Android恶意软件检测中函数调用图（FCG）的构建与应用实战

1次阅读

共计 2048 个字符，预计需要花费 6 分钟才能阅读完成。

在 Android 安全领域，恶意软件检测一直是个棘手的问题。传统的静态分析方法，比如简单地检查应用申请的权限，已经越来越力不从心。现在的恶意软件开发者很聪明，他们会申请一大堆正常权限来掩盖自己的真实意图。

静态分析的局限性 ：单纯看 manifest 文件或者 API 调用列表，很难发现恶意行为模式，因为恶意代码可能隐藏在看似无害的调用序列中。
传统方法的不足 ：权限检测、字符串匹配这些方法误报率太高，比如一个文件管理器应用和恶意软件可能申请相同权限。
FCG 的优势 ：函数调用图（Function Call Graph，FCG）能完整展现应用内部的执行流程，通过分析调用关系可以识别出异常行为链，比如偷偷上传通讯录的调用路径。

控制流分析 ：首先需要解析 DEX 字节码，识别出每个方法（Method）内的基本块（Basic Block）和跳转关系。
跨过程调用处理 ：特别注意 invoke-virtual 等指令，这些会触发跨方法的调用。
图构建 ：把所有方法和它们之间的调用关系用图结构表示出来。

from androguard.misc import AnalyzeAPK
from networkx import DiGraph

def build_fcg(apk_path):
    """构建函数调用图"""
    # 使用 AndroGuard 解析 APK
    a, d, dx = AnalyzeAPK(apk_path)

    # 创建有向图
    fcg = DiGraph()

    # 遍历所有方法
    for method in dx.get_methods():
        method_name = method.get_full_name()
        fcg.add_node(method_name)

        # 分析方法的字节码
        for _, call, _ in method.get_xref_to():
            called_method = call.get_full_name()
            fcg.add_edge(method_name, called_method)

    return fcg

增量式构建 ：对于大型应用，可以分模块构建 FCG 再合并
节点去重 ：处理多 DEX 文件时，注意避免重复节点
性能分析 ：构建 FCG 的时间复杂度通常是 O(n^2)，需要优化

现在主要有两种方法把 FCG 转换成机器学习模型能处理的特征：

Graph2Vec：把整个图变成一个固定长度的向量
图神经网络 (GNN)：可以保留图的结构信息，效果更好

import torch
from torch_geometric.data import Data

def fcg_to_gnn_data(fcg):
    """将 FCG 转换为 GNN 输入格式"""
    # 节点特征：这里简单用 API 敏感度作为示例
    node_features = []
    for node in fcg.nodes():
        # 实际应用中这里应该有更复杂的特征设计
        sensitive_score = 1 if "getDeviceId" in node else 0
        node_features.append([sensitive_score])

    # 边索引
    edge_index = []
    for src, dst in fcg.edges():
        src_idx = list(fcg.nodes()).index(src)
        dst_idx = list(fcg.nodes()).index(dst)
        edge_index.append([src_idx, dst_idx])

    return Data(x=torch.tensor(node_features, dtype=torch.float),
        edge_index=torch.tensor(edge_index, dtype=torch.long).t().contiguous()
    )