面向安卓恶意第三方库的行为分析的研究

• 作 者: 张子诚
• 出 处: 山东大学
• 发表日期: 2020年12期
• 关键词: 安卓应用程序 第三方库 可疑行为 恶意软件

近年来,Android(安卓)的飞速发展使其成为全球主流的移动操作系统,拥有了百万级的应用程序。安卓应用程序的快速发展主要得益于大量的第三方库。这些第三方库封装了许多实用的功能,例如账号登录,地图服务,游戏引擎,广告服务等等。为了提升应用开发效率,应用开发人员会在应用中导入这些第三方库,并直接使用里面已经实现好的功能,以缩短应用开发周期。然而,第三方库不仅仅带来了方便,它同时也引入了许多的安全问题。大量第三方恶意库的出现,给安卓生态带来了新的安全挑战。例如在咪咕公司所开发的应用中发现了恶意库,它存在下载应用并后台安装、读取用户短信和联系人、甚至监控设备来电等可疑行为,它对用户的隐私和安全构成严重威胁。由于恶意数据库。由于恶意库封装好的功能可以被许多不同的应用所使用,因此它的影响范围可能比单个恶意应用更为严重。在国内外已经有了许多与第三方库安全相关的工作,例如针对广告库的研究,还有一些抽取方法等等。尽管已经有了一些针对恶意库的研究,但大多数研究只针对特定类型的库或个别案例,安全领域仍然缺乏对恶意库的全面了解。如果没有系统的研究,这些恶意库的安全问题就无法被完全解决。为解决上述问题,本文首次针对应用程序所使用的第三方恶意库的行为特征进行了系统性的研究。具体来说,本文内容共分为两个阶段。第一阶段,本文提出了新的依赖关系模型、候选库构建方法以及候选库特征值生成算法,进而提出了一个新的第三方库的抽取模型,解决了其他方法速度慢、库不完整等缺陷。之后还提出了轻量级的恶意库识别方法,以从第三方库中识别出恶意库。该模型可以快速而准确地从大规模应用中抽取第三方库和识别恶意库。在第二阶段,本文基于第三方库抽取模型开发了相应工具,并在超过20万个良性应用和超过30万个恶意应用的数据集上运行,并针对恶意应用抽取出的第三方库进行了恶意库识别。最终得到了近2万个良性库样本以及近5千个恶意库样本。论文针对这些库进行了五个方面的行为研究,包括行为特征对比、重打包库、暴露的可疑行为、使用的权限以及恶意库与应用开发者的关联。实验总结出了恶意库各个方面的典型特征,并且发现了一些有趣的实例。实验通过将恶意库与良性库的行为进行对比,总结出了恶意库中的行为特征,例如读取设备ID以识别用户、执行shell命令等;发现了许多由良性库重打包而生成的恶意库,并且这些恶意库被大量的恶意应用所使用;发现了恶意库中存在暴露组件与暴露的可疑行为,但是并不普遍;研究了恶意库使用最多的敏感权限,如识别设备以及获取位置相关的权限等;并通过恶意库与应用程序之间的证书关联找出了一些恶意库与开发者之间可能存在的联系,发现许多使用量较大的恶意库可能由同一个作者开发。本文的研究将为恶意库的研究提供新的知识,对设计目标防御解决方案有所帮助,有利于以减轻相应的安全风险。