如何識別惡意安卓應用

Question

我正在開發一個用於檢測惡意應用程序的 android 應用程序。我們計划根據請求的權限檢測惡意應用程序.....單獨的權限是否可以幫助我們檢測惡意應用程序，或者我們是否需要考慮使用動態代碼等特征，靜態 http url 的使用...任何幫助表示贊賞。 ...

Answer 1

我將打破這個問題是幾個較小的部分：

檢測惡意應用

這可能是您想做的事情中最難的部分。 大多數反病毒、反惡意軟件等通常會在生成指令的二進制文件的源代碼中搜索“足跡”。 如果您發現足跡超過閾值的數量，您可以猜測該文件是惡意軟件。

我們計划根據請求的權限檢測惡意應用程序

我要明確地說：不......

就我看來，大多數“奇怪”的請求通常是由於程序員沒有完全理解權限授予的內容，甚至是為什么/需要什么。

這是一個非常普遍的問題，以至於 Google 本身改變了權限的工作方式（如果我沒記錯的話，從 K 到 L，或從 L 到 M 或這些更新中的某些內容）

再說一次，一個警報應用程序，想要訪問網絡，想要讀取系統中的所有文件，想要在任何地方讀/寫任何東西，想要使用你的 GPS 等等，那么它本身看起來就像是惡意軟件（通常沒有 READING用戶會使用它）。

我們是否需要考慮使用動態代碼等特性

是的。 雖然 Java 本身無法“即時”解釋其代碼，但 DEX 允許我們這樣做。 最常見的劫持通常是什么都不做的應用程序，然后創建一個入口點來呈現 javascript 內容，並執行一些意想不到的代碼。

靜態http url的使用

這本身並沒有那么大的風險，因為大多數瀏覽器都會請求一些安全憑證，並且至少會警告用戶他在不受信任的網絡上。 通常出現的第二個問題是“即時”生成 URL，然后請求一個空請求將其請求更改為該請求。

如果應用程序然后繞過系統請求任何基於 Web 的內容（不是安全問題，有時程序員只是“比完成客戶端請求所需的努力更少”，那么查看靜態地址，甚至 IPs 通常是沒有顯着的安全價值。