25、安卓恶意软件检测：Rooting 与间谍软件分析

安卓恶意软件检测：Rooting 与间谍软件分析

1. Rooting 恶意软件特征分析

1.1 权限相关特征

恶意应用相较于良性应用，在重启后更倾向于立即重启。恶意应用常请求 READ_PHONE_STATE 和 ACCESS_WIFI_STATE 权限。良性应用可能使用 READ_PHONE_STATE 获取手机的 IMEI 号码以及所连接网络的信息，例如移动支付应用可能需要此类信息来验证发送支付请求的设备身份。而恶意软件使用此权限来捕获受害者手机的私人信息，请求该权限的可能性是良性软件的两倍多：35.98% 的良性软件请求 READ_PHONE_STATE 权限，而 83.01% 的 Rooting 恶意软件请求此权限。同样，黑客可以使用 ACCESS_WIFI_STATE 来捕获 Wi-Fi 服务集标识符（SSIDs）。80.57% 的 Rooting 恶意软件请求此权限，而良性软件请求的概率仅为其一半（40.02%）。

1.2 基于网络的特征

除了权限相关特征，应用的网络通信相关特征也有助于机器学习算法识别 Rooting 恶意软件。例如，静态 sendnet 特征设置为应用代码调用 sendnet 方法通过互联网发送数据的次数。可以通过在名为 DroidBox 的 Android 沙箱环境中运行 Android 应用来收集此类信息，该环境能让我们安全地运行 Android 应用并收集动态特征。以下是 Rootnik 恶意软件调用