一種基于行為的android惡意程序分析系統(tǒng)設(shè)計(jì)

一種基于行為的android惡意程序分析系統(tǒng)設(shè)計(jì)

隨著android系統(tǒng)市場(chǎng)的快速發(fā)展，安卓安全問(wèn)題日益嚴(yán)重。作者提出了基于行為的android惡意軟件分析系統(tǒng)（ndroidandroid系統(tǒng)），考慮到應(yīng)用程序來(lái)源的多樣性，用戶安裝的應(yīng)用程序必須按照需要下載。根據(jù)服務(wù)器上的android惡意軟件數(shù)據(jù)庫(kù)和資源分析工具，檢測(cè)惡意軟件，并及時(shí)通知用戶?？紤]到大量用戶的檢測(cè)速度和影響，該系統(tǒng)將主動(dòng)接收并分析他們獲得的android安裝包（apk，android包），并在虛擬運(yùn)營(yíng)商中運(yùn)行以運(yùn)行分析結(jié)果。1與android意涵的檢測(cè)框架YajinZhou和XuxianJiang創(chuàng)立了“AndroidMalwareGenomeProject”AsafShabtai等人的“Andromaly”檢測(cè)框架IkerBurguera等人的“Crowdroid”GianlucaDini等人提出的“MADAM(multi-levelanomalydetectorforandroidmalware)”2系統(tǒng)設(shè)計(jì)考慮Android系統(tǒng)所能使用的資源有限,nDroidAS通過(guò)低計(jì)算資源消耗的客戶端與高消耗的服務(wù)器端配合完成惡意程序的檢出.2.1ndrogs程序nDroidAS系統(tǒng)由客戶端(nDroidC,nDroidASClient)和服務(wù)器(nDroidS,nDroidASServer)構(gòu)成.nDroidC向nDroidS查詢應(yīng)用程序的屬性,并提供查詢對(duì)象的APK安裝包;nDroidS完成應(yīng)用程序的惡意屬性判別、存儲(chǔ)等功能,如圖1所示.nDroidC是一個(gè)輕量級(jí)的Android應(yīng)用程序,主要用途是程序安裝事件監(jiān)控、程序安裝包特征提取和惡意程序響應(yīng)等.nDroidS覆蓋抓取、分發(fā)、分析、虛擬運(yùn)行及數(shù)據(jù)存儲(chǔ),后臺(tái)需要多臺(tái)物理或虛擬服務(wù)器實(shí)體支撐.其主要組成部分包括:1)任務(wù)分發(fā)器,接收惡意程序分析請(qǐng)求,并根據(jù)當(dāng)前系統(tǒng)運(yùn)行情況分發(fā)執(zhí)行任務(wù)至各個(gè)程序運(yùn)行器;2)程序信息庫(kù),存儲(chǔ)系統(tǒng)分析過(guò)的APK程序信息,提供任務(wù)分發(fā)器快速響應(yīng)分析請(qǐng)求的能力,也可作為程序分析器的訓(xùn)練數(shù)據(jù);3)程序運(yùn)行器,基于Android模擬器,提供仿真運(yùn)行Android應(yīng)用程序的功能,收集程序運(yùn)行特征向量.此外,運(yùn)行器需要加入虛擬交互策略,保證運(yùn)行特征向量能完整體現(xiàn)程序的行為;4)程序分析器,對(duì)運(yùn)行器收集到的特征向量進(jìn)行處理,依靠機(jī)器學(xué)習(xí)技術(shù)分類數(shù)據(jù),最終實(shí)現(xiàn)惡意程序的檢出;5)程序抓取器,負(fù)責(zé)從各個(gè)應(yīng)用市場(chǎng)或其他可下載APK程序包的網(wǎng)站抓取APK程序.2.2android應(yīng)用程序檢測(cè)nDroidAS設(shè)計(jì)了兩種工作模式:驗(yàn)證安裝模式及抓取安裝模式.驗(yàn)證安裝模式主要用于對(duì)用戶意圖安裝的APK程序包進(jìn)行安全性驗(yàn)證;抓取安裝模式對(duì)應(yīng)系統(tǒng)的主動(dòng)抓取功能,目的是提高對(duì)用戶請(qǐng)求的響應(yīng)速度.驗(yàn)證安裝模式面向用戶設(shè)備的Android程序安裝事件,主要工作流程如下:nDroidC監(jiān)控到用戶Android設(shè)備上使用APK程序包安裝應(yīng)用程序;在應(yīng)用程序安裝之前,nDroidC提取APK程序包的基本特征,建立分析請(qǐng)求發(fā)送給nDroidS;任務(wù)分發(fā)器利用程序包基本特征與程序信息庫(kù)進(jìn)行匹配查詢,若查詢到結(jié)果,直接返回給nDroidC相應(yīng)結(jié)果,整個(gè)過(guò)程結(jié)束;如果沒(méi)有匹配,向nDroidC請(qǐng)求發(fā)送完整APK程序包;nDroidC發(fā)送完整的APK程序包;任務(wù)分發(fā)器進(jìn)行任務(wù)分配,提交程序包至程序運(yùn)行器,由程序運(yùn)行器運(yùn)行并收集運(yùn)行特征向量;程序分析器獲得特征向量后,使用分類算法對(duì)數(shù)據(jù)進(jìn)行分類,最終判斷程序是否惡意;程序信息庫(kù)存儲(chǔ)分析器的最終分析結(jié)果,且反饋至nDroidC,整個(gè)過(guò)程結(jié)束.