基于深度學習的Android 惡意軟件檢測的設計分析

楊基慧

（吉林司法警官職業學院，吉林 長春130062）

隨著科學技術水平的大幅度提升，及信息通信技術的迅猛發展，移動終端設備逐漸普及，手機、IPAD 等移動設備近乎人手必備，其雖然改變了人們的生活方式，為人們帶來更多便捷，但同時也讓許多不法分子有了可乘之機。在不同功能Android 應用軟件不斷被開發出來的同時，Android 惡意軟件數量也在快速增加，并且這些惡意軟件會隨著科技發展而不斷更新，僅采取傳統惡意軟件檢測方法已無法對其進行有效檢測。研究發現，部分惡意軟件能夠采取增加代碼混淆、隱蔽命令或控制通信通道等方式，對檢測進行有效躲閃，同時還可降低傳統檢測手段的檢測性能與準確率，進而大幅度提高了Android 惡意軟件的檢測難度[1]。所以目前急需研發出一種設計難度低、檢測準確率高的Android 惡意軟件檢測系統，以避免互聯網病毒對人們造成威脅。本文基于深度學習算法構建出一套3 層神經網絡的Android 惡意軟件檢測系統，報道如下。

1 概述

手機惡意軟件是一種在用戶完全不知情的情況下，強行在用戶手機中進行安裝，或一旦在用戶手機中成功安裝便難以刪除，但同時還具備一定功能的軟件程序。手機惡意軟件與網絡病毒區別僅在于前者具備一定正常功能，而兩者均能對用戶手機網絡造成損害，竊取用戶信息，并采取一定手段導致用戶手機扣費。截至2019 年底，我國手機用戶數量已超過10 億8 千萬，如此龐大的手機用戶數量，采取有效措施應對手機惡意軟件，對于保護手機用戶財產與信息安全具有重要意義[2]。Android手機用戶在我國所有手機用戶中占比較大，為能確保Android手機用戶正常使用各類應用軟件，我國在Android 惡意軟件檢測技術開發方面投入巨大，目前已有多種Android 惡意軟件檢測系統被開發出來。有研究者將機器學習引入惡意軟件檢測，以離線方式的支持向量機為基礎，通過對權限與控制流圖特征進行提取和訓練來實現惡意軟件檢測，但這種檢測方法效果一般，無法有效解決問題[3]；還有學者將人工神經網絡與共生矩陣聯系起來，利用共生矩陣對相關系統調用進行挖掘，由于良性應用軟件和惡意軟件與系統調用之間的相關性存在較大差異，所以采用這種檢測系統能將惡意軟件有效分辨出來[4]；另有研究者在實際應用中發現，部分應用程序雖然聲明權限，但實際上并沒有使用，由此可見，僅通過分析權限清單文件并不一定可獲取準確的檢測結果[5]。動態特征主要指的是應用系統在操作系統或網絡中的行為，借助系統調用實現特定任務的執行，但這些特定任務并不能直接與操作系統實現交互，需要先由用戶發出系統調用指令，待操作模式轉換到內核模式，任務才能開始執行，并且還有些應用程序需要在網絡連接條件下才能運行，國內學者通過對實驗收集到的Android 惡意軟件樣本進行研究，發現其中有超過90%的惡意軟件需要網絡連接，以確保惡意軟件能與其開發者進行連接[6]。

2 系統設計

2.1 系統設計

本文對一種以深度學習算法（SDA）為基礎的Android 惡意軟件檢測系統進行設計并實現，此檢測系統通過對爬蟲爬取到的8000 個良性軟件與7000 個惡意軟件行特征提取，數據經分析降維后獲取961 個特征，再利用SDA 建立一個3 層神經網絡，經數據集較差驗證后發現此檢測系統檢測正確率高達95.8%。本文設計檢測系統主要由編寫網絡爬蟲收集數據集、Android 應用程序包（APK）靜態代碼特征與動態行為特征收集、特征降維后行深度學習與建立良好神經網絡行檢測3 部分組成。

2.2 系統實現

結合以往研究，本文將Google Play 中的應用視為良性應用，編寫網絡爬蟲期間隨機抽取8000 個APK，以此作為本次設計的良性應用數據集，此外在此期間又收集到7000 個惡意應用軟件。本次設計期間所有軟件均屬真實軟件，均已提前知曉軟件性質，表明本次設計數據真實可靠。本次設計采用Apktool 軟件對每個APK 行反匯編，獲得Smail 和Manifest 文件，從中抽取權限、IP 地址等重要靜態代碼特性，隨后每個APK 均開啟虛擬機生成Log 日志，利用DroidBox 軟件收集Log 日志中的敏感行為信息，將獲取到的靜態代碼特征與動態行為特征作為特征庫，借助主成分分析技術（PCA）行數據降維，降維后數據集經SDA 構建神經網絡，最后通過BP 算法對結果進行微調處理，從而實現神經網絡的任務分類功能。

