


ｒ
雜  ｙｏ ＾ ｆ
－

ｉＨ Ｅｇ 

綱辑


－

＾  ｊ ／
 ／ ０  ＮＪ
／ 

打
１ １ Ｉ 

．

又广
变
．

． ．

择


．

卜 專
一

一
：

厂 叫 ｙ  ＬＪ


．




 Ｊ 、 Ｊ


／  Ｊ
 ￣

＾ ｙ ｙ＾ Ｔ Ｖ
＇

 ＊ 
  ＇
＇


；


 ＊ ｖ

＾   ｖ 
 － ？

＾
 ＇
＊ ＇ ＊

 
 ＇  ＇ ＊ 
ｖ 
：

 ｋ 
？
＾  ＇

．

Ｘ ｊ
？

＞ｓｖ  ＾ 
ｕ 

＼
＇
ｙ ＞ｖ
＝ ＞

ｖ
－

 
－


， ：

 ＞
■
：
＾ ＞
－
； 
：
；
， ＞ ；
ｖ ： ｉ
３
．
：
？
 －
ｉ ｘ ｉ

  ．
 ｉ ｉ
，

； ； ｛ ； ｊ ：
  ：

ａ
＊  ． ．
 ．
 ． 

？

＇
．

 ＂


Ｖｆ ｄ

，

＾
／

＾ ＾

＾
＇

Ｖ  

■

 
■
？ ＇ －

 － ＇

   
．
Ｖ ｖ ：

＾ ｒ
？
：
： ．
：
， ？ ＾ 

ｓ
ｔ
；

 〔 丨 ＇
－
、




ＶＷ  －
： ； ：
：

：


－
＇

  ■ ？ ？ ＇ 


 ｖ

    

题 目 广 安 卓 平 台 的 勒 索应 用 研 究



学号 ： ２０ １ ８ ０ １ ０３ ３ 

１

姓 名  王赫

 ：

． 
． ．
 


？



专

师 隸＾
．

… 导 ：
＿ ． … ― 

—

＾ 院 ：
 纖識学［




：

：：


邊 

．
 密级 ：
保密 期限 

：

分嚎 仰 索 大摩



博 士 学位论文





ｍ

题目 ：
安 卓平 台 的 勒索 应 用 研究



学 号 ：
 ２０ １ ８０ １ ０３３ １



姓 名 王：
森 

淼

专 业 计 算 机 科 学 与 技 术
：




导 师 秦：

素 

娟

学 院 网 络空 间 安 全学 院
：



２ ０ ２２ 年 ５ 月 ３１ 

日
 Ｂｅ ｉ
ｊ
ｉ ｎ ｇ Ｕ ｎ ｉ ｖ ｅ ｒ ｓ ｉ ｔ ｙ ｏ ｆ



Ｐ ｏ ｓ ｔ ｓ  ａ ｎ ｄ  Ｔｅ ｌ ｅ ｃ ｏ ｍ ｍ ｕｎ ｉ ｃ ａ ｔ ｉ ｏ ｎ ｓ



Ｔ ｈ ｅ ｓ ｉ ｓ  ｆｏ ｒ  Ｄ ｏ ｃ ｔ ｏ ｒ  Ｄ ｅ ｇ ｒ ｅ ｅ





？
Ｒ ｅ ｓ ｅ ａ ｒ ｃ ｈ ｏ ｎＲ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ ｏ ｆ Ａ ｎ ｄ ｒ ｏ  ｉ 

ｄ

Ｐ ｌ ａ ｔ ｆｏ ｒ ｍ



Ｓ ｔｕ ｄ ｅｎｔ  Ｎｏ ． ：


２０ １ ８０ １ ０３ ３ １




Ｃ ａｎ ｄ ｉ ｄ ａｔ ｅ ：  Ｗａ ｎ ｇ 
Ｓ ｅ ｎ ｍｉ ａｏ



Ｓ ｕｂ ｅ ｃ ｔ
ｊ
：  Ｃ ｏｍｐｕ ｔ ｅ ｒＳ ｃ ｉ ｅ ｎ ｃ ｅ



Ｓｕ
ｐ ｅ ｒｖ ｉ ｓ ｏ ｒ ：

Ｑ ｉ ｎ  Ｓ ｕｊ ｕ ａ ｎ



Ｉ ｎ ｓ ｔｉ ｔｕｔｅ ：  Ｓ ｃｈｏｏ ｌ ｏｆ  Ｃ ｙ ｂ ｅ ｒ ｓ ｐ ａ ｃ ｅＳ ｅ ｃ ｕ ｒ ｉｔ



ｙ

Ａｐｒ ｉ ｌ ．  ７ ｔｈ  ２ ０ ２ ２
，



摘 

要

安卓平台的勒索应用研究



摘 

要

勒 索 应 用 是通 过更改 用 户 的 设备密 码 、 强 制 占 用 用 户 的屏幕资源 、 主动加密或



盗取 用 户 设 备 中 的 个 人 文 件 等 操 作 ，
使 用 户 无法 正 常 使用 个 人设备 、 无法正 常打开


文件 ， 从 而 向 其勒 索 赎 金 的 恶 意 应 用 。 该 类 应 用 生 产 成 本 低廉 且对 用 户 的 威 胁较 高 

。

近年 来 ， 随 着 安卓 系 统 占 有 的 市 场 份额 越 来 越 高 ， 勒 索 应 用 的 数量也 急 剧 上 升 

。

当 前对于 安 卓平 台 勒 索 应 用 的 研究 和 防 护 仍 以 被动 检 测 为 主 ， 即集 中在如何准


确 高 效地 识 别 勒 索 应 用 ，
通 过 在勒 索 应 用 被 激 活 前 定 位 该 应 用 并 进 行 处 置 ， 从而达 到


对安卓设 备 的 防 护 。 然而 ， 勒 索行 为 的 全 过 程 还 包 含 应 用 被 激 活 后 对 屏 幕 、 文件等资


源的劫持 以 及 勒索 应 用 为 抗 逃 逸 检 测 进 行 的 主动 进 化 仅 针 对 全 过程 某 阶段 的 孤


一

。
，

立 防 护 无 法 对勒 索 行 为 完 全 防 护 。
为 了 更 加 全 面地 保 护 安 卓 设 备 及 用 户 文 件 免 受 勒


索 应 用 的 危 害 本 文 开 展 了 安 卓 平 台 的 勒 索 应 用 研究 提 出 了 面 向 安卓 平 台 勒 索行 为
， 
 ，

全生 命周 期 的 安 全 防护 体 系 。 本 文 主 要 研究 如 下 

：

１ ．
行为 可 区 分 的 勒 索 应 用 激 活 前离 线 检 测 研 究 。
现有 的 检 测 引 擎 很 难 区 分带有


锁 定 屏 幕 和 加 密 文 件 功 能 的 良 性 应 用 与 勒索 应 用 本文 提 出 了 Ｋ Ｒ Ｄ ＲＯ ＥＤ  种行为


—

，
 ，

在 特征集 构建 时提 出 了 联 合特


“
可 区 分 的勒索 应 用 激活 前离线 检测 引 擎 。 ＫＲ Ｄ ＲＯ Ｉ Ｄ

算 法 将 关 联 性较 强 却 又 彼 此相 互 独 立 的 多 个 特 征 加 入 关
”
征 的 概念 ， 利用 Ｋ －

ｍｅ ａ ｎ ｓ 、


联 关 系 进行组 合 形 成 新 维 度 包 含 关 联 关 系 的 联 合 特征 有 效 地 解决 模 型 在 进 行 勒


一

， ，

索 应 用 识 别 时 容 易 将 具 有 相 似行 为 的
，
良 性 应 用 误判 为 勒 索 应 用 的 问 题 。
实 验结 果 表


明 ，
Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 在检 测 未 知 勒 索 应 用 方 面 ， 准 确 率达 到 了 
９８ ５ ． ％ ；
在 区 分 具 有 相 似行


为 的 良 性 应 用 与 勒 索 应 用 方面 ，
Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 较 其 他 检 测 引 擎 准 确 率提 高 了 约 ４０ ％ ， 

解
决 了 现 有勒 索 应 用 检 测 引 擎 无 法 精 确 区 分勒 索 应 用 与 良 性 应 用 相 似行 为 的 问 题 

。

２ ．
基 于 兴 趣 文 件 夹 访 问 感 知 的 勒 索 应 用 实 时检 测 研 究 。
使用 了 检测 逃逸 技术 的


勒索应用 通常会 釆 用 加 固 、 隐写 、 动 态 加 载 等 方式 隐 藏 自 己 的 恶 意 行为 ， 即 在被激活


后动 态 还 原 恶 意 代 码 。 因此 ， 对 于 此 类勒 索 应 用 的 检 测 需 要 在 它 们 被 激 活 后 实 施 。 

这
将 对 用 户 的 文 件 带 来 极大 的 加 密 威 胁 本文提 出 了 Ｋ Ｒ Ｐ ＲＯＴＥ Ｃ Ｔ Ｏ Ｒ  个 基于 兴 趣


—

。  ，

文 件 夹访 问 感 知 的 勒 索 应 用 实 时检 测 引 擎 。 Ｋ Ｒ Ｐ Ｒ ＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 以 空 文 件 夹 为 兴 趣 文 件


夹 的 实体 ， 搭载在未被 Ｒ Ｏ ＯＴ 的 终 端 进 行勒 索 应 用 检 测 ， 能够有效识 别 使用 了 动 静


态检 测 逃逸 策 略 的 勒 索 应 用 。 实 验表 明 ，
Ｋ Ｒ Ｐ ＲＯ ＴＥ Ｃ Ｔ Ｏ Ｒ 对勒 索 应 用 识 别 的 准 确 率


较 其他检测 引 擎高 ２０ ％ 以上 ， 并 能 够在第
一

个文件加 密前 １ ４ 秒左 右 发 出 警告 ，
实现


了 在 设 备 未被 ＲＯ Ｏ Ｔ 的情况 下 ， 对勒 索 应 用 加 密 文 件进行 防 御 

。



ｉ
北 京 邮 电 大学 工 学 博 士 学 位 论 文 



３ ．

勒 索 实 施后 资 湄 自 恢 复 技 术 研究 随 着 勒 索 应 用 的 不 断 进化 部 分 勒 索 应 用 已
。 
 ，

经 出 现 了 利 用 Ｕ Ｓ Ｂ 屏 蔽功 能 防 止 用 户 连 接 ＡＤ Ｂ 进 行 资 源 恢复 的 功 能 另 外 。
， 现 有对


勒 索 后 资 源 恢 复 的 技 术 存 在 着 程 序 复杂 、
需要 用 户 专 业背 景 知 识 门 槛 髙 的 问 题 本 文

 。

提出 了  Ｋ ＲＲＥ Ｃ Ｏ Ｖ ＥＲ  ，
—

个安卓 系 统 的 勒 索 实 施 后 资源 自 恢复工具 。 ＫＲ Ｒ ＥＣ ＯＶ Ｅ Ｒ



通过 自 动 终 止 勒 索 应 用 的 进 程 并 删 除 写 入 密 码 的 文 件 进行 被 劫 持 设 备 资 源 的 自 恢复 

，

通 过对 加 密 ＡＰＩ 的 监控 ， 获取其在动 态运行 中 ，

进 行加 密 时 使 用 的 密 钥 与 被 加 密 文


件列 表 ， 实 现被加 密 文 件 的 解密 

。

４ ．
攻击 者视 角 的新型勒索技术研究 。
针 对 如 何 主 动 发 现勒 索 应 用 在 进 化 中 更 多


的 潜 在 威胁 ，
并 针 对 不 同 的 勒 索 行 为 进行安 全 防 护 的 问 题 ，
本 文提 出 了 基于 ＤＮ Ｓ 

信
道 的 数据 劫 持 、 基 于 中 间 人 攻 击 的 数 据 劫 持 以 及基 于 ＤＮ Ｓ 劫持 的通信劫持 ３ 种新型


勒索技术 。 另外 ， 为 了 对 勒 索 应 用 进 化 中 可 能 出 现 的 不 同 的 勒 索 行 为 进 行安 全 防 护 

，

本文提 出 了 
Ｋ Ｒ Ｐ ＲＯ Ｖ Ｅ  ，
—

个支 持 多 种 策 略 组 合 的 安 卓 端勒 索 行 为 验 证 框 架 ，
并 针对


各 种 策 略 组 合 得 到 的 勒 索行 为 在设备 上 的 测 试结 果 给 出 了 防 御 建 议 

。

关键 词 ：
安 卓勒 索 行 为 可 区 分 兴 趣 文 件 夹 访 问 感 知 资 源 自 恢复 新 型 勒 索


 Ａ Ｂ Ｓ Ｔ Ｒ ＡＣ Ｔ




Ｒ ｅ ｓ ｅ ａ ｒｃｈ  ｏ ｎ  Ｒ ａｎ ｓ ｏ ｍ ｗ ａ ｒｅ  ｏ ｆ  Ａ ｎ ｄ ｒｏ ｉ ｄ  Ｐｌ ａ ｔｆｏ ｒ ｍ



Ａ Ｂ Ｓ Ｔ ＲＡ Ｃ Ｔ



Ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒ ｅ  ｉ ｓａ ｍ ａ ｌ ｉ ｃ ｉ ｏ ｕ ｓ  ａｐｐ ｌ ｉ ｃ ａ ｔ ｉ ｏ ｎ  ｔ ｈ ａ ｔ  ｅ ｘ ｔ ｏ ｒ ｔ ｓ  ｒ ａ ｎ ｓ ｏ ｍ  ｆ
ｒ ｏ ｍ  ｕ ｓ ｅ ｒ ｓ  ｂ ｙ  ｒ ｅ ｐ ｌ ａｃ ｉ ｎ ｇ



ｈ ｅ ｋ  ｄ ｅｖ ｉ ｃ ｅ ｙ  ｏｃ ｃ ｕ ｐ ｙ ｉ ｎｇ  ｔｈ ｅ ｉ ｒ  ｓ ｃ ｒ ｅ ｅ ｎ  ｒ ｅ ｓ ｏ ｕ ｒ ｃ ｅ ｓ  ａｎ ｄ  ｅ ｎ ｃ ｒ ｙ ｐ ｔ ｉ ｎ ｇ  ｔ ｈ ｅ ｒ  ｐｒ
ｉ
ｐ ａ ｓ ｓ ｗ ｏ ｒｄ ｓ ｆｏ ｒｃ ｉ ｂ ｌ


＿

ｔ ｉ
，


ｖ ａｔｅ  ｆｉ ｌ ｅｓ ， ｓ ｏ  ｔ ｈ ａ ｔ ｕ ｓ ｅ ｒ ｓ  ｃ ａ ｎｎ ｏ ｔ ｕ ｓ ｅ  ｄｅｖ ｉ ｃ ｅ ｓ ａ ｎ ｄ ａ ｃ ｃ ｅ ｓ ｓ  ｆ
 ｉ ｌ ｅ ｓ  ｎ ｏｒ ｍ ａ ｌ ｌ ｙ
   ．  Ｔｈ ｉ ｓｔ
ｙ ｐ ｅ ｏ ｆ ａｐ ｐ ｌ ｉ ｃ ａ ｔ ｉ ｏ ｎ
 


