基于CNN的Android恶意软件检测

1 背景知识

1.1 传统恶意软件检测方式

• 基于签名的检测
  比对应用的二进制代码与本地已知恶意签名库中的特征码
  速度快、误报低、漏报高
  只能识别已知威胁，无法检测零日攻击
  恶意软件通过混淆或者变形技术容易绕过检测
• 基于行为的检测
  动态分析应用在运行时的行为
  能识别未知恶意软件，适应性强。
  计算开销大、误报率高
  传统杀毒软件以签名检测为主，现代产品已逐步融合行为检测与AI技术，但签名仍是基础

1.2 android虚拟机

Android（≤4.4）采用 Dalvik 虚拟机；5.0 以后采用 ART
Dalvik：应用每次启动时把 DEX 字节码编译成机器码，边跑边译启动慢、运行时额外 CPU/耗电
ART：预先编译，安装或首次充电闲置时就把 DEX 编译成本地机器码，启动快、运行流畅

2. 数据处理

2.1 数据源

1000恶意样本：VirusShare
1000善意样本：Google Play Store ，APKPure

2.2 转化为图像

处理对象：整个APK、APK中的DEX文件
当作二进制文件逐个字节读取
根据文件大小在预定义的 60–1440 像素之间选一个合适的图像宽度将字节序列按选定的宽度重排成二维矩阵，每个字节直接作为灰度像素值
将灰度矩阵存成 224×224 PNG
像素值归一化为[0,1]
有助于提高模型稳定性与收敛性

2.3 数据划分

20%测试集，80%训练集

3 模型

3.1 custom CNN

Conv1：32 个滤波器 → ReLU → MaxPool
Conv2：64 个滤波器 → ReLU → MaxPool
Conv3：128 个滤波器 → ReLU → MaxPool
Flatten → Dense(128) → ReLU
Dropout(p = 0.5)
Dense(1) + Sigmoid → 二分类输出（恶意 / 良性）

3.2 VGG19&&ResNet50

微调：
冻结卷积层，训练增加的全连接分类头

4 训练

损失函数：binary cross-entropy
优化器：Adam
batch size：32
epoch：
整个APK：20
DEX：30

5 评估

6 结论

使用CNN进行Android malware检测时，只提取DEX就足够了

阅读原文：A Deep Learning-Driven Image Transformation Approach for Android Malware Detection using CNN and Transfer Learning Techniques