【论文总结】Android 恶意应用程序的大规模时间测量：持久性、迁移和经验教训

介绍

这是一篇来自2022USENIX的一篇论文《A Large-scale Temporal Measurement of Android Malicious Apps: Persistence, Migration, and Lessons Learned》

前置知识

1.Goolge将一些扰人的广告软件定义为MUwS（Mobile unwanted software）
2.multiple-Instance PHA：攻击者在未删除的PHA上更新PHA，在未经用户同意的情况下安装额外的应用程序或通过全屏广告的方式吸引他们安装应用程序

主要内容

对安卓潜在有害的应用（PHAs）从设备的持久性、市场的持久性以及市场的迁移情况进行测量。

测量方法

1.测量PHA在设备的持久性：

如果检测到PHA时记录时，记为第一个时间戳，直到PHA被用户移除以后，记为第二个时间戳。

2.测量PHA对市场的持久性：

当设备检测到PHA时记录包名，用包名索引时间戳。

3.测量市场迁移

通过追踪签名，将各个应用市场存在的周期按大小排列，PHA从拥有周期较长的市场迁移到拥有周期较小的市场迁移

数据集来源

1.被动数据集：来自与NortonLifeLock，获取设备标识符、设备国家代码、检测时间戳、签名、应用程序包名称和安装包名称

2.由于不同的安全公司标记不同的PHA时策略会有不同，将数据集中对应的PHAs在VirusTotal中检测

3.使用AVclass提取恶意软件家族名

<