ｈ ａ ｓ  ｌ ｏ ｗ  ｐ ｒ ｏ ｄ ｕ ｃ ｔ ｉ ｏ ｎ  ｃ ｏ ｓ ｔ  ａ ｎ ｄ  ｈ ｉ ｇ ｈ  ｔｈ ｒｅ ａ ｔ  ｔ ｏ  ｕ ｓ ｅ ｒ ｓ ．  Ｔ ｈｅ  ｎ ｕｍｂ ｅ ｒ  ｏ ｆ ｒ ａｎ ｓｏ ｍ ｗ ａｒｅ  ｈ ａ ｓ  ｒ
ｉ ｓ ｅｎ



ｙ ｅ ａｒ ｓ  ａ ｓ  Ａ ｎ ｄｒｏ ｉ ｄ
ｓ ｈ ａｒｐ ｌ ｙ  ｉ ｎ  ｒｅ ｃ ｅ ｎ ｔ  ｈ ａ ｓ  ｇ ａ ｉ ｎ ｅ ｄ  ｍ ａ ｒｋ ｅ ｔ  ｓ ｈ ａ ｒ ｅ 

．

Ａ ｔ
 ｐ ｒｅ ｓ ｅ ｎ ｔ ， 
ｔ ｈｅ  ｒｅ ｓ ｅ ａｒｃ ｈ  ｏ ｎ  Ａｎ ｄｒ ｏ ｉ ｄ ｒ ａ ｎ ｓ ｏ ｍｗ ａｒ ｅ ａ ｎｄ
   ｔ ｈ ｅ ｐ ｒ ｏ ｔ ｅ ｃ ｔ ｏｎ ａ ｇ ａ ｉ ｎ ｓ ｔ

ｉ   ｒ ａｎ ｓ ｏ ｍ ｗ ａｒｅ



ｈ ａｔ  ｉ ｓ ｈｅ ｒ ｅ ｓ ｅ ａ ｒ ｃ ｈ  ｆｏ ｃ ｕ ｓ ｅ ｓ  ｏ ｎ  ｈ ｏｗ  ｔ ｏ
ａｒ ｅ  ｓ ｔ ｉ ｌ ｌ  ｉ ｎ  ｔ ｈ ｅ  ｓ ｉ ｔ ｕ ａｔ ｉ ｏ ｎ  ｏ ｆ
 ｐ ａ ｓ ｓ ｖ ｅ  ｄ ｅ ｔ ｅ ｃ ｔ ｏｎ
ｉ ｉ
， ｔ ，  ｍ ｏ ｓ ｔｏｆ  ｔ  


ａｃ ｃ ｕ ｒ ａ ｔｅ ｌ ｙ  ａ ｎ ｄ  ｅ ｉｃ
ｆ ｉ ｅ ｎ ｔ ｌ ｙ  ｉ ｄ ｅ ｎ ｔ ｉ ｆｙ  ｔ ｈ ｅ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ ，  ａ ｎ ｄ  ｔ ｏ  ａ ｃ ｈｉ ｅ ｖ ｅ  ｔｈ ｅ
 ｐｒｏ ｔｅｃ
ｔｉ ｏｎ ｏ ｆ  Ａｎ ｄｒ ｏ ｉ 

ｄ

ｄ ｅ ｖ ｉ ｃ ｅ ｓ  ｂ ｙ  ｌ ｏ ｃ ａ ｔ ｉ ｎ ｇ  ａ ｎ ｄ ｈ ａ ｎ ｄ ｌ ｉ ｎ ｇ  ｔ ｈｅ   ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒ ｅ  ｂ ｅ ｆｏ ｒｅ  ｉ ｔ  ｉ ｓ  ａ ｃ ｔ ｉ ｖ ａ ｔ ｅ ｄ  ． Ｈ ｏ ｗ ｅｖ ｅ ｒ ， 
ｔ ｈ ｅ  ｗ ｈｏ ｌｅ



ｐ ｒ ｏ ｃ ｅｓ ｓ  ｏ ｆ ｅｘ ｏ ｒ ｏ ｎ  ａ ｓ ｏ  ｉ ｎ ｃ ｌ ｕ ｄｅ ｓ
ｔ ｔｉ ｌ   ｔｈ ｅ  ｈｉ ａ ｃｋｉ ｎ
ｊ ｇｏ
ｆ  ｉ ｌ ｅ  ａｎ ｄ  ｏ ｔｈ ｅ ｒ  ｒｅ ｓ
ｓ ｃ ｒ ｅｅ ｎ ，  ｆ ｏ ｕｒ ｃ ｅ ｓ  ａ ｆ
ｔｅｒ  ｔ ｈ ｅ



ｒ ａ ｎ ｓ ｏ ｍ ｗ ａｒ ｅ  ｉ ｓ  ａ ｃ ｔ ｉ ｖ ａ ｔ ｅ ｄ ，  ａ ｓ  ｗ ｅ ｌｌ  ａ ｓ  ｔ ｈ ｅ  ａ ｃ ｔ ｉ ｖ ｅ  ｅ ｖ ｏ ｌ ｕ ｔ ｉ ｏ ｎ  ｏ ｆ  ｔ ｈ ｅ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ  ａ ａｎ ｔ ｉ
ｇ ａｉ ｎ ｓ
ｔ


？

ｅｓｃ ａ
ｐｅ ｄ ｅｔｅｃ ｔ
ｉｏｎ ．  Ｔ ｈｅ  ｉ ｓｏｌ ａ ｔｅ ｄ
 ｐ ｒ ｏ ｔｅ ｃ ｔ ｉ ｏ ｎ ｏ ｎ ｌ ｙ 

ｆｏ ｒ ａ ｃ ｅｒ ｔ ａ ｉ ｎ  ｓ ｔ ａ
 
ｇ ｅ ｏ ｆ ｔ ｈ ｅ ｗ ｈ ｏ ｌ ｅ ｐ ｒ ｏ ｃ ｅ ｓ ｓ ｃ ａ ｎ ｎｏ ｔ
   


 

ｄ ｅ ａｌ  ｗ ｉ ｔｈ  ｔ ｈ ｅ ｗ ｈ ｏ ｌ ｅ ｐ ｒｏ ｃ ｅ ｓ ｓ  ｏ ｆ ｅｘ ｔ ｏ ｒ
 ｔｉ ｏ ｎ 
 ．  Ｉ ｎ  ｏ ｒ ｄ ｅ ｒ  ｔ ｏ  ｍ ｏ ｒｅ  ｃ ｏ ｍ
ｐ ｒｅ ｈ ｅ ｎ ｓ ｉ ｖ ｅ ｌ ｙ ｐ ｒ ｏ ｔ ｅ ｃ ｔ 
 Ａ ｎｄ ｒ ｏ ｉ 

ｄ

ｉ ｉ ｌ ｅ ｓ  ｆｒ ｏ ｍ  ｔ ｈ ｅ  ｈ ａｒｍ  ｏ ｆ
ｄ ｅｖ ｃ ｅ ｓ  ａｎ ｄ  ｕ ｓ ｅ ｒ  ｆ  ｒ ａｎ ｓ ｏ ｍ ｗ ａｒｅ ，  ｔ ｈ ｉ ｓ  ｐ ａ ｐ ｅ ｒ  ｃ ａｒ ｉ ｅ ｄ  ｏ ｕ ｔ  ｔ ｈ ｅ  ｒ ｅ ｓ ｅ ａ ｒｃ ｈ  ｏ ｆ
ｒ 


ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒ ｅ  ｏ ｎ  Ａ ｎｄ ｒ ｏ ｉ ｄ  ｐ ｌ ａ ｔ ｆｏ ｒ ｍ ，  ａ ｎｄ  ｐ ｕ ｔ  ｆｏ ｒ ｗ ａ ｒ ｄ  ｔ ｈ ｅ  ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙ  ｐ ｒ ｏ ｔ ｅ ｃ ｔ ｉ ｏ ｎ  ｓ ｙ ｓ ｔ ｅ ｍ  ｆｏ ｒ  ｔ ｈ ｅ



ｗ ｈ ｏ ｌ ｅ  ｌ ｉ ｆｅ  ｃ ｙ ｃ ｌ ｅ  ｏ ｆ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ  ｂ ｅ ｈ ａ ｖ ｉ ｏ ｒ ｓ  ｏ ｎ  Ａｎ ｄｒ ｏ ｉ ｄ
 ｐ ａ ｔ ｆｏ ｒ ｍ  Ｔ ｈ ｅ  ｍ ａ ｉ ｎ  ｃ ｏ ｎ ｔ ｒ
ｌ ．ｉ ｂ ｕｔｉ ｏ ｎ ｓ  ｏ ｆ



ｔ ｈ ｉ ｓ  ｐ ａｐ ｅ ｒ  ａ ｒ ｅ  ａ ｓ  ｆｏ ｌ ｌ ｏ ｗ ｓ 

：

１ ．  Ｒ ｅ ｓ ｅ ａ ｒ ｃｈ  ｌ ｉ ｎ ｅ  ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏｎ  ｏ ｆ ｂ ｅ ｈ ａｖ ｉ ｏ ｒ  ｄ ｉ ｓ ｔ ｉ ｎ ｇ ｕ ｂ ｈ ａ ｂ ｌ ｅ  ｒ ａ ｎ ｓ ｏｍ ｗ ａ ｒ ｅ  ａ ｐ ｐ ｌ ｉ ｃ ａ
ｏ ｎ  ｏｆ ｆ 


－

ｔ ｉ ｏ ｎ  ｂ ｅ ｆｏ ｒｅ  ａ ｃ ｔ ｉ ｖ ａ ｔ ｉ ｏ ｎ  Ｉ ｎ  ｏ ｒ ｄ ｅ ｒ  ｔ ｏ  ｓ ． ｏ ｌｖｅ  ｔ ｈ ｅ ｐ ｒｏ ｂ ｌ ｅ ｍ

 ｔ ｈ ａｔ  ｔ ｈ ｅ ｅｘ  ｉ ｓ ｉｎｇ
ｔ 
ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ  ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ



ｈ ｅ  ｂ ｅｎｉ
ｅｎ
ｇ ｉ ｎ ｅ  ｃ ａｎ  ｈ ａｒ ｙ  ｄ ｉ ｓ ｔ ｉ ｎ ｇｕ ｉ ｓ ｈ  ｏ ｎ  ｗ ｉ ｔ ｈ  ｔ ｈ ｅ  ｆｕ ｎ ｃ ｔ ｉ ｏ ｎ  ｏ ｆ  ｌ ｏ ｃ ｋｉ ｎ ｃｒｅ ｅ ｎ


ｄｌ
ｇ ｎ  ａ ｐ ｐ ｌ ｉ ｃ ａｔ ｇｓ
ｔ ｉ

ａｎ ｄｅｎ ｃｒ
ｙ ｐ ｔｉ ｎ ｇ 
ｆｉ ｌ ｅ  ｆ ｒ ｏ ｍ  ｔ ｈ ｅ  ｒ ｅ ａ ｌ  ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒ ｅ  ｔ ｈ ｉ ，
ｓ
ｐ
ａ ｐ ｅｒ  ｐ ｒ ｏ ｐ ｏ ｓ ｅ ｓ  ＫＲ Ｄ ＲＯ Ｅ Ｄ ，  ａｎ  ｏ ｌ
ｆ ｉ ｎｅ



ｄｅ ｔｅ ｃ ｔｉ ｏ ｎ  ｅ ｎ
ｇ
ｉ ｉｖ ａｔ
ｎ ｅ  ｗ ｉ ｔ ｈ  ｂ ｅ ｈ ａ ｖ ｉ ｏ ｒ  ｄｉ ｓ ｔｉ ｎ ｃ ｔ ｉ ｏ ｎ  ｂ ｅ ｆｏ ｒ ｅ  ａ ｃ ｔ ｉ ｏｎ ｏ ｆ  ｒ ａｎ ｓ ｏ ｍ ｗ ａｒｅ ．  Ｉ ｎ  ｆｅ ａｔ ｕ ｒｅ  ｓ ｅ ｔ



＂ ＂
ｃ ｏ ｎ ｓ ｔｒｕ ｃ ｔ ｉ ｏ ｎ ， 
Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ  ｐｒｏｐ ｏ ｓ ｅｄ  ｔ ｈｅ ｃ ｏ ｎ ｃ ｅ ｔ ｏ ｆ

ｐ  
ｊ
ｏ ｉ ｎｔ  ｆｅ ａｔ ｕ ｒ ｅ ． Ｉｔ ｕ ｓ ｅ ｄ  Ｋ ｍ ｅ ａ ｎ ｓ  ａ ｌ ｇ ｏ ｒ ｉ ｔ ｈｍ
－




ｔ ｏ ｃ ｏ ｍｂ ｉ ｎ ｅ ｍ ｕ ｌ ｔ ｉ ｐ ｌ ｅ ｆｅ ａ ｔ
 ｏｅ ｓ ｗ ｉ    ｔ ｈ  ｓ ｔ ｒｏ ｎ

ｉ ｏ ｎ ｂｕ ｔ
ｇ ｃ ｏ ｒｒｅ ｌ ａ ｔ
  ｉ ｎ ｄｅ ｐ ｅ ｎ ｄ ｅ ｎ ｔ ｏ ｆ ｅ ａ ｃ ｈ ｏ ｔ ｈ ｅ ｒ     ｉ ｎ ｔ ｏ ａ ｎ ｅｗ

 

ｄ ｉ ｍ ｅｎ ｓ ｉ ｏ ｎ ｏｆ ｏｉ ｎｔ ｆｅ ａ ｔ ｕ ｒｅ ｃ ｏ ｎ ｔ ａ ｉ ｎ ｉ ｎ
ｇ ｃ ｏ ｒ ｒｅ ｌ ａ ｔ ｉ ｏ ｎ ｒｅ ｌ ａｔ ｉ ｏ ｎ ｓ ｗ ｈ ｉ ｃ ｈ ｅ ｆｅ ｃ ｔ ｉ ｖ ｅ ｌ ｙ ｏ ｌ ｖｅ ｄ ｈ ｅ ｐ ｒｏ ｂ 

？

   

 ｓ  ｔ
ｊ 
，
 

ｌ ｅ ｍ  ｏ ｆ ｒ ａ ｎ ｓ ｏ ｍ ｗ ａｒｅ  ｉ ｄ ｅ ｎｔ
 ｉｆｉ ｃ ａｔ ｉ ｏ ｎ  ｉ ｎ  ｔ ｈ ｅ  ｍ ｏ ｄ ｅ ｌ  Ｅ ｘｐ ｅ ｒ
ｉ ｍ ｅ ｎ ｔ ａｌ  ｒ ｅ ｓ ｕ ｌ ｔｓ  ｓ ｈ ｏ ｗ  ｔ ｈ ａ ｔ  ． Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ



ａ ｃ ｈｉ ｅ ｖｅ ｓ  ９ ８ ５ ． ％ ａｃｃ ｕ ｒ ａ ｃ ｙ  ｉ ｎ  ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｎ ｇ  ｕ ｎ ｋ ｎ ｏ ｗ ｎ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ ．  Ｉｎ  ｔｅ ｒｍ ｓ  ｏ ｆ  ｄ ｉ ｓ ｔｉ ｎ
ｇｕｉ ｓｈｉ ｎ ｇ ｂ ｅ 


？

ｎ ｉ ｇ ｎ ａｐ ｐ ｌ ｉ ｃ ａｔ ｉ ｏ ｎ ｓ ａ ｎ ｄ
   ｒａｎｓ ｏ ｍ ｗ ａｒｅ ｗ ｉ ｔ ｈ   ｓｉ ｍ ｉ ｌ ａｒ ｂ ｅ ｈ ａｖ ｉ ｏ ｒ ｓ

， 
Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ  ｉ ｍ ｐｒ ｏ ｖ ｅ ｓ  ｔ ｈ ｅ ａｃ ｃ ｕ ｒａ ｃ ｙ




ｂ ｙ  ａ ｂ ｏ ｕ ｔ  ４ ０ ％  ｃ ｏ ｍ ｐ ａ ｒｅ ｄ  ｗ ｉ ｔ ｈ  ｏ ｔ ｈ ｅ ｒ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ  ｄ ｅ ｔ ｅ ｃ ｔ ｏ ｎ  ｅ ｎ ｇ ｉ ｎ ｅ ｓ ｉ
， ｗ ｈｉ ｃｈｓ ｏｌ ｖ ｅ ｓ  ｔｈ ｅ
 ｐ ｒｏ ｂ


－

ｉｉ ｉ


北京 邮 电 大学 工学博士学 位论 文 



ｅ ｍ ｔ ｈ ａｔ ｅｘｉ ｓ ｔ ｉ ｎ ｒ ｎ ｍ ｗ ａｒｅｄ ｅｔｅ ｃ ｔ ｏ ｎｅ ｎ ｎ ｎ ｏ ｔａｃ ｃ ｕ ｒ ａｔｅ ｌ ｙｄ ｉ ｓ ｔ ｎ ｇ ｕ ｓ ｈｒａ ｎ ｓ ｏ ｍ ｗ ａｉ ｅ

ｇ ａ ｓ ｏ ｇ ｎ ｅ ｓｃ ａ 

ｌ ｉ ｉ ｉ ｉ

ｆｒ ｏ ｍ  ｂ ｅ ｎ ｉ
ｇ ｎ ａｐｐ ｌ ｉ ｃ ａｔｉ ｏ ｎ ｓ 

．

２ ．  Ｒ ｅ ｓ ｅ ａ ｒｃｈｏ ｎ ｒｅａ ｌ
－
ｔｉ ｍ ｅ  ｄ ｅ ｔ ｅ ｃ ｔ ｏ ｎ  ｏ ｆ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ  ａ ｐ ｐ ｌ ｃ ａ ｔ ｉ ｏ ｎ  ｂ ａ ｓ ｅ ｄ  ｏ ｎ  ｉ ｎ ｔ ｅ ｒｅ ｓ ｔ
ｉ 
 ｉ

ｆｏ ｌ ｄ ｅ ｒ  ａ ｃ ｃ ｅ ｓ ｓ
ｐ
ｅ ｒｃ ｅ
ｐ ｔｉ ｏ ｎ ． Ｓ ｉ ｎ ｃ ｅ ｔ ｈ ｅｄｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ  ｏ ｆ  ｔ ｈ ｅ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ  ｕ ｓ ｎ ｇ  ｄ ｅ ｔ ｅ ｃ ｔ ｏ ｎ  ｅ ｓ ｃ ａｐ ｅ

 ｉ ｉ

ｔ ｅ ｃｈｎ ｏｌ ｏ
ｇ ｙｃ ａ ｎｏ ｎ ｙ
ｌ ｂ ｅ  ｄ ｅ ｔ ｅ ｃ ｔ ｅ ｄ  ａ ｆｔ ｅ ｒ  ｔ ｈ ｅ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ  ｉ ｓ ａ ｃ ｔｉ ｖ ａ ｔ ｅ ｄ ｔ ｈ ｅ  ｆ ｉ ｅ ｓ  ｏ ｆ  ｔｈ ｅ  ｕ ｓ ｅ ｒ
，

 ｌ

ｗ ｂ ｅ ｒｅ ａｔｌ ｈｒｅ ａ ｔ ｅ ｎ ｅ ｄｂ ｈ ｅ  ｅ ｎ ｃ ｒ ｙ ｐ ｔ ｏ ｎ  ｏ ｆ  ｔ ｈ ｅ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａｒ ｅ Ｔｈ ａ

ｐ ｅ ｒ  ｐ ｒ ｏ ｐ ｏ ｓ ｅ ｓ  ＫＲ


－

ｉ ｌ ｌ ｔ ｓ
ｙｔ ｐ
ｉ
ｇ
ｉ
ｙ
．

Ｐ Ｒ ＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ ， ａｒｅ ａ ｌ
－

ｔ ｉ ｍ ｅ  ｄ ｅ ｔ ｅ ｃ ｔ ｏ ｎ  ｅ ｎ ｇ ｎ ｅ  ｆ ｏ ｒ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ  ｂ ａ ｓ ｅ ｄ  ｏ ｎ  ｎ ｔ ｅ ｒ ｅ ｓ ｔ  ｆｏ ｄ ｅ ｒ  ａ ｃ ｃ ｅ ｓ
ｉ ｉ ｉ ｌ 

ｓ

ａｗ ａｒｅ ｎ ｅ ｓ ｓ ．  Ｋ Ｒ Ｐ Ｒ Ｏ ＴＥ Ｃ Ｔ Ｏ Ｒ  ｕ ｓ ｅ ｓ  ａ ｎ  ｅ ｍ ｐ ｔ ｙ  ｆｏ ｌ ｄ ｅ ｒａ ｓａ ｎｅ ｎ ｔ ｉ ｔ

ｙｏ
ｆ  ｉ ｎ ｔ ｅ ｒ ｅ ｓ ｔ  ｆｏ ｌ ｄ ｅ ｒ  ｔ ｏ  ｄ ｅ ｔ ｅ ｃ 

ｔ

ｒａｎ ｓ ｏ ｍ ｗ ａｒｅｏ ｎｔｅ ｒ ｍ ｉ ｎ ａ ｌ ｓｔ ｈ ａ ｔａｒ ｅｎ ｏ ｔＲ Ｏ Ｏ Ｔ ，  ａ ｎ ｄ  ｃ ａ ｎ  ｅ ｆｆｅ ｃ ｔ ｉ ｖｅｌ

ｙ
ｉ ｄｅｎ ｔ ｉ ｆ
ｙ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ  ｔ
ｈ ａ ｔ

ｕ ｓ ｅ ｓａｄ
ｙｎａ
ｍ ｉ ｃａ ｎ ｄｓ ｔ ａｔ ｉ ｃｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎｅ ｓ ｃａ
ｐ ｅｓ ｔｒ ａｔ ｅ ｇ ｙ ．  Ｅ ｘ ｐ ｅ ｒ ｍ ｅ ｎｔ ａ ｉ ｌｒ ｅ ｓ ｕ ｌ ｔ ｓｓ ｈ ｏｗｔｈ ａｔ  ＫＲ ＰＲ Ｏ 

？

ＴＥＣ ＴＯ Ｒ ｉ ｓ２ ０ ％ｍ ｏ ｒ ｅａ ｃ ｃ ｕ ｒ ａｔ ｅ ｎｉ ｄ ｅ ｎ ｔ ｉ ｉ ｆ ｉ ｈ ｈ

ｙ ｎ ｇｒ ａ ｎ ｓ ｏ ｍ ｗ ａｒｅｔ ａ ｎｏ ｔ ｅ ｒ  ｒａｎ ｓ ｏ ｍ ｗ ａｒ ｅ  ｄ ｅ ｔ ｅ ｃ ｔ ｏ ｎ

 ｉ

ｅｎ ｎｅ ｓ ａｎ ｄｃ ａ ｎｉ ｓ ｓ ｎｉ ｎ ｇ  ７ ０ ６

ｕ ｅ  ａ  ｗ ａｒ １ ３  ｓ ｅ ｃ ｏ ｎ ｄ ｓ  ｂ ｅ ｆｏ ｒ ｅ  ｔ ｈ ｅ  ｆ ｉ ｒ ｓ ｔ  ｆ
ｉ ｅｉ ｓｅ ｎ ｃ ｒｙｐ ｔｅ ｄ ｒ ｅ ａ ｚｉｎ
ｇ
ｉ ｌ ｉ


ｇ
． ｌ
， ，

ｈ ｅ  ｄ ｅ ｆｅ ｎ ｓ ｅ  ａ ｎ ｓ ｔ  ｅ ｎ ｃ ｒｙｐ ｔ ｎ ｇ  ｅ ｓ ｂ ｎ ｓ ｏ ｍ ｗ ａｒ ｅ  ｗ ｈ ｅ ｎ  ｔ ｈ ｅ  ｄ ｅ ｖ ｃ ｅ  ｉ ｓｎ ｏ ｔＲ Ｏ ＯＴ

ｇａ ｙｒ ａ
ｔ ｉ ｉ ｆｉ ｌ ｉ 

．

３ ．  Ｒ ｅ ｓ ｅ ａ ｒ ｃ ｈ  ｏ ｎ  ｒ ｅ ｓ ｏ ｕ ｒ ｃ ｅ  ｓ ｅ ｌ ｆ  ｒ ｅ ｃ ｏ ｖ ｅ ｒ ｙ  ｔ ｅ ｃ ｈ ｎ ｏ ｌ ｏ ｇ ｙ  ａ ｆｔ ｅ ｒ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ  ｉ ｍ ｐ ｌ ｅ ｍ ｅ ｎ ｔ ａ 

？

ｔｉ ｏｎ ． Ｗ ｉ ｔ ｈ  ｔ ｈ ｅ  ｅ ｖ ｏ ｌ ｕ ｔ ｏ ｎ  ｏ ｆ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａｒ ｅ
ｉ
， ｓ ｏ ｍ ｅｒ ａｎ ｓ ｏ ｍ ｗ ａｒ ｅ  ｈ ａ ｖ ｅ  ｃ ｏ ｍ ｅ  ｕ ｐ  ｗ ｉ ｔ ｈ  ｔｈ ｅ  ａ ｂ ｉ ｌ ｉ ｔ


ｙ

ｔ ｏ
ｐ
ｒｅ ｖ ｅ ｎ ｔ  ｕ ｓ ｅ ｒ ｓ  ｆｒ ｏ ｍ  ｃ ｏ ｎ ｎ ｅ ｃ ｔ ｉ ｎ ｇ  ｔ ｏ  Ａ Ｄ Ｂ  ｆｏ ｒ  ｒ ｅ ｓ ｏ ｕｒ ｃ ｅ  ｒ ｅ ｃ ｏ ｖ ｅ ｒｙ  ｕ ｓ ｉ ｎ ｇ  Ｕ Ｓ Ｂｓ ｈ ｉ ｅｌ ｄｉ ｎ
ｇ
．  Ｉ 

ｎ

ａ ｄ ｄ ｉ ｔ ｉ ｏ ｎ  ｔ ｏ  ｒ ｅ ｃ ｏ ｖ ｅ ｒ  ｒ ｅ ｓ ｏ ｕ ｒ ｃ ｅ  ａ ｆｔ ｅ ｒ  ｅ ｎ ｃ ｒ ｔｉ ｏｎ
 ｔ ｈ ｅ ｒ ｅ  ａｒ ｅ  ｐ ｒ ｏ ｂ ｌ ｅ ｍ ｓｓ ｕ ｃ ｈａ ｓｃ ｏ ｍｐ ｌ ｃ ａ ｔｅ ｄ
ｐ ｒｏ


？

ｙｐ
ｉ
，
，


ｃ ｅ ｄ ｕｒｅ ｓａ ｎ ｄ ｈ ｇｈ  ｉ ｔ ｈ ｒ ｅ ｓ ｈ ｏ ｌ ｄ ｏ ｆ ｕ ｓ ｅ ｒ ｐ ｒ ｏ ｆｅ ｓ 


ｓ ｉ ｏｎａ ｌ  ｂ ａｃ ｋ ｇ ｒ ｏ ｕ ｎ ｄ ｋｎ ｏ ｗ ｅ ｄ ｇ ｅ  ｌ ．  Ｔｈ ｉ ｓ
 ｐ ａｐ ｅ ｒ ｐ ｒｏｐ ｏ ｓ ｅ ｓ




Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ ，  ａ  ｒ ｅ ｓ ｏ ｕ ｒ ｃ ｅ  ｓ ｅ ｌ ｆ ｒ ｅ ｃ ｏ ｖ ｅ ｒｙ  ｔ ｏ ｏ ｌ  ｂ ａ ｓ ｅ ｄ  ｏ ｎ 
－

Ａ ｎ ｄｒ ｏ ｉ ｄ ｓ
ｙ ｓ ｔ ｅｍ  ． ＫＲ Ｒ Ｅ Ｃ Ｏ Ｖ Ｅ Ｒ  ａ ｕ 

？

ｏ ｍ ａｔｉ ｃ ａ ｌ ｌ  ｔｈ ｅ  ｒ ｅ ｓ ｏ ｕ ｒ ｃ ｅ ｓ  ｏ ｆ  ｔ ｈ ｅ  ｈ ｉ ａ ｃ ｋ ｅ ｄ  ｄ ｅ ｖ ｉ ｃ ｅ  ｂ ｒｍ ｉ ｎ ａ ｔ ｉ ｎ ｔｈ ｅ ｒ ｏ ｃ ｅ ｓ ｓｏ ｆｔｈ ｅ

ｙｒｅ ｃ ｏ ｅ ｒ ｓ
ｖ 

ｙｔ ｅ
ｔ
ｊ ｇ ｐ

ｗ ｏ ｒ ｄ Ｂ ｙｍ ｏ ｎ ｏｒ
ｉｎ
＊

ｉ ｅ ｓｗ ｒ
ｏ ｍ ｗ ａｒ ｅ  ａ ｎ ｄ  ｄ ｅ ｌ ｅ ｔ ｎ ｇ  ｔｈ ｅ  ｆ ｎ  ｎ ｔ ｏ  ｔｈ ｅ ｈ ｅ ｅ ｎ ｃ
ｙｐ ｔ ｏ ｎ