2.3 改進SDA

改進SDA 主要包括傳統自編碼、降噪自編碼和構建分類模型。傳統自編碼的出現為SDA 提供了新的思路，自動編碼機屬于無監督算法，無需標注樣本，則可對樣本信息進行有效應用，進而促進模型性能提升。傳統自動編碼機可分為編碼與解碼兩部分，編碼階段主要將d 維輸入向量x 定性映射到d' 維隱層表示y，映射函數多采用Sigmoid，詳見公式（1）。解碼階段主要將得到的結果便是為y，再定性地映射至d 維重構向量z，詳見公式（2）。通過這兩個階段，實現N 個樣本重構誤差的優化，均方誤差L 詳見公式（3）。研究發現，傳統自編碼在不設置生成約束條件時，易產生輸入向量直接復制成輸出向量的現象，也存在產生改變極為微小的情況，進而導致重構誤差相對較小，當測試數據與訓練數據之間存在較大差距且不符合同一分布時，會導致訓練效果明顯下降，為避免這種現象出現，國外研究者研制出一種降噪自編碼，此算法會對樣本x 行改造處理，以一定幾率讓部分輸入層節點值為0，進而將原來的樣本x 改造為x'，隨后利用x'訓練隱藏層，詳見公式（4）。將隱層輸出y 作為新輸入特征，多次進行降噪自編碼，則可構成SDA 深度結構，研究發現，不同特征表示對數據的某些解釋因子能起到突顯或剔除效果，進而產生不同表示能力，因此整個SDA 主要以找到一個相比原始特征更適應任務需求的特征表示方式為目的。在深度結構完成后，添加節點與類別個數相同的輸出層，并將最后獲取的特征表示通過此輸出層輸入，隨后將訓練獲取各層權值矩陣、偏置項等作為初始參數，最后再利用BP 算法對SDA 神經網絡行微調處理，即可實現任務分類功能。

3 實驗分析

3.1 數據描述

本次設計利用爬蟲爬到良性軟件8000 個，自行收集惡意軟件7000 個，驗證實驗中分別選取良性軟件7000 個和惡意軟件6000 個用作訓練數據，另外良性軟件和惡意軟件各1000 個用作驗證數據。

3.2 實驗評定指標

本次驗證實驗評定指標主要包括準確率（ACC）、查準率（P）、查全率（R）、f-measure、實際預測均正例（TP）、實際預測均負例（TN）、實際正例預測負例（FN）、實際負例預測正例（FP）、TPR 和FPR。其中ACC=（TP+TN）/（TP+TN+FN+FP），P=提取出正確信息條數/提取出信息條數，R=提取出正確信息條數/樣本中信息條數，f-measure 為ACC 與召回率加權調和平均值，TPR 為被正確分類樣本數目比例，FPR 為被錯誤分類樣本數目比例。

3.3 實驗結果

本次驗證試驗選用10 份驗證集，選用4 種分類器分別為SDA、多層神經網絡（MLP）、Logistic 回歸模型及NB 分類算法，SDA 獲得ACC 為95.8%，高于其他3 種分類器。

3.4 結果分析

實驗結果顯示，基于SDA 構建的3 層神經網絡獲得ACC最高，屬于優質分類器，與其他學習算法相比，SDA 可在分類任務方面發揮更大作用，其作為一種特征學習方法，能將原始數據通過一些簡單且為非線性模型，更為抽象、更高層次地表達出來，在大量轉換組合的基礎上，即使是非常復雜的函數，也能對其進行有效學習，學習效率更高。以往提取特征通常采用手工設計的特征提取器，但手工設計需要設計者熟練掌握較多的工程技術與專業領域知識，要求較高，設計過程麻煩，如果僅需要通過通用學習過程即可獲取優質特征，則可將復雜的設計工作舍去。本次設計基于SDA 的Android 惡意軟件檢測系統，抓住了SDA 的關鍵優勢，借助SDA 減輕設計難度，同時也能有效彌補淺層機器學習存在的不足，進而實現Android 安全問題的有效解決。

表1 實驗評定指標結果

4 結論

本文通過對Android 應用軟件中存在的安全隱患進行全面分析，利用BP 算法對SDA 神經網絡行微調處理，最后設計出一套基于SDA 的Android 惡意軟件檢測系統，經實驗研究發現，此檢測系統檢測精度高，檢測性能強，檢測準確率高達95.8%。