自安卓发布以来,由于其开源、硬件丰富和应用市场多样等优势,使得安卓系统成为全球最流行的手机操作系统。同时,安卓设备和安卓应用的爆炸式增长也使其成为96%移动恶意软件的攻击目标。为了实现快速的恶意软件检测,大部分安卓恶意软件检测方法会忽视程序的语义信息而直接提取简单的程序特征,导致精确度不理想。为了实现精确的恶意软件检测,研究者采用程序分析将程序语义转换成图模型,并采用图分析检测恶意软件。然而,高开销的程序分析以及复杂的图分析导致这些方法的扩展性不高。整体而言,传统安卓恶意软件检测技术在快速和精确上很难两全。为了解决这个挑战,首次将社交网络分析引入安卓恶意软件检测领域,以实现应用市场级别的恶意软件扫描。此外,为了检测攻击者精心构造的具有伪装行为和隐蔽行为的高级恶意软件,分别提出了基于社交网络亲密度分析和基于社交网络同质性分析的检测技术,以实现精准的恶意行为分析。在市场级安卓恶意软件检测方面,基于社交网络中心性分析,实现了安卓恶意软件检测系统Mal Scan。将应用的程序语义抽象成函数调用图并采用中心性分析来保留图中敏感API的语义信息,基于这些语义特征,训练机器学习模型以实现大规模的安卓恶意软件扫描。实验结果表明,在扫描谷歌应用市场中的应用时,平均只需一秒即可完成所有分析。此外,Mal Scan还检测到了18个零日恶意软件,其中有一个没有被Virus Total中的任何反病毒安全产品检测到。在伪装型安卓恶意软件检测方面,基于社交网络亲密度分析,实现了安卓恶意软件检测系统Int Droid。将应用的程序语义抽象成函数调用图并将图中敏感API和中心节点的亲密度提取出来作为语义特征,最后以此训练机器学习模型以实现对伪装型恶意软件的检测。实验结果表明,Int Droid检测到了21个零日恶意软件,其中一个已经感染上千万的用户。在隐蔽型安卓恶意软件检测方面,基于社交网络同质性分析,实现了安卓恶意软件检测系统Hom Droid。将应用的程序语义抽象成函数调用图并分析图中正常子图和敏感子图之间的同质性以挖掘恶意子图,基于聚合的恶意子图,采用网络三元组分析来提取语义特征,最后以此训练机器学习模型以实现对隐蔽型恶意软件的检测。实验结果表明,Hom Droid检测到了10个零日恶意软件。综上所述,围绕快速且精确的恶意软件检测,基于机器学习技术,分别从面向普通恶意软件的快速扫描、面向伪装型恶意软件以及隐蔽型恶意软件的精确行为分析开展研究,从而在有限资源下尽可能早地发现恶意软件,保障用户的信息安全。