ｒａｎ ｓ ｔｔｅ
ｐａｓ ｓ
ｇｔ
ｉ ｌ ｉ ｉ ． ｉ ｔ ｉ ｉ


ＡＰ Ｉ
，  Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ  ｏ ｂ ｔ ａｉ ｎ ｓｔｈ ｅｋｅ
ｙ ｓｕ ｓ ｅ
ｄｉ ｎｄ
ｙ
ｎ ａ ｍ ｉ ｃｏ
ｐｅｒａ
ｔ ｉ ｏ ｎａ ｎ ｄｔ ｈ ｅｌ ｉ ｓ ｔ ｏｆｅ ｎ ｃ ｒ
ｙｐｔｅ


ｄ

ｙ ｐ ｔ ｅ ｄ
ｆ ｌ ｅ ｓｔ ｏｄ ｅ ｃｒ ｈ ｅｅｎ ｃ ｒ ｆ ｅ ｓ
ｙ ｐ ｔｔ
ｉ ｉ ｌ 

．

４  Ｒ ｅ ｓ ｅ ａ ｒ ｃ ｈ  ｏ ｎ  ｔ ｈ ｅ  ｎ ｅ ｘ ｔ  ｇ ｅ ｎ ｅ ｒ ａ ｔ ｉ ｏ ｎ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ  ｔ ｅ ｃ ｈ ｎ ｏ ｏ ｇ ｙ  ｆｒ ｏ ｍ  ｔ ｈ ｅ  ｐ ｅ ｒ ｓ ｅ ｃ ｔ ｖ ｅ


．

ｐ ｌ ｉ

ｏ ｆａ ｔ ｔａ ｃ ｋ ｅ ｒｓ ． Ａ ｍ ｉ ｉ ｎ
ｇ
ａｔｔ ｈ ｅ
ｐ
ｒｏ ｂ ｌ ｅ ｍ ｏ ｆ ｈ ｏｗ ｔ ｏａ ｃ ｔ ｉ ｖ ｅ ｌ
ｙ
ｉ ｎ ｄｍ ｏ ｒｅｐ ｏ ｔｅ ｎ ｔ
ｆ ｉ ａｌ  ｔ ｈ ｒ ｅ ａ ｔ ｓ  ｉ ｎ  ｔ ｈ ｅ



ｅｖ ｏ ｌ ｕｔ ｏ ｎ  ｏ ｆ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ  ａ ｎ ｄ  ｄ ｅ ｆｅ ｎ ｄ  ａ ｇ ａ ｉ ｎ ｓ ｔ  ｄ ｉ ｆ ｆｅ ｒ ｅ ｎ ｔ  ｅ ｘ ｔ ｏ ｒ ｔ ｉ ｏ ｎ  ｂ ｅ ｈ ａ ｖ ｉ ｏ ｒ ｓ  ｔ ｈ ｉ ａ
ｐ ｅ ｒｐ ｒ ｏ


？

ｓ
ｐ
ｉ
，

ｐｏｓｅ ｓｔｈ ｒｅ ｅｎ ｅ ｘ ｔ

－

ｇｅｎｅ
ｒａｔｉ ｏ ｎ  ｅ ｘ ｔ ｏ ｒｔ ｏ ｎ  ｔ ｅ ｃ ｈ ｎ ｏ ｌ ｏ ｇ ｅ ｓ ｉ ｉ ： ｄ ａｔ ａｈ ｉ
ｊ
ａｃ ｋ ｉ ｎ
ｇ
ｂ ａ ｓ ｅ ｄｏ ｎＤ Ｎ Ｓｃ ｈ ａｎ ｎ ｅ ｌ


，

ｄ ａ ｔ ａｈ ａｃ ｋ ｎｇ ｂ ａ ｓ ｅ ｄｏ ｎｍ ａ ｎ ｎ ｈｅ ｍ ｄ ｄ ｅａ ｔｔ ａ ｃ ｋａｎ ｄｃ ｏ ｍ ｍ ｕ ｎ ｃ ａ ｔ ｉ ｏ ｎｈ ｉ ａｃ ｋｉ ｎ ｂ ａ ｓ ｅ ｄｏ ｎ



－ － －

ｉ ｉ ｔ ｉ ｌ
ｇ
ｉ ｉ
ｊ  ｊ

ＤＮ Ｓ  ｈ ｉ
ｊ
ａｃ ｋ ｎ ｉ
ｇ
． Ｉ ｎａ ｄ ｄ ｉ ｔ ｏ ｎ ｉ
， ｉ ｎ ｏ ｒ ｄ ｅ ｒ  ｔ ｏ  ｄ ｅ ｆｅ ｎ ｄ  ａ
ｇａ
ｉ ｎ ｓ ｔ  ｄ ｉ ｆｅ ｒ ｅ ｎ ｔ  ｅ ｘ ｔ ｏ ｒ ｔ ｏ ｎ  ｂ ｅ ｈ ａ ｖ ｏ ｒ ｓ  ｔ ｈ ａ ｔ  ｍ ａ ｉ ｉ


ｙ

ＰＲＯＶ Ｅ ｎ  Ａ ｎ ｄ ｒ ｏ ｉ ｄ  ｅ ｘ ｔ ｏ ｒｔ ｏ ｎ
ｐ ａ ｐ ｅ ｒ ｐ ｒｏ ｐ ｏ ｓ ｅ ｓ  ＫＲ
ｏｃ ｃｕｒ ｉ ｎｔ ｈ ｅ ｅ ｖ ｏ ｕ ｔｉ ｏ ｎｏ ｆ ｌ  ｒａｎｓ ｏｍ ｗ ａｒｅ ， ｔ ｈ ｉ ｓ ， ａ 
 ｉ
 

ｂ ｅ ｈ ａｖ ｏ ｒｖ ｅ ｒ
ｉｆｉ ｃ ａ ｔ ｏ ｎ  ｆｒ ａ ｍ ｅ ｗ ｏ ｒ ｋ  ｔ ｈ ａ ｔ  ｓ ｕ ｐ ｐ ｏ ｒ ｔ ｓ  ｍ ｕ ｂ ｎ ａｔ ｏｎ ｓ ｄ
ｔ
ｐ ｅ  ｓ ｔｒ ａ ｔ ｅ ｇ ｙ  ｃ ｏ ｍ ａ ｎ
ｐｒ ｏ ｖ ｄｅ ｓ


ｉ ｉ ｌ ｉ ｌ ｉ ｉ ，
ｉ


ｄ ｅ ｆｅ ｎ ｓ ｅ  ｓ ｕ  ｂ ａ ｓ ｅ ｄ  ｏ ｎ  ｔ ｈ ｅ  ｔ ｅ ｓ ｔ  ｒ ｅ ｓ ｕ ｌ ｔ ｓ  ｏ ｆ  ｅ ｘ ｔ ｏ ｒ ｔ ｏ ｎ  ｂ ｅ ｈ ａ ｖ ｏ ｒ ｓ  ｏ ｂ ｔ ａ ｎ ｅ ｄ  ｆｒ ｏ ｍ  ｖ ａ ｒ
ｉｏｕｓ
ｇｇｅｓｔ ｏｎｓ 

ｉ ｉ ｉ ｉ

ｓ ｔ ｒ ａ ｔｅ
ｇ ｙ  ｃ ｏ ｍｂ ｉ ｎ ａ ｔ ｉ ｏ ｎ ｓ  ｏ ｎ  ｄ ｅ ｖ ｉ ｃｅｓ 

．

Ｋ Ｅ Ｙ Ｗ Ｏ ＲＤ Ｓ  Ａ ｎ ｄｒ ｏ ： ｉ ｄ  Ｒ ａ ｎ ｓ ｏ ｍ ｗ ａｒ ｅ  Ｂ ｅ ｈ ａ ｖ ｉ ｏ ｒ  Ｄ ｉ ｓｔ ｉ ｎ ｇ ｕ ｉ ｓ ｈ ａｂ ｌ ｅＩ ｎ ｔｅ ｒｅ ｓ ｔＦｏ ｌ ｄ ｅ ｒＡ ｃ ｃ ｅ ｓ ｓ




Ｐ ｅ ｒｃ ｅ ｖ ｅ ｄＲ ｅ ｓ ｏ ｕ ｒｃ ｅ ｓ Ｓ ｅ ｌ ｆ ｒｅ ｃ ｏ ｖ ｅ ｒｙ
Ｎ ｅ ｘ ｔ Ｇ ｅ ｎｅｒ ａ ｏ ｎ  Ｒ ａ ｎ ｓ ｏ ｍ ｗ ａｒ ｅ


－

ｉ  ｔ ｉ

ｉ 

ｖ
 目 

录

第 章 绪论
一

 

１

１ ． １ 研宄背景 ．  

１

１ ． ２ 国 内 外研究现状  

２

１ ． ２ ． １ 勒 索激活 前 检测 技术研 究现状  


２

１ ． ２ ２ ．
勒 索 进行 中 防 御技术研 究 现状  

３

１ ． ２ ３ ．
勒 索 实施 后 资 源 恢 复 技 术 研 宄 现 状  

５

１ ． ２ ４ ．
勒 索 技术 发 展趋 势 研 究 现状  

５

１ ． ３ 研究 内 容  

６

１ ． ４ ＿节鋪 ＿  

９

第二 章 勒 索 应用 行为刻 画 与 实现方法 分析  １ １



２ ． １ 雛   １ １



２ ２ ．

设备 劫 持 型勒 索应用  １ １



２ ２ ． ． １ 设 备劫 持 型 勒 索 应 用 的 行为 表 现  １ １



２ ２ ２
．

设备劫 持 型 勒 索 应 用 的 设计 实现
．  １ 

２

２ ３ ．

屏 幕 资 源 劫 持 型勒 索应 用  １ 

３

２ ３ ． ． １ 屏 幕 资源劫 持 型 勒 索 应 用 的 行为表现  １ 

４

２ ３ ２
．

屏 幕资 源劫 持型勒 索 应 用 的 设计 实现
．
 １ 

４

２ ４ ．
文件加密 型勒索应用  １ 

６

２ ４ ． ． １ 文件加 密 型 勒 索 应 用 的 行为 表现  １ 

６

２ ４ ２
． ．
文件加 密 型 勒 索 应 用 的 设计 实 现  １ 

７

２ ． ５ 本章小结  １ 

８

第 三 章 Ｋ ＲＤ Ｒ Ｏ Ｉ Ｄ ：

行为 可 区 分 的 勒 索 应 用 激活前检测 研 究  １ 

９

３ ． １ 弓 丨 胃  １ 

９

３ ． ２ 勒索应用 与 良 性应 用 的 区 别  ２ 

１

３ ．
２ ． １ 设备屏幕 资 源劫 持类勒 索 应 用 与 良 性应 用  ２ 

１

３ ．
２ ２ ．
文件加 密 类 勒 索 应 用 与 良 性 应 用  ２３



３ ． ３ 方案 设计  ２５



３ ．
３ ． １ 工 作流 程  ２５



３ ． ３ 特征提取
． ２  ２６



３ ． ３ 勒索应用 识 别
． ３  ２９



３ ． ４ 实验 评 估  ３ ０



３ ． ４ 实 验数 据
． １  ３ 

１

３ ． ４ ２ 评价指 标
．  ３２



３ ．
４ 实验 分 析
． ３  ３ ３


 ３ ． ５ 本章小结  ３ ６



第 四 章 ＫＲＰ Ｒ Ｏ Ｔ Ｅ Ｃ Ｔ ＯＲ 基 乎 兴 趣 文 件 夹 访 问 感 知 的 勒 索 应 用 实 时
：


检测研 究  ３ ７



４ ． １ 弓 丨 胃  ３ ７



４ ２ ．
加 密手段 分析  ４０



４ ３ ．

方案设计  ４５



４ ３ ． ． １ 工 作 流程  ４５



４ ３ ２
． ．
兴趣文件 夹 部署  ４６



４ ３ ３
． ．
加 密 勒 索 应 用 检 测 与 文件 保护  ４８



４ ４ ．

实验 评 佔  ５ 

１

４ ４ ． ． １ 实验数据  ５ 

１

４ ４ ２
． ．
评 价指 标  ５２



４ ４ ３
． ．
实验分 析  ５２



４ ５ ．

本削 结 、
 ６０



第五章 ＫＲＲ Ｅ Ｃ Ｏ Ｖ Ｅ Ｒ ：
勒 索 实施 后 资 源 自 恢 复 技术研 宄  ６ 

１

５ ． １ 弓 Ｗ ［
 ６ 

１

５ ． ２ 恢 复 策 略 设计  ６３



５ ． ２ 前提假 设
． １  ６３



５ ． ２ ２ 恢 复策 略
．  ６３



５ ． ３ 方案设计  ６４



５ ． ３ 设 备恢复 算 法
． １  ６５



５ ． ３ ２ 文件恢 复 算 法
．   ６５



５ ． ３ 监控算法
． ３  ６６



５ ． ４ 实验评 估  ６７



５ ． ４ 实 验数据
． １  ６８



５ ． ４ ２ ．
实验 分 析  ６８



５ ． ５ 本章小结  ７３



第六章 Ｋ ＲＰ Ｒ Ｏ Ｖ Ｅ ：
攻击者视角 的 新型 勒 索 技 术  ７５



６ ． １ 弓 丨 胃  ７５



６ ２ ．

勒 素 技 术 发 展 技 术 分析  ７６



６ ． ２ 设 备 劫 持技 术
＿ １  ７６



６ ２ ２
． ．
屏 幕 资 源 劫 持技术  ７７



６ ２ ．

文件加 密 技 术
． ３  ７９



６ ． ２ ４ 其他技术
．  ８ 

１

６ ３ ．

新 型 勒 索 技 术 发 展趋 势  ８３



６ ３ ．

新 型勒 索 技 术模式 分析
． １  ８３



６ ３ ． ２ 新 型勒 索 技 术 实验验证
．  ８５



６ ４ ．

勒 索 行为 验证 框 架  ８９


 ６ ４ ． ． １ 工 作流程  ８９



６ ４ ２
． ．
防御策 略  ９２



６ ５ ．

木章小结  ９５



第七章 总 结 与 展望  ９７



７ ． １ 工作总结  ９７



７ ２ ．
未 来展望 ＂  ９８



参考 文献  １ ０ 

１

图 目 

录

图目录



１
－

１
本文 主 要工 作  

７

２ －

１
设 备劫 持 示 意 图  １ １



２ －

２ 屏幕 资源 劫持 示 意 图   １ 

４

２ －

３ 安卓 ２ ３
．
版本 以下重写 Ｏ ｎ Ａ ｔ ａｃ ｈ Ｗ ｉ ｎｄ ｏ ｗ 的例子  １ 

５

２４ 安卓 ４ ０
．
版本 以上重写 Ｏ ｎ Ａ ｔ ａｃ ｈ Ｗ ｉ ｎ ｄｏｗ 的例 子  １ 

５

２
－

５ 安卓 ４ ０
．
版本 以 上重 写 Ｏ ｎ Ｋｅ ｙ Ｄ ｏ ｗ ｎ 的例子  １ 

６

２
－

６ 文 件 加 密示 意 图    ：  ：  １ 

６

３
－

１
具有 设 备锁 定 功 能 的 良 性应 用  ２ 

１

３
－

２ 设备 劫 持 锁 定 勒 索 应 用 和 良 性 应 用 之 间 的 区 别  ２３



３
－

３ 文 件 加 密勒 索 应 用 与 良 性 应 用 的 区 别  ２３



３
＿

４ 行 为 可 区 分 的 勒 索 应 用 检 测 引 擎 的 工 作 流程 示 意 图  ２５



３
—

５ 联合特征 构 建 流程示 意 图  ２８



３
－

６ 网 格 搜 索算 法 参 数 调 优 示 意 图  ３ 

１

３
－

７ 数据 集 构 成  ３２



４ －

１  ＫＲ Ｐ Ｒ ＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 工 作 流 程 示 意 图  ４６



