging分类器，并通过基于阈值的聚合机制实现对检测灵敏度的精细控制。

研究结果显示，AndroMD框架在内部数据集上达到了99.88%的准确率，在实时测试中准确率为91.66%，并能成功检测出自定义和零日恶意软件样本。此外，与VirusTotal相比，AndroMD还能识别出被其他安全厂商忽略的威胁，证明了其在实际应用中的有效性。

具体研究结果分为以下几个部分：

• •

  数据集构建与特征提取：通过分析超过140 million个Java文件和600,000个manifest文件，研究团队构建了三个数据集，其中KeyCount记录关键字的出现次数，ZeroOne记录关键字的存在与否，MNF基于权限信息。这些数据集涵盖了从2010年到2023年的应用，确保了数据的多样性和时效性。

• •

  特征选择与优化：AOFS方法在特征选择中表现出色，与向前选择和向后选择方法相比，AOFS在减少特征数量的同时提高了分类准确性。例如，在KeyCount数据集上，AOFS将特征集从原始集合压缩到33个关键特征，显著提升了检测效率。

• •

  集成模型性能：通过结合多个分类器，AndroMD在多个数据集上均实现了高精度检测。当阈值设置为4时，模型在测试集上的准确率达到99.88%，且误分类数最低（仅204个），显示了其在平衡误报和漏报方面的优势。

• •

  实时检测验证：通过开发自定义的恶意软件应用（如NutritionFinder、NearByChat和DropperMalware）以及测试已知恶意软件（如GriftHorse和RoamingMantis），AndroMD在实时检测中实现了91.66%的准确率，优于VirusTotal的75%检测率。

研究的讨论部分强调，AndroMD框架通过大规模数据集和先进的特征选择技术，有效解决了现有检测方法的局限性。其集成模型和阈值机制提供了灵活性和可调性，适用于不同安全需求的场景。然而，研究也存在一些局限性，例如未充分考虑开发者偏见、未进行时间漂移实验以及缺乏与深度学习特征选择方法的对比。未来工作将扩展动态行为分析、在线学习功能，并进一步评估框架在云环境中的部署性能。

总之，这项研究不仅提出了一个高效的Android恶意软件检测框架，还为未来研究提供了有价值的数据集和方法参考，对提升移动安全防护能力具有重要意义。