抓取安裝模式主要針對(duì)應(yīng)用程序商店和其他能下載到APK程序安裝包的網(wǎng)站,基本流程與驗(yàn)證安裝模式類似,但步驟1是程序抓取器根據(jù)系統(tǒng)定義的程序商店或網(wǎng)站解析APK下載地址,下載到本地后提取安裝包的基本特征,從而建立分析請(qǐng)求.2.3android系統(tǒng)模擬交互技術(shù)交互模型特征向量,合適的特征向量需滿足兩個(gè)條件:有效性,能直觀反映當(dāng)前程序運(yùn)行的真實(shí)特征,具備很強(qiáng)的應(yīng)用程序代表性;易收集性,信息能相對(duì)容易地收集,不影響程序的運(yùn)行.考慮Android系統(tǒng)架構(gòu)的特點(diǎn),以上兩點(diǎn)決定特征向量需要進(jìn)行多層次收集,包括框架信息和系統(tǒng)調(diào)用兩方面.模擬交互,某些程序的惡意功能在一定條件下才會(huì)觸發(fā).因此,模擬交互技術(shù)對(duì)無(wú)人工干預(yù)下的程序自動(dòng)運(yùn)行過(guò)程至關(guān)重要.理想的模擬交互技術(shù)需適應(yīng)當(dāng)前應(yīng)用程序,針對(duì)性地產(chǎn)生策略交互事件.原型系統(tǒng)中,使用了Google提供的Monkey工具3原型實(shí)現(xiàn)與驗(yàn)證基于上述nDroidAS的設(shè)計(jì),使用現(xiàn)有方案實(shí)現(xiàn)了一個(gè)較為簡(jiǎn)單的原型系統(tǒng).驗(yàn)證結(jié)果表明,該系統(tǒng)對(duì)用戶的系統(tǒng)安全可起到保護(hù)作用,可一定程度檢出已知惡意程序的小規(guī)模變種.3.1系統(tǒng)實(shí)現(xiàn)與模擬交互根據(jù)系統(tǒng)原理設(shè)計(jì),截至目前,實(shí)現(xiàn)了一個(gè)簡(jiǎn)化版本的nDroidAS原型系統(tǒng),該系統(tǒng)可基本完成設(shè)計(jì)中的系統(tǒng)功能.原型系統(tǒng)構(gòu)成如圖2所示.nDroidC可在Android2.3及以上系統(tǒng)安裝部署,使用了數(shù)個(gè)華為手機(jī)作為用戶設(shè)備.使用3臺(tái)服務(wù)器(IntelXeon2GHz,2GB,500GB)作為運(yùn)行節(jié)點(diǎn),部署nDroidS各個(gè)組件.特征向量目前選擇使用部分底層Linux系統(tǒng)調(diào)用次數(shù),利用strace命令收集后進(jìn)行選擇性統(tǒng)計(jì).模擬交互目前使用Monkey工具產(chǎn)生隨機(jī)事件流.每個(gè)分析對(duì)象程序需要運(yùn)行5分鐘,之后將特征向量交付分析器進(jìn)行屬性判別.最后,基于K近鄰算法,對(duì)特征向量進(jìn)行分類,完成惡意程序的檢出.3.2惡意程序安裝包實(shí)驗(yàn)原型系統(tǒng)設(shè)置了7個(gè)國(guó)內(nèi)應(yīng)用市場(chǎng)進(jìn)行自動(dòng)化抓取.如圖3所示,總共抓取了14113個(gè)應(yīng)用程序.同時(shí),利用“AndroidMalwareGenomeProject”中的部分Android惡意程序樣本進(jìn)行了驗(yàn)證.主要導(dǎo)入了DroidKungFu系列(包括DroidKunFu1/2/3/4,簡(jiǎn)稱DKF)、FakePlayer和Pjapps3個(gè)家族的惡意程序APK安裝包,如圖4所示.其中,訓(xùn)練樣本類作為程序分析器的訓(xùn)練數(shù)據(jù),收集運(yùn)行特征向量后人工給定惡意屬性,分析器基于這類數(shù)據(jù)進(jìn)行其他程序的屬性判斷.分析類是準(zhǔn)備在原型系統(tǒng)的用戶設(shè)備上安裝的APK程序包.如圖5所示,nDroidAS原型系統(tǒng)對(duì)Android惡意程序有檢出效果.其中,加入實(shí)驗(yàn)的FakePlayer家族的總體個(gè)數(shù)較少,可用于作為分析訓(xùn)練數(shù)據(jù)的運(yùn)行特征信息不多,正確識(shí)別的1個(gè)APK安裝包從運(yùn)行情況來(lái)看總體類似,而未識(shí)別的安裝包體積區(qū)別非常明顯,可能對(duì)運(yùn)行特征信息有影響.DKF系列盡管子家族區(qū)別較大,但可用于訓(xùn)練的樣本很多,分析類的APK程序包大部分區(qū)別也不是那么明顯,因此,最終驗(yàn)證結(jié)果較FakePlayer好.選擇了10000個(gè)商業(yè)殺毒軟件判定為良性的程序樣本進(jìn)行誤報(bào)率的性能驗(yàn)證,如圖6所示.在不同良性程序樣本數(shù)量情況下,誤報(bào)率均在20%左右,說(shuō)明nDroidAS原型系統(tǒng)對(duì)惡意程序和良性程序的行為區(qū)別判斷能力有不足.4實(shí)現(xiàn)了用戶意圖安裝的提前分析筆者描述了Android惡意程序行為分析系統(tǒng):nDroidAS.該系統(tǒng)整合用戶設(shè)備主動(dòng)請(qǐng)求、任務(wù)分發(fā)、程序