４ －

２ 文 件 加 密 与 预警 时 间 线 示 意 图   ５８



５
－

１ Ｋ Ｒ ＲＥ Ｃ Ｏ Ｖ Ｅ Ｒ 工 作 流 程 示 意 图  ６４



５
－

２ 设 备 劫 持恢 复 实 验 效 果  ６９



５
－

３ 原始 文件  ７０



５
￣

４ 文 件＿  ７０



５
－

５  文件 ＿  ７０



５
－

６ 设 备 劫 持恢 复  ７ 

１

５
－

７ 被加 密 的 文件  ７ 

１

５
－

８ 文 件解 密  ７２



５
－

９ 解密 时 间 与 文 件大小 关 系  ７３



５
－

１ ０  Ｋ Ｒ ＲＥＣ ＯＶ Ｅ Ｒ 资源消耗示意 图  ７３



６ －

１ Ｄ Ｎ Ｓ 劫 持模 式 示 意 图  ８３



ｉ 

ｘ
北 京 邮 电 大学 工 学 博 士 学 位 论 文 



６ －

２ 基 于 中 间 人 攻 击 的 数据 劫 持模 式 示 意 图  ８４



６ －

３ 基于 ＤＮ Ｓ 信道 的 数 据 劫持 模 式 示 意 图  ８５



６４ 基于 ＤＮ Ｓ 劫 持 的 通 信 劫 持验证 结果  ８６



６ －

５ 基 于 中 间 人 攻 击 的 数 据劫持验 证 结 果  ８７



６ ￣

６ 基于 ＤＮ Ｓ 信 道 的 数 据劫 持 验 证 结 果  ８８



６ －

７  ＫＲ Ｐ ＲＯＶ Ｅ 工 作 流程示 意 图  ８９



６ －

８ 加 载 模式 示 例  ９０



６ －

９ 代 码恢复模式示 例  ９０



６ －

１ ０ 伪装 模式示 例  ９ 

１



Ｘ

表目录



表目录



２ －

１
设 备劫 持型勒 索 应 用 的 典 型 特征   １ 

３

２
－

２ 屏幕 资 源 控 制 勒 索 应 用 的 典 型 功 能  １ 

５

２ －

３ 文 件 加 密勒 索 应 用 的 典 型 功 能  １ 

７

３
－

１
设备 劫 持型 和 屏幕 资 源控 制 勒 索 应 用 与 良 性 应 用 之 间 的 区 别  ２２



３
－

２ 文件 加 密勒索 应 用 与 良 性应用 的 区 别  ２４



３
－

３ 聚 类 结 果 评 价 变 量 详情  ２８



３
－

４ 模 型 参 数 选择 详情  ３ 

１

３
－

５  Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 勒 索 应 用 识 别 结果  ３４



３
－

６  Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 、 Ｒ Ｐａ ｃ ｋ Ｄ ｒ ｏ
－

ｉ ｄ 和 
Ｈ ＥＬ Ｄ Ｏ Ｒ Ｉ Ｄ  的 比 较结果  ３５



仁１ 勒索 进 行 中 防 御 技 术 概 览  ３９



４ －
２ 加 密 型 勒 索 应 用 的 攻击 时 间 特 征  ４０



４ －

３ 加 密 型勒 索 应 用 的 攻 击 目 标 文 件 夹 特 征  ４１



４ ￣

４ 加 密 型 勒 索 应 用 加 密 时 遍历 方 法 特 征  ４１



４ －
５ 加 密型勒 索 应 用 加 密 时 文 件获 取 顺 序 特 征  ４ 

１

４ ￣

６ 加 密 型勒 索 应 用 加 密 时 加 密 顺 序 特征  ４２



４ －

７ 加 密型勒 索 应 用 加 密 时加 密 方 法 特 征  ４２



４ －

８ 加 密 型 勒 索 应 用 加 密 时 加 密模 式 特 征  ４３



４ －

９ 加 密 型 勒索 应 用 加 密 时 加 密 策 略 特 征  ４４



４ －

１ ０ 加 密 型 勒 索 应 用 加 密 时 目 标 文 件 选择 特 征  ４４



４ －

１ １
加 密 型 勒 索 应 用 加 密 时加 密 文 件 名 变 化 特 征  ４５



４ －

１ ２  Ｋ Ｒ Ｐ Ｒ Ｏ ＴＥ Ｃ Ｔ Ｏ Ｒ 良 性应 用 过 滤 规 则  ４８



４ －

１ ３ Ｋ Ｒ Ｐ ＲＯ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ 与 其 他 加 密勒 索 应 用 检 测 引 擎 的 实 验 对 比结果 ． ． ． ． ５４



４ －

１ ４  Ｋ Ｒ Ｐ ＲＯ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ 文 件 防 护 测 试结 果  ５６



４ －

１ ５ 六 种 测 试 设备 的 结 果 展 示  ５９



５
－

１
测 试数 据集 组 成表  ６８



６ －

１
安卓 版 本 与 设 备 劫 持 （ 加密 ） 实 现 方法  ７７



６ －

２ 安 卓 版 本 与 屏 幕 资 源 劫 持 实 现方法   ７９



６ －

３ 安 卓 版 本 与 文 件 加 密 实 现方 法  ８０



ｘ ｉ
北 京 邮 电 大 学 工 学 博 士学 位 论 文 



６ ￣

４ 安卓 版 本 与 按 键 屏 蔽 实 现 方 法  ８ 

１

６
－

５ 安 卓版 本 与 信 息 窃 取实 现方法  ８２



６ ￣

６ 新 型 勒 索 应 用 攻 击 技 术在 安 卓 不 同 版本 上 的 验 证  ８５



６ －

７ 防御效果概览  ９３



ｘ ｉ ｉ

符号 歹 表

 ！
｜

符号列表



Ｒ 勒索应用 集合


Ｒｌ ｄ 设备 劫 持 型 勒 索 应 用


Ｒ ｓ ｒｃ  屏 幕 资 源 劫 持 型勒 索 应 用


Ｒ ｆｅ 文 件加 密 型 勒 索 应 用


Ｂｌ ｄ  设备 劫 持 型 勒 索 应 用 运 行 时 行 为 表 现


Ｂ Ｓ ｒｃ  屏 幕 资 源 劫 持 型 勒 索 应运 行 时 行 为 表 现


Ｂ ｆ ｅ 文 件 加 密 型 勒 索 应 用 运 行 时行 为 表 现


Ｍｌ ｄ  设 备劫 持 型 勒 索 应 用 勒 索行为 实 现方 法


Ｍ ｓ ｈｃ  屏 幕 资 源 劫 持 型 勒 索 应 勒 索 行为 实 现 方 法


Ｍｆ ｅ  文 件 加 密 型 勒 索 应 用 勒索行为 实 现 方法


＜Ａｓｕ ｂ ， 
Ｒ ｒ ＞  Ａ ＰＩ 调用 序列


？ ＾ ｏｒｄ ｅｒ   〇
文件加 密 索应用 攻 击 方 式
＂

ｏｔ ｔｉ ｍｅ ｊ 
Ｏ ＾＾ ｔ ａｒ ｅｔ  ｊ 
〇 ｔｔ
＞
 ｅ ｎｍ ｅ ｔ ｈ ｏｄ  
．
＾＾ ｆｅ ａ  ｝ 萄 Ｊ ［
＇



！
（ ｇ ｉ ｉ

Ｅｍ ｏ ｄｅ  勒 索 应 用 加 密 模式


ＥＬ  相 加 求 和
ｏ


ＡＤ Ｂ  Ａ ｎ ｄ ｒ ｏ ｉ ｄ Ｄ ｅ ｂ ｕ ｇ Ｂ ｒ
ｉ ｄｇｅ

 


ｘ ｉ ｉ ｉ
 第 章 绪论


一

第 一

章 绪论



本章 将 介 绍 四 部 分 内 容 ，
包 括 研 究背 景 与 意 义 部 分 、
国 内 外 研究现 状 部分 、 研究


内 容 部 分 以 及 章 节安排部 分 。 研究 背 景 与 意 义将 阐 述 勒 索 应 用 特 点 以 及 安 卓 平 台 勒


索 应 用 防 护 体 系 中 存在 的 威 胁 ， 研 究 现 状 将 阐 述 当 前 安 卓 平 台 勒 索 应 用 研 究 中 存在


的问题 ， 研 究 内 容 将 阐 述本 文 解 决 的 问 题 及 研 究 成 果 

。

１ １
．
研 究背 景



勒 索 应 用 是 通 过 更 改 用 户 的 设备密 码 强 制 、
占 用 用 户 的 屏幕 资 源 、 主动 加 密 或盗


取用 户设 备 中 的个人文件等 操 作 ， 使 用 户 无 法 正 常 使 用 个 人设 备 、 无 法 正 常打 开 文


件 ， 从 而 向 其 勒 索 赎金 的 恶 意 应 用 。
该 类 应 用 生 产 成 本 低 廉 且 对 用 户 的 威胁 较 高 。 

近
年来 ， 随着 Ａ ｎ ｄｒ ｏ ｉ ｄ 系 统 占 有 的 市 场 份额 越 来 越 高 ， 勒 索 应 用 的 数量 也 急 剧 上 升 。


自

２０ ４ 年第 个在 Ａ ｎ ｄｒ ｏ ｄ 平 台 实现 的勒索 应 用 的 出 现 至 今 勒 索 应 用 的 数量 不 断 增


一

１ ｉ
，

⑴
长 据统 计 ２ ０２ 年 全 年 发 生 的 勒 索事件 较 上 年 度 增 长 了 ４８ ％ 根据 Ｆ ｒｅ ｅ Ｂ ｕ ｆ


一

。 １ １ 。
，

发 布 的 统 计数据 可 知 ， 勒 索 应 用 对 用 户 造成 的 经 济损 失 逐年上涨 ，
２０ １ ９ 年用 户支付


赎金 的 平 均 金 额 为 ２ ５ ．
万美元 ，
２０２０ 年 用 户 支 付 的 赎 金是 ２０ １ ９ 年的的 ３ ５２
．

倍 ， 高达


⑵
８ ８
．
万美元 ， 到 ２ ０２ １
年 ， 该金 额 已 经 超 过 了  １ １ ． ８ 万 美元 

。

４
近年来 基 于 安卓 平 台 的 移 动 设 备 大 幅 增 加 值得注 意 的 是 年底
３

到 ２０ ２ ０
［ ］

。
， ， 

，

安 卓 的 数 量将 达到 ６ １
亿左右 。 目 前 ，
Ａ ｎ ｄｒｏ ｉ ｄ 上运 行 的 勒 索 应 用 仍 然 是 移 动 设 备


面 临 的 主 要 威胁 。
据 Ｃ ｈ ｅ ｃ ｋ Ｐｏ ｎｔ  ｉ
发 布 的 报 告显示 ， 在 ２ ０２ １
年 的 最 后 六个月 ， 加 密勒


索 攻击 增 加 了 
５７ ％ 。
报 告 中 还提到 ， 平均 每 １ ０ 秒 就会 有 一

个新 组 织 受 到 加 密 勒 索 应


用 的 攻击 由 于 网 络 犯 罪 的 风 险 低于 现 实 犯 罪 所 以将 吸引 更多 的 罪 犯 实施


３
＿

１ （ ） １ １ １
［ ］ ［ ］

。
，

和 传 播勒 索 应 用 ，
这 将 对 安 卓 平 台 构 成 更大 的 威 胁 

。

当 前 对 于 安 卓 平 台 勒 索 应 用 的 研 究 和 对勒 索 行 为 的 防 护 仍 处 在 以 被 动 检 测 为 主


的局面 ， 即 绝 大 多 数 研 究 集 中 在 如 何 准 确 髙 效地 识 别 勒 索 应 用 ，
通 过在 勒索 应 用 被激


活 前 定位 到 该 应 用 并进 行 处 置 ， 从 而 达 到 对安 卓 设备 的 防 护 。 然而 ， 勒 索行 为 的 全 过


程 还 包 含 着 应 用 被 激 活 后 对屏幕 、 文 件 等 资源 的 劫 持 ， 以 及 应 用 为 抗逃逸检测 进行 的


主动进化 仅 针 对 全 过程 某 阶 段 的 孤 立 的 防 护 无 法 对勒 索行 为 的 全 过 程 起 到 防 护


一

的 作用 

。

为 了 更 加 全 面地 保 护 安 卓 设备及 用 户 文 件 免 受 勒 索 应 用 的 危 害 ，
本文开展 了 安


卓 平 台 的 勒索 应 用 研 究 ， 提 出 了 面 向 安卓 平 台 的 勒 索 行 为 全 生 命 周 期 的 安 全 防 护 体


系 ，
包 含 在 勒 索 应 用 攻 击 实 施 前在 服 务 器 端 对勒 索 应 用 的 识 别 ；
攻击 实 施 中 在设备 端


对 勒 索 应 用 的 识 别 与 对勒 索 行 为 的 阻 断 ；
攻击 实 施 后 在 设 备端 进 行 被 劫 持 资 源 的 恢





１
北京 邮 电 大 学 工学 博士学 位 论 文 



复 ， 以 及 通 过 对勒 索 应 用 攻 击 行 为 进 化 方 向 的 研 究 ， 进行 潜 在 威 胁 的 主 动 发 现 。 本文


研 究 将对 勒 索 应 用 的 被 动 检 测 与 主 动 防 御 相 结 合 ， 在勒 索 行 为 的 全 生 命 周 期 形 成 了



面 向 设 备 与 数据 的 安 全 防 护 体 系 ，
对 系 统 的 安 全 性起 到 了 重 要 的 作 用 

。

１ ２ ．
国 内 外 研 究现状



本 节 将 围 绕 着勒 索 应 用 从 安 装 到 成 功 实 施 后 的 整 个 生 命 周 期 ， 对其 涉 及 到 的 检


测技术 、
防御技术 、
资 源 恢 复 技 术 以 及 勒 索 应 用 开 发 的 技术 发展 趋 势 现 状 进 行 介 绍 与


分析 

。

１ ． ２ ． １ 勒 索 激 活前 检测 技术 研 究现 状



当 前 对 于 勒 索 激 活 前 检 测 技 术 的 研究 ， 可 主 要 分为 基于 Ｉ／ Ｏ 的勒索应 用 检测 、


基
于 动 态 分 析 的 勒索 应 用 检 测 与 基 于 静 态 分 析 的 勒 索 应 用 检 测 ［
１ ４］


。

１ ．
基于 Ｉ／ Ｏ 的 勒 索应 用 检 测


Ｓ Ｓ ｏｎ ｇ 等人 ｍ 提 出 了 种通过 Ｏ 读写 Ｃ ＰＵ 使 用 率 和 内 存 使 用 率 进 行勒 索 应


一

．  Ｉ／
，

用 检 测 的 方法 。
该方 法 通 过 监 视 文 件 事 件 和 计 算 资 源 来 区 分 正 常 进 程 和 勒 索 应 用 。


该
方 法 不 需 要 任 何 关 于 勒 索 代 码 的 信 息 可 以 保 护 用 户 免 受勒 索造成 的 损 害 ，
。 Ｃ ｏ ｎｔ ｎ ｅ Ｕ ａ
ｉ 

