Enligt Symantec och F-Secure hotrapporter, har mobil malware utveckling under 2013 och 2014 fortsatt att fokusera nästan uteslutande (-99 %) på Android-plattformen. Malware författare tillämpar smygande mutationer (obfuscations) för att skapa malware varianter, hindra detektion av signatur-baserade detektorer. Dessutom, uppsjö av mer sofistikerade detektorer som använder sig av statisk analys tekniker för att upptäcka sådana varianter fungerar endast på bytekod nivå, vilket innebär att skadlig kod inbäddad i infödd kod går oupptäckt. En färsk studie visar att 86% av de mest populära Android-program innehåller infödd kod, vilket gör infödd kod malware en rimlig hot vektor. Detta papper föreslår DroidNative, en Android malware detektor som använder specifika kontrollflödesmönster för att minska effekten av obfuscations och ger automatisering. Så vitt vi vet, DroidNative är det första systemet som bygger plattformsoberoende (x86 och ARM) semantiska-baserade signaturer på Android infödda kodnivå, vilket gör det möjligt för systemet att upptäcka malware inbäddad i antingen bytekod eller infödd kod. När DroidNative testas med en datauppsättning på 5490 prover uppnår den en detektionshastighet (DR) på 93,57 % och en falsk positiv frekvens på 2,7 %. När den testas med traditionella malware varianter, uppnår den en DR på 99,48%, jämfört med DRs av akademiska och kommersiella verktyg som sträcker sig från 8.33% till 93,22%. ASSIGN Ett uppdragsuttalande, t.ex. r 0 = r 0 + r 1 ; En uppdragsbeskrivning med en konstant, t.ex. r 0 = r 0 + 0x01; En kontrollförklaring där målet för hoppet är okänt, t.ex. Om (zf = = 1) JMP [r 0 + r 1 + 0x10].
Alam m.fl. REF använde kontrollflöde med mönster, och implementerade och anpassade två tekniker inklusive Annotated Control Flow Graph (ACFG) för att minska effekten av förångningar.
DroidNative: Automating and optimizing detection of Android native code malware variants
{'venue': 'Comput. Secur.', 'journal': 'Comput. Secur.', 'mag_field_of_study': ['Computer Science']}