．

等人 提出 种 感知勒 索 应 用 的 文件 系 统 通过 使用 情
６］
Ａ Ｏ 

１
Ｓ ｈｉ ｅ ｌ ｄＦ Ｓ Ｓ ｈｉ ｅｌ ｄＦ Ｓ
［ 一

。 Ｉ ／
，

况和 Ｉ ＲＰ 记 录器 （
Ｉ／ Ｏ 请 求 包 记 录器 ） 的 更改来检测勒 索 。
该方法 主 要 检 测 文 件 加 密


勒索应用 ，
也 可 以 恢 复 已 经 被 勒 索 应 用 加 密 的 文件 

。

？
Ｆｅ ｎ ｇ Ｙ 等 提出 了 种 基 于 欺骗 和 行 为 监控 的 文 件 加 密勒 索 应 用 检 测 方法 

他
一

。


们 开 始 就在 设 备 中 创 建 了 诱饵 文 件 以 引 入 加 密诱 饵 文 件 的 勒 索 应 用 通 过这 种 方


一

，
。

式 ，
可 以 检测 异常过程 

。

总 而 言之 ， 基于 Ｉ／ Ｏ 使 用 情 况 的 勒 索 应 用 检 测 引 擎对 文 件 加 密 非 常 敏 感 ， 因 为勒


索 应 用 加 密需要大量 的 输 入 和 输 出 文件流 。 设备劫 持型勒 索 应 用 与 控制 资源 劫持型


勒 索 应 用 资 源 可 能 不 适 用 于 使 用 基于 Ｉ／ Ｏ 的 勒 索 应 用 检 测 手段 进行 检 测 

。

２ ．
基 于动 态分析的 勒索 应 用 检测


Ｓ ｇ ａｎ ｄｕ ｒｒ ａ  Ｄ 等人 间 提 出 的 Ｅ ｄｅ Ｒ ａｎ  种 基于 动 态 分 析和 机 器学 习 分 类 的 面 向


—

ｌ
，

勒索 应用 的 检测 引 擎 。 Ｅ ｄｅ Ｒ ａｎ
ｌ
侧 重于 检查 应 用 程 序 的 安装 ，
通 过 通 过监控选 定 的


Ａ ＰＩ 来 检 查勒 索 应 用 的 特 征 和 迹 象


考 虑 到 某 些 勒 索 应 用 可 能 使 用 复杂 的 包 装 技 术 ，
Ｃ ｈｅｎ  Ｊ 等 提出
一

种 具有 动 态


分析 的 实 时 勒 索 应 用 检 测 系 统 ，
Ｒ ａ ｎ ｓ ｏｍ Ｐ ｒｏ ｂ ｅ ｒ 。 Ｒ ａｎ ｓ ｏ ｍ Ｐｒｏ ｂ ｅｒ 不 是监 视 ＡＰＩ ，
而是使


用 信 息 摘来 衡量敏 感 录 中 的 数 据 转换程 度 在某种程度上 它 可 以 检测 具有定
９］



１
［

目 。
，

制 密 码 系 统 的 文 件 加 密勒 索 应 用 

。

具有 动 态 分析功 能 的 检 测 引 擎可 以 实 时检 测 勒 索 应 用 。 应 用 程序 中 检 测 引 擎 的





２
 第 章 绪论


一

？
分析 时 间 大 约 需 要 秒钟 在 检 测 到 大规 模 样本 时 处 理 将非 常耗 时
１
［

５ 。
，


。

３ ．
基于 静态 分 析 的 勒 索 应 用 检 测


％
Ｈ ｅ Ｄ ｒｏ ｄ
ｔ

是 种 面 向 勒索 应 用 的 检 测 引 擎 它 通 过 基于 Ｎ ＬＰ 的 敏感 文本 

基
一

ｌ ｉ 、
，

？
于 Ｆｌ ｏ ｗ Ｄ ｒ ｏ ｄ ｉ
的 锁 定 设备功 能 和 文 件加 密 的 的 功 能 来 识 别 勒索 应 用 。 根 据检 测 引



擎 的 判 断 逻 辑 勒 索 应 用 必 须 具 备勒 索文本 ，
。 它 需 要 训 练 的 语 料 库 应 该 是 涵 盖 大概 的


勒 索 关 键词 ， 以 及 语言 。 面 对 未 知 的 应 用 程序 时 语 言 ， 即 使 有勒 索 行 为 ， 检测 引 擎也


无 法识 别 勒 索 应 用 平均 每 个 样本 的 执 行 时 间 接 近 秒 ［
２（） ］
。 

。

＾
大约 一

年后 ，
一

些研究 人 员 改进 了  Ｈ ｅ ｌ Ｄ ｒｏ ｄ ｉ
， 并提 出 了
一

种 新的面 向 勒索应


Ｍ Ｍ
用 的检测 引 擎 ，
Ｇｒｅ ａ Ｅ ａ ｔ ｔｌ ｏｎ 。 它扩展了 
Ｆ ｌ ｏｗ Ｄ ｒｏ ｉ ｄ 来 跟 踪与 加 密有 关 的 信息 流 

，

以 改 进 加 密检 测 引 擎 它 还添 加 了 个 轻 量 级 预 过滤 器 来 过 滤 分 析 队 列 中 的 元 素 

以
一

。
，

缩 短执 行 时 间 当 面 对 使 用 了 不 在 语言 库 中 的 国 家 的 语言 的 勒 索 应 用 检测 引 擎


［
２２ ］
。
，

无 法识 别勒索 应 用 

。



？
为 了 检 测 带有 混 淆 的 勒 索 应 用 年提 出 了
２３
，
２０ １ ８ 
Ｒ Ｐ ａｃ ｋ Ｄ ｒ ｏ
－

ｉ ｄ
［

Ｌ 与 Ｈ ｅ Ｄ ｒｏ ｌ ｉ ｄ

Ｍ
和 Ｇ ｒｅ ａ Ｅ ａ ｔ ｔｌ ｏｎ 不同 ， 它 被 设 计 为 可 以 安装 在 手 机 上 的 应 用 程 序 。 此检测 引 擎使用


静 态 检 测 并 提取 Ａ ＰＩ 包 来 表 示 应 用 程序 ， 并 使 用 随机 森林进 行 分 类 。 Ｒ Ｐ ａｃ ｋ Ｄ ｒ ｏ
－

ｉ ｄ 

具
“
有 防 止混淆 的 相 关 信息
”
由于 Ｒ 的 检 测 模式 为 安装 检测 所 以在


２３］ ２３］
［

。
－

Ｐ ａ ｃ ｋ Ｄ ｒｏ ｉ ｄ ［
－

处 理 大 规 模样 本 的 时 候 会 非 常 耗 时 

。

１ ２
． ． ２ 勒 索 进行 中 防 御 技术 研 究现状



当 前 移 动 端 勒 索 进 行 中 的 防 御 技 术 研 究 主 要 集 中 在 勒 索 应 用 被激 活 后 ， 实施加


密 前 对 用 户 进 行 预警 与 在勒 索 应 用 实 施 加 密 时 对 用 户 进行 预 警 两 个方 面 

。

１ ．
勒 索 应 用 被激 活 后 ， 实 施 加 密 前 的 防御 技 术


勒 索 应 用 被 激活 后 ， 实 施 加 密 前 的 防 御 技 术 旨 在 通 过 感知 勒 索 应 用 的 加 密 行 为 

，

在 勒 索 应 用 加 密 用 户 文 件前 向 用 户 进行 预 警 ， 从 而实 现对用 户 文 件 的 保护 

。

设 计 的 检 测 引 擎 是搭 载 在 安 卓 移 动 设 备 上 具 有 文 件
２ ４］

等人 

２５］
Ｓ Ｄ Ｇ ｕ ａｒｄ 和 Ｙｕ ａｎ
［ ［

加 密 防 御功 能 的 勒索应 用 检测 引 擎 ，
它 们 可 以 通 过 动 态 分 析在勒 索 应 用 被激 活 后 ， 

实
施加 密前检测 加 密勒索 应 用 。 Ｙｕ ａ ｎ 等 人 ？ 在安卓上激活 Ｌ ｉ ｎｕ ｘ 的 访 问 控 制 列 表机 制 

，

Ｓ Ｄ Ｇ ｕ ａｒｄ 通过 修 改 安 卓 源 代 码 ， 提供 了
一

个基 于 自 主访 问 控制 的 文 件访 问 控制 框 架 

。

它 们 通 过 控 制 外 部存储 文 件 操 作 来 防 止 加 密 勒 索 应 用 加 密 文 件 

。

前面 提 到 的 两 个 勒 索 应 用 检 测 引 擎 应 安装 在 已 经 ＲＯ ＯＴ 的 安 卓 设 备上 ，
也就是


说 安 卓 设备 应 重 新 打 开 超级管 理 权 限和 超级 管 理 员 状 态 它 们 无 法 在 没 有
， ，
ＲＯ Ｏ Ｔ 

的
安卓设备 上 检 测 加 密 勒 索 应 用 。
目 前 ， 目 前 对勒 索 应 用 在 被激 活 后 对 文 件 进 行 加 密 之


前 进行实 时检测 的 方法研究较少 。 研 究 人 员 通 常 通 过 修 改 文 件访 问 控 制 来 防 止 加 密


勒 索 应 用 对 文 件进 行 加 密 ， 所 有 这 些 都需 要 安卓 设 备提 前 ＲＯ Ｏ Ｔ 

。

些 研 究提 出 了 在 ＰＣ 端检测 密 码勒索 应 用 的 不 同 方法 ， 例 如 基 于 诱饵 的 加 密勒





３
北 京 邮 电 大 学工 学 博 士 学 位 论 文 



索应用 检测 。
据我 们 所知 ， 这 种 方法 还 没有 成功 地 应 用 于 没有 ＲＯ Ｏ Ｔ 的 安卓设备上


的 加 密勒 索 应 用 检测 

。

ＲＷ Ｇ ｕ ａ ｒ ｄ 岡 基于 Ｗ ｉ ｎｄｏｗ ｓ 上 的 诱饵 检测 加 密勒索 应 用 。 ＲＷ Ｇ ｕ ａ ｒ ｄ 监视进程 的



Ｉ／ Ｏ 请求 ， 以 及访 问 文件 后 对 文件 的 更 改 。
为 了 识 别 哪 个 进程 对 文 件 进 行 了 重 大 更 改 

，

ＲＷ Ｇ ｕ ａ ｒ ｄ 设置 了 两个监 控模 块 来 相 互通 信 如 果 发 现 可 疑 进程 则 根 据相 关 。
，
日 志判断


加 密是否 是 用 户 的 意 图 。
如果不是 ，
则 ＲＷ Ｇ ｕ ａ ｒ ｄ 判 断该进程 属 于加 密勒索应用 。
作为


个 独 立 的 模块 如 果 诱饵 监 控模块 监 控到 某 个 进 程 对诱 饵 有 写请 求 则 监 控模 块 判


一

，
，

定 某 些 文 件正在被勒索 应 用 进行加 密 。 ＲＷ Ｇ ｕ ａ ｒ ｄ 是基于 监控对诱 饵 文件 的 写请求进



若勒 索 应 用 在进行 文 件 加 密 时 釆 用 了 移动 读取 加
“

行加 密勒索 应 用 的 识 别 。
然而 ， 
 －
－

密 写 入 移动 的 模式 即 勒 索 应 用 不 对其 原 始 文 件 夹 中 的 文件进行 加 密
”
－ －

，
ＲＷ Ｇ ｕ ａ ｒ ｄ 

可
能 无法 感知 勒 索 应 用 ，
会 将勒 索 应 用 误判 为 正 常 应 用 程 序 。 此外 ，
ＲＷ Ｇ ｕ ａｒ ｄ 在 ＨＯＯＫ



的 帮 助下记录 日 志 中调用 的相关 ＡＰＩ ．

并且 ＨＯ ＯＫ 必须应 用 在有 ＲＯ ＯＴ 的 设备上 

。

也就是说 ，
ＲＷ Ｇ ｕ ａ ｒ ｄ 使 用 的 方法不 能 在 没有 ＲＯ ＯＴ 的 情 况 下 直接 移植 到 安卓 设备上 

。

Ｒ Ｌｏｃ ｋｅｒ ｐ ７
－
１

在 Ｌ ｎｕｘ
ｉ
设 备上 部 署 大 量 诱 馆 ， 并 监 视 对 诱 馆 的 读 取请求 。 Ｒ Ｌ ｏ ｃ ｋｅ ｒ
－




产 生 的 诱饵实 体是命名 管道 Ｆ ＩＦ Ｏ 和 大量 逻辑 链路 两者 的 存 储 消 耗 非 常小 ＇ 普


１
Ｉ

通 用 户 可 以在 Ｌ ｎｕｘ
ｉ
设备上操作命名 管道 ＦＩ Ｆ Ｏ 和 逻辑链接 。 虽 然安卓操 作系 统基


于 Ｌ ｎ ｕｘ
ｉ
内核 ， 但普 通 用 户 无 法 在 没 有 ＲＯ Ｏ Ｔ 的 安卓 设备上 操 作命 名 管道 ＦＩ Ｆ Ｏ 和逻



辑 链接 。 也就是说 ，
Ｒ Ｌ ｏ ｃ ｋｅ ｒ
－

使 用 的 方法 不 能直接 移植 到 没有 ＲＯ ＯＴ 的 安卓 设备上 

。

提出 了 种 基于 上 诱 饵 的 加 密勒 索 应 用 的 检 测 方 法 它 根据与安


２ ８
Ｍ 〇〇ｒ
ｅ
［ ］ 一

Ｗ ｉ ｎｄｏｗ ｓ 。

全相关的 日 志 监控 Ｗ ｉ ｎｄｏｗ ｓ 上 的 诱饵 。 此方 法 依赖 Ｗ ｉ ｎｄｏｗ ｓ 文 件 服务浏 览 器 功 能 的



文 件 扫 描 服 务 和 事件 监 视 服 务 。 但是 ， 安 卓 操 作 系 统 没 有提供这 样 的 功 能 和 服务 

。

根 据上 述 研 究 ， 我 们 可 以 发现 ：
基于 Ｗ ｉ ｎ ｄｏｗ ｓ 上 的 诱 饵 的 加 密勒 索 应 用 检测 方


法 无法直接 移植到 没 有 ＲＯ Ｏ Ｔ 的 安卓设备上 。 具有大 量 额外 资 源 的 加 密勒 索 应 用 检


测 方法也不适 用 于安 卓 设备 。 现有 的 加 密 勒 索 应 用 检 测 方法 存在 很 多 局 限性 ．
包括权


限要求 、 延迟检测 、
有 限 的 加 密 策 略和模式检 测 、
以及 易 受干扰等 

。

因 此 ，
对于没有 ＲＯ ＯＴ 的安卓设备 ．

加 密勒索 应 用 检 测 是迫切 需要 的 

。

２ ．
勒索 应 用 实施加密时的检 测防御技 术


Ｓ ａｎ 等人 提出 了 种基于 动 态 分 析 的 实 时 检 测 加 密勒 索 的 方法 监控文


一

ｕｎ
ｇｇｅ 。

件修改事件 、 文件删 除事件 、

输入 输 出 ／ Ｉ／ Ｏ 请求等 流程 信息 ．

以判断应 用 程序 流程是


否 对文 件进 行加 密 。
为 了 监视每 个进程 的 Ｉ／ Ｏ 请求 ．

此方法 需要 修 改安卓 源 代 码 。


也
就是说 ．

如果 ．
它 无法检 测 没有 ＲＯ ＯＴ 的 安 卓设备 上 的 加 密勒索 应 用 

。

Ｆ ｅ ｒｒ ａ ｎ 等人？ 提出 了 种 混 合加 密勒 索 应 用 检 测 方法 他 们 通 过静态 分析得



一

ｔ ｅ 。

到 操 作码 的 频率 ， 并 通 过动 态 分 析监控 Ｃ ＰＵ 利用率 、
内 存利 用 率 、 网 络使用 率和 系



统调 用 的 统 计数据 该方法 对产 生 大量加 密请求 的 勒索 应用 敏感 。

， 对加 密频率 低 的 勒


索应用 不敏感 

。



４
 第 章 绪论


一

１ ． ２ ３
．


勒 索 实 施 后 资 源恢 复 技术 研 究现状

？
Ｃｈｅｎ  Ｊ 等人 使 用 了 诱 饵 技 术 来 保 护 安 卓 设 备 上 的 隐 私 文件 。 通 过将 文 件索 引


设计为 诱饵 文 件 ， 诱导 文 件 加 密 类勒 索 应 用 在 被 激 活 后 ， 对 诱 饵 文 件进 行 加 密 ， 从而


保护 用 户 的 隐 私 文 件 。 并 没 有对 设备 的 自 动 恢复 提 出 解 决 方 案 

。

Ａ ｎ ｄｒ ｏ ｉ ｄ ｇ ｅ  （ ＡＤ Ｂ ）
ｄ  Ｄ ｅ ｂｕ ｇ  Ｂ ｒ 是 个 通 过 计 算 机 与 模 拟 器 或 真 机 交互 的 工 具 

该
一

ｉ 。

工 具 提供 了 多 种 对 设 备 进行 操 作 的 命 令 并 提供 对 Ｕｎ 的访问 权限 当设


３ １

ｘ  Ｓ ｈｅ ｌｌ
ｔ ］
ｉ 。
，

备被 锁 定 后 ，
已 开 启 Ｕ Ｓ Ｂ 系 统调 试 的 设 备 ， 能够通 过 ＵＳ Ｂ 连 接 外 部设 备 的 方 式 ，


对
设 备 进行恢复 。 当 设备 未 启 动 ＵＳ Ｂ 系 统 调 试 时 ，
则 不 能 使用 该方法 ，
另外 ， 该方 法


无 法对 加 密 文 件进行 解密 

。

种 引 导 加 载 程 序 的 模式 使用 可 以在 没有 连接 的
３２］
Ｆ ａ ｓ ｔＢ ｏ ｏｔ 是 Ｆａ ｓ ｔ Ｂ ｏ ｏ ｔ ＵＳ Ｂ 

一 ［

设 备上 重 写 系 统 。
当 设 备被 锁 定 后 ， 利用 Ｆａ ｓ ｔＢ ｏ ｏ ｔ 对系 统进行 重 写 ， 能 够 恢复 设 备 的


使用 。 但是 由 于重写 系 统 ， 用 户 在设 备 上 的 部 分 数 据 有着 丢 失 的 风 险 。 设备 不 同 的 机


型 通 过 物理 键 进入 到 Ｆａ ｓ ｔＢ ｏ ｏ ｔ 模式 的 方 式 各 不 相 同 ， 并 不 是统
一

的 另外 ； ， 由 于不 同


的 安 卓 设 备 的 系 统 在设计 上 的 差 异 ， 在利 用 Ｆ ａ ｓ ｔＢ ｏ ｏ ｔ 进人 第 三 方 ｒｅ ｃ ｏｖ ｅ ｒ
ｙ 之后 的操


作 也各 不 相 同 ， 若 设 备搭 载 的 系 统 进 行 了 强 制 前 台 那 么 用 户 需 要 通 过 操 作 数 据 库 进

 ，

行 设 备恢 复 这种 方式 要 求 操 作者具有 定 的 专业性
［
３ ２］ 一

。 

。

目 前 对 于 移动 端 的 加 密 文 件 恢 复 大 多 使 用 逆 向 的 方 法 ，
通 过在 勒索 应 用 中 找 到


源码 从 而 利 用 加 密 密 钥 对 文 件 进行 解密 当然 如果用 户 具有 定 的 安卓背景知


一

。
， ，

识 ， 用 户 也 可 以 通 过 对 勒索 应 用 进行 逆 向 操 作 ， 从 而直 接在源 码 中 找 到 勒索 应 用 的 设


备解 锁 密 码 从 而 进行进 步 的 设备恢复
一



。
，

对 于 加 密 文 件 的 恢复 ，
ＰＣ 端大 多 采 用 ｓ ａ ｎ ｄｂ ｏｘ
，
通 过 对其 底 层 的 ｆｉ ｍｃ ｔ
ｉ ｏｎ 进行


ＨＯ Ｏ Ｋ 操作 ， 从 而 获取到 密 钥 Ｘｆ 加 密 文 件 进行解密 。
据我 们 所 知 ， 目 前仍没有


针 对 移 动 端 被 勒 索 应 用 加 密 过 的 文 件 进行 恢 复 的 工 具 

。

安 卓 端 也 有 许 多 研 究 已 经 涉 及 到 在 应 用 运 行 时获 取 目 标 数 据 ，
Ｍ ｏｂ ｉｌ ｅ
－

ｓ ａｎ ｄ ｂ ｏ ｘ


，

通 过对 其 底 层 的 ｆ ｕｎ ｃ ｉｏｎ
ｔ 进行 ＨＯＯＫ 操作 ， 从 而 获取到 目 标 数据 

。

１ ２ ． ． ４ 勒 索 技 术发 展趋 势 研 究 现 状



Ｃｒ ａ ｉ
ｇ  Ｂ ｅ ａｍ ａ ｎ 等人 Ｍ 从检测 和 预 防两个角 度总结 了 现有 的勒索 应用 的 技术 发


展 。 他们提出 ， 大 多 数 研 究 更 倾 向 于 使 用 动 态 分 析 而 不 是 静 态 分析来 研 究 勒 索 应 用 

。

虽 然静态分析 可 以 通 过 代 码 混 淆 或 变 形攻击 来逃 避 但 些 研究 发 现某些动 态分



［
３５］ 一

＾
析 方 法 也 可 以 被 逃避 。 ＫＨ ＡＲＡＺ Ａ 
等人 提 出 的 方法 中 的 虚 拟 环 境 有 可 能 被 攻击 者


发 现 和 规避 。 这两 种 分 析 的 一

个 局 限 性是 其 结 果 通 常 不 能 推 广 到 所 有 的 勒 索 应 用 变
， 

体 而 诸如 访 问 控 制
。 、
密 钥 或 数据 备份 等 预 防 性 技 术 虽 然 可 以 减 少 勒 索 应 用 对 系 统 造


成的损 害 ， 但 不 能 阻 止 未 来 的 攻击 。 这 些 以 预 防 为 基 础 的 方法 也 有 缺 点 ， 他们 的开销





５
北 京 邮 电 大学 工 学 博 士 学 位 论 文 



可能很大 访 问 控 制 或 数 据备 份 需 要 较 大 的 计 算 成 本 创 建 数 据 备份 可 能 会 极 大


［
３７］
。
，

影 响 系 统性 能 尤其 是 在 高 工 作 负 载 情 况 下 ［
３ ８］


。
，

Ｍ
Ｂ ａ ｒ ｋｗ ｏ ｒ ｈ 等人 开发了 款釆 用 了 动 态 加 密 与 混 合加 密相 结合 的 勒 索 应 用


一

ＡＥ Ｓ ｔ ｈ ｅ ｔｉ ｃ 来测试 目 前 的勒 索 应 用 检测 引 擎 的 有效性 。
结果 表 明 ， 当 前的勒索


应 用 检测 引 擎可 能过于依赖 简 单 的 基于 签名 的 静 态 分 析检 测 。 当 检测 引 擎对使用 了



动 态 加 密 方式 或 者 自 定 义 加 密 方 式 进行 文 件 加 密 的 勒 索 应 用 进行 检 测 时 ， 

当 前 勒索
应 用 检 测 引 擎 出 现 了 很 大 的 误报 。 从而 得 出 了 勒索 应 用 在 未 来进行 文件加 密 时 可 能


会 更 多 地 应 用 动 态 加 密 或 混 合 加 密 等 技 术 的 发 展预 测 

。

Ｃａ ｌ ｖ ｉ ｎＢ ｒ
ｉ ｅｒｌｅｙ 等 人 刚 研究 了 勒索 技 术在 Ｉｏ Ｔ 设 备 上 实 施 的 可 行性 。 针 对基于


Ｌ ｈｍ ｘ 系统的 Ｉ ｏＴ 设备 ， 他 们 开 发 的勒 索应 用 Ｐ ａｐ ｅ ｒ Ｗ ８ 成 功 感染 了 六 种 不 同 品 牌 的


Ｉ 〇Ｔ 设备 ， 其 中 包括 了 一

些 目 前 使用 广 泛 的 Ｉｏ Ｔ 设备 。 Ｃ ａｌ ｖ ｎ Ｂ ｒ
ｉ ｅｒ
ｉ  ｌ ｅｙ 等 人 的 研究表


明 针对 Ｉｏ Ｔ 领 域 的 勒 索 攻击 完 全 可 行 ， 随着 Ｉｏ Ｔ 的 快速 发 展 ， 需 要研 究 针 对 这种 威 胁


的 应 对措 施 

。

１ ３ ．
研究内 容



通 过 对勒 索激 活 前 检 测 技 术 、
勒 索进 行 中 防 御 技 术 勒 索 实 施 后 资 源 恢 复 技 术 以

 、

及勒 索 技术 发展趋 势 的 研究 ，
本 文 总 结 出 了 在 安 卓 平 台 的 勒 索 应 用 研 究 中 存在 的 下


述问题 

：

１ ．
如 何在 勒索 激 活 前 进行大 规 模离 线 检 测 ，
且 该 检 测 能 够 正 确 区 分勒 索 应 用 、 

与
勒 索 应 用 具 有 相 似行 为 的 良 性 应 用 。 现 有勒 索 应 用 检 测 引 擎 大 多 通 过 是 否 存 在 勒 索


文 本 与 是否 存在 与 锁 定 设 备 、 加 密 文 件相 关 的 敏 感 ＡＰＩ 进行勒 索 应 用 检测 。 这 使得


“ ”
等 与 设 备 劫持 类 勒 索 应 用 具 有 相 似 设 备 锁 定 类 行 为 的 良 性 应 用
“
如 主题锁屏 、


隐
”
私 文 件 管 理 等 与 文 件 加 密 类 勒 索 应 用 具 有 相 似 文 件 加 密行 为 的 良 性 应 用 ， 易 被误判


为勒索 应用 ， 现 有 勒 索 应 用 检 测 引 擎 无 法 精 确 区 分 勒索 应 用 与 良 性 应 用 的 行 为 

。

２ ．
如 何 在 保 护 用 户 文 件 不 被 加 密 的 前 提下 ， 能 够成功 识 别 使用 了 逃逸 技 术 的勒


索应 用 。 现有 的 基 于 静 态 检 测 的 勒 索 应 用 检 测 技 术 在 应 用 被 激 活 前 进 行 检 测 ， 能够保


护 用 户 文件不被加 密 ， 然 而 该 技 术 无法识 别 使 用 加 固 、 混 淆 等 检 测 逃逸 技 术 进 行 代 码


隐藏 的勒 索 应 用 ；
现有 的基于动 态检 测 的勒索 应 用 检测 技 术主要 分为 两类 ：

基于 诱


饵 技 术 的 设 备 端实 时 检 测 与 基 于 底 层 ＡＰ Ｉ ＨＯ Ｏ Ｋ
－

技 术 的 动 态分析 ， 这 两类 技 术 均 在


勒 索 应 用 被激 活 后 进 行 检 测 。
若 勒 索 应 用 在 选择 目 标 文 件 加 密 时 使 用 了 空 文 件 过滤 

、

隐 藏 文 件 过滤 、
用 户 偏 好文 件选择 等 诱 饵 文 件 逃逸 策 略 ，
利 用 诱饵技术 的检 测 方法将


无法 识 别 该 类 型 的 勒 索 应 用 ；
若 勒 索 应 用 在使 用 了 自 定 义 的 加 密 方 法进 行 文 件 加 密 

，

由 于 无 法 识 别 加 密 方法 ， 很 可 能 导致 ＨＯ Ｏ Ｋ 技 术无法提取加 密 特征 ， 从而 无法识 别


该 类 型 的 勒索 应 用 

。



６
 第 章 绪论


一

３ ．

如 何在设备未 被 ＲＯ ＯＴ 的情况下 ， 实 现对勒 索 应 用 加 密 文 件 的 防 御 。

现有 的


勒 索 应用 防御工具主要通过控 制 ａ
ｐｋ 对 内 存外存不 同 路径 的 读写权 限 ， 实 现 对勒 索


应用 加密文件的 防御 。
控制 内 外 存读 写 权 限 需 要在 已 被 ＲＯ ＯＴ 的 设备上进行 ，
然而


据调 查 显 示 移 动 端 被 的设备 占 比 仅为 左右 绝大部分用 户 的设备 依 然
３］
Ｒ Ｏ ＯＴ ２２％ 

［

处于未被 Ｒ Ｏ ＯＴ 的状态 

。

４ ．

如 何在 不 连 接 其 他设 备 的 前提下 ， 使 被勒 索 应 用 劫 持 的 资 源 进行 自 恢复 。
当前


对 被勒 索 应 用 劫 持 后 的 资 源恢 复 ， 通 常 先要将被感染 设 备 连接 到 其 他设备 上 ， 之后的


利 用 人工逆 向 或 ＡＤＢ 调 试 等 方法 进 行 资 源 恢 复 。 然 而 随着勒索 应 用 的 不 断进化 ， 

目

前 已 经 出 现 了 能够 自 动 屏 蔽设备 ＵＳＢ 接 口 的勒索应 用 ， 勒 索 应 用 被激活 后直接将设



备的 ＵＳ Ｂ 调试开 关 关 闭 ， 也就是说 ， 若该类型 的 勒索 应 用 感染 了 设备 ， 用 户在被感


染 后 无法 通 过 ＵＳＢ 连 接 其 他 设 备 进 行 资 源 恢复 

。

５ ．

如 何 主动 发 现勒 索 应 用 在进 化 中 的 潜在威 胁 ，
并针 对 不 同 的勒索行为 进行安


全 防护 。 当前 ， 对 于 勒 索 应 用 技 术 的 进 化 研究 仍 处 于 被 动 防 御 模式 ， 即检测 、
防御等


防 护手段滞 后于勒 索 技 术 的 发 展 ， 当 新 的 勒 索 应 用 出 现之 后 ， 对应 的 防护措施才 会 陆


续出现 。 无法通 过勒索行为 自 主生 成 的 方法 ， 对 勒 索 应 用 在 进 化 中 的 潜在 威 胁进 行 主


动 防御研究 

。

图 １
－

１
展示 了 上述 问 题与 本 文 研究 成果之 间 的 关 系 ， 本文 的 研究 成果 如 下 

：

ｍｍ 
▲
 安 卓 平 台 的 勒 索ＥＳ 用 研 究




 １ 

４

 部署 在跟 努 器 端  觸 在 设 觸 


研究 角 度
ｊ ［
安 卓 应 用 程序






＇
￣ ￣

￣ ￣

 
；

Ｉ －

    ＼
ｉ
，
４



丨

抝何 在勒 索 激活 前 逬行 大  抝 何 在保 护 用 户 文  翅 何 在设 备 未  妬何主动 发 現勒察 


 规模离＾ 且 该检 激 件 不 被 加 密的 前 徨  被 Ｒ 〇 〇 Ｔ 的情
，

｜   应 困 在进 化 中 的 潜


存 在 问 题  能 移 正 截 区 分勒累应 甩  下 能 够成功 识 別  况 下 实现対 、 ， ，
在 截 胁 并针对不 
 ，

与勒累应 用 具 有栢似行为 使 用 了 进逸 技 术 韵 勒累 应 用 加 密 同 的勒 累 行 为 进 行


＾

雲
—

的 良 性应 用  ＿察应 用 。 文 件 的 防御 。 。 安 全 訪护 

。


＂




提 出 了 种 基 于兴 件夹 访 问 感 知 押 屮 ７ ：宕 雜
、 握 出 了 新型 ５素 应 用 Ｗ 能进 化
一


 ＆ －
．

 
｜

艦 成里 ）
提出 了 种＾ 为 可 区分的  的 适 用 于 未 Ｒ 〇 〇 了 设 备 的 勒 案 应 用 检
一

ｆ 的方 向 并进行验 证分析 ， 

。

附九 城未 源 曰 炒友
丨

 勒 察应 用 检 ＿方 法  瀏 方 法 且 该方 法 能 ＿ 特 所应 用 捆 ６
漂  ２  揋 出 了 个 支 持 多 种 策 鉻钽合
， 
 ．
一

件进 碰 鶴  Ｓ ＾ Ａ ｎ ｄ ｏ ＾ ｌ 累 行 为 验证框架 陣 。
＾ 
ｒ ｉ ｃ ｛



」

第 第眶 第 ＳＳ  第 鴻



勒 索 激 活 前  勒 麵 行 中  勒 链 施 后  新 型 勒 索 技 术 发展



图 １
－

１
本 文 主要 工 作



１ ．

针 对上 述 问 题 １
， 本 文 从运 行 时 的 行 为 与 代 码 实 现 等 多 维 度 分 析 了 与 勒 索 应 用


具有相 似行为 的 良 性应 用 与 勒索 应 用 之 间 的 区 别 。 基 于 对勒 索 应 用 与 良 性 应 用 的 分





７
北 京 邮 电 大学工 学 博 士学 位 论 文 



析 ， 从 ＡＰ Ｉ 调用 、
权限 、
意图 、
敏 感 字 符 串 和 其 他 敏 感 信息 维 度提 取特征 ， 构 建不 同



类型 的勒索行为模式特征 形成 个保 留 了 勒 索 行为 信息 的 表达式 集 合 同时 提出


一

。
： ，

了 个行为 可 区分的 面 向 勒索应 用 的 检 测 引 擎 ＫＲ Ｄ ＲＯ Ｉ Ｄ 用 于 识 别安卓勒索应



一

用 。 实 验结果 表 明 ，
ＫＲ Ｄ Ｒ Ｏ Ｄ Ｉ
在检 测 未 知勒索应 用 方面 ， 准 确 率达 到 了 ９ ７ ． ８ ％ ：



在
区 分 与勒索 应 用 具有相 似行为 的 良性 应 用 与 勒索 应 用 方面 ，
ＫＲ Ｄ Ｒ Ｏ Ｄ Ｉ
较 其 他勒索 应


用 检 测 引 擎 准 确 率提高 了 约 ４０％
， 解 决 了 现 有勒 索 应 用 检 测 引 擎 无 法精 确 区 分勒 索


应用 与 良性应 用 的行为 的 问题 

。

２ ．

针对上述 问 题 ２ 和 问题 ３ ， 本 文 从 攻击 时 间 、
目 标 文 件夹 、 遍 历方式 、 文件排


列 、
加密范围 、
加 密方法 、
加 密 模式 、 加密策略 、
目 标 文 件 和 加 密 文 件 等 方面 总 结 了


６ 大主 流勒 索 家族 的 ６７５ 个 文 件 加 密 型 勒 索 应 用 的 加 密 行 为 的 攻击 特 征 。 基于 上述 分


析 ．

提 出 了 基于 兴趣 文 件夹 监控 、
搭 载在 未 被 Ｒ Ｏ ＯＴ 过 的 安卓设备端 的 加 密勒 索 应


用 检测策略 。
该 策 略 以 空文 件夹为 兴趣文 件夹 的 实 体 ， 搭载在未被 ＲＯ Ｏ Ｔ 的 终 端进


行勒 索 应 用 检 测 ， 能够有效识 别 使 用 了 动 静态检测 逃逸策 略 的勒索 应 用 。 本 文还证 明



了 该策略除适 用 于 安卓 系 统 外 ，
也可 以 在未 获 得管理 员 权 限 的 前提下 ， 在更多 种 类 的


其 他 设备 上 实 现 。
为 了 更好地保护 文 件 免受勒 索 应 用 的 攻击 ，
本 文 基于 上述 策 略 实 现


它 对勒 索 应 用 识 另 的 准 确 率较
＇



等
２３ ２０

了 ＾ １ 〇 丁丑 〇 １１ ＾ ３〇 ＾ 〇记 ＾ 〇 记
＇ ＇

：１
］ ［ ］

〇
［

１ １ （ ．
１
１ １ １ 、
１ １ １
】

引 擎高 ２０ ％ 以上 并 能够在第 个文 件加 密前 ４ 秒左 右 发 出 警告 实 现 了 在设 备 未


一

１
， ，

被 ＲＯ Ｏ Ｔ 的情况下 ， 对勒 索 应 用 加 密 文 件 进 行 防 御 

。

３ ．

针 对上述 问 题 ４ ， 本 文 从 服 务运 行层面 与 代 码实 现层 面对设备劫 持 型勒 索 应 用




与 文 件加 密型勒索 应 用 的 勒 索 原理进行 了 分 析 ，
并 基 于 该 原 理提 出 了 在 安 卓 终 端 

自

动恢复被劫持 的 设备 资源 与 被加 密 的 文件 资 源 的恢复 策 略 ：

通过 自 动 终 止勒 索 应 用



的 进程 并 删 除写 入密 码 的 文 件 的 方法 ， 实 现 了 在安卓 端对被勒索 应用 劫持 的 设备 的


自 动 恢复 ：

通过对加 密 ＡＰ Ｉ
的 监控 ， 获取其 在动 态运 行 中 ，
进行加 密 时使 用 的 密钥 与



被加 密 文 件列 表 ， 对加 密 文 件进行解 密 的 方法 ， 实 现 了 在 安卓 端对被勒索 应 用 进行加




密 的 文件 恢复 。 解决 了 在 不 连接其 他终端 的 情 况 下 ．

使被勒 索 应 用 劫 持 的 资 源 进行 

自

恢复 的 问 题 

。

４ ．

针 对上述 问 题 ５ ， 本 文对 目 前主流的 ３ 种勒索 技 术与 ２ 种 较 为 常见 的 勒 索辅



助 技 术在勒索 应 用 中 的 应 用 以 及上述 技 术 随 时 间 变 化而进行 的 进化进 行 了 分 析 。 

基
于上述 分析 ．

本 文提 出 了 新 型勒 索 应 用 可 能 进 化 的 方 向 ， 即 攻击者 视 角 下三 种 在安


卓端可 以实 现 的 新型勒索技 术 ．

并验证 了 其实 现 的 可 能 性 。 为 了 方 便安 全分 析 人 员


针 对 不 同 行为 表 现 的 勒 索 应 用 进行 防 护 策 略 的 研究 本文提 出 了 个 支 持多 种 策 略


一

组 合 的 安卓 端勒 索 行为验证框 架 ．
框 架 内 依据现有勒索技 术与 提 出 的 新型勒索技 术 

，

集 成 了 四 个功 能 模 块 与 个 策 略选择模块 方 便安全分析 人 员 通 过策 略组合 得到 不



一

同 的 勒索 行为 进行 防 护 研究 。 实 现 了 主动 发 现勒索 应 用 在进 化 中 的 潜在 威胁 ， 并针对


不 同 的勒 索行为 进行安 全 防护 的 目 标 

。



８
 第 章 绪论


一

１ ４
．
章节安排



本 文 共 有 七 个章 节 ， 安排 如 下 

：

第 章 为 绪 论 部 分 首 先 对 安卓 平 台 的 勒 索 应 用 研 究 背 景 与 意 义进 行 了 介 绍 之


一

。
，

后 对勒 索 激 活 前 检 测 技 术研 究 、
勒 索 进行 中 防 御 技 术 研 究 勒 索 实 施 后 资 源 恢 复 技 术

 、

研 究 以 及 勒 索 技 术 发 展 趋 势 研 究 的 国 内 外 现 状 进行 介 绍 

。

第二 章为勒索行 为 刻 画 与 设计实 现介绍 部 分 。

介绍 了 移 动 端 勒 索 应 用 按 照 勒 索


行 为 可 划 分 为 设 备 劫 持型勒 索 应 用 、 屏幕 资 源 劫 持型勒 索 应用 以 及 文 件加 密 型勒索


应用 ， 并 分 别 对 这 三 种 勒 索 应 用 在 行 为 表 现 方面 与 设 计 实 现 方 面 进 行 了 介 绍 

。

第 三 章为 勒 索 应 用 激活 前 检 测 的 研究 。 该 章节 首 先对 锁 屏 主 题 美 化 应 用 与 设 备


劫 持 型 勒 索 应 用 屏幕 资 源 劫 持 型 勒 索 应 用
／ 、
隐 私 文件管 理 应 用 与 文 件 加 密 型 勒 索 应


用 这 两 组 运 行行为 具 有 相 似 性 的 良 性 应 用 与 勒 索 应 用 进行 了 运 行行 为 与 设 计 实 现 上


的 对 比分析 基于 分 析 结 果 提 出 了 种 行 为 可 区 分 的 勒 索 应 用 激活 前离线 检测 方法
一

。


，

该 方法 可 以 辨 别 未 知 的 勒 索 应 用 ， 并 且准 确 率高 达到 了 ９
７ ８％．
。
同时 ，
它 也可 以 区分


勒索应用 与具有类似勒 索行为 的 良性应用 

。

第 四 章 为 勒 索 进行 中 防 御 技 术 研 究 。
该章 节 首 先 对 收 集 的 ６７５ 个分 属 于 ６ 大家


族 的 文 件 加 密 型 勒 索 应 用 的 加 密 手 段 进行 分 析 。 并 基 于 该 项 分 析提 出 了 基 于 兴 趣 文


件 夹访 问 感 知 的 勒 索 应 用 实 时 检 测 技 术 该 技 术 利 用 兴 趣 文 件 夹 的 访 问 状 态 对勒 索


， ，

应 用 的 加 密 行 为 进行 感 知 ，
能 够在勒 索 应 用 加 密 用 户 文 件之 前 识 别 设 备上 的 勒 索 应


用 ， 同 时 对 用 户 进 行预 警 ， 对设 备 上 的 文 件起 到 了 保 护 作 用 

。

第 五 章 为 勒 索 实 施后 资 源 恢 复 技 术 研 究 。 该 章 节 阐 明 了 设 备 的 资 源 恢复 所 需 要


的 前 提条 件 。 基 于 该 前 提 条 件 提 出 了 针对设 备 劫 持 型 勒索 应 用 、
屏 幕 资 源 劫 持 型勒 索


应 用 与 文 件 加 密 型 勒 索 应 用 的 资 源 恢复 策 略 最 后 基 于 资 源 恢复 策 略 设 计 实 现 了 。
，


一

款搭 载 于 安卓 设备上 的 资源恢复 工 具 。
实 验表 明 ， 该 工 具 能 够 自 动 恢复 被 勒 索 应 用 劫


持 的 设备 、
自 动 释 放被 勒 索 应 用 劫 持 的 屏 幕 资 源 、 自 动 恢复 被 勒 索 应 用 加 密 的 文 件 

。

第 六章 为 攻 击 者 视 角 的 新 型 勒 索 发 展 技 术 分 析 。
该 章 节 提 出 了 安卓 系 统 上 新 型


勒 索 技 术 的 可 能 发 展趋 势 ， 并 通 过 实 验验 证 了 上 述 技 术 应 用 到 勒 索 应 用 中 的 可 能 性 

。

第 七章为 总 结与 展望 。
该 章节 总 结 了 本 文 的 研 究 工 作 ， 简 要 总 结 了 各 项 研 究取 得


的 成 果 与 研究 的 不 足 之 处 。 同时 ， 对未 来 的 研究 方 向 进行 了 展望 

。



９
北 京 邮 电 大学 工 学 博 士 学 位 论 文 



１ 

０

第二章 勒 索 应 用 行 为 刻 画 与 实 现 方法 分 析



第二章 勒 索应用 行为 刻 画 与 实现方法分析




本章将对设 备 劫 持 型勒 索 应 用 、
屏幕 资 源 劫 持 型勒 索 应 用 与 文 件加 密 型 勒 索 三



类 应 用 勒 索 应 用 的 行为表现进行刻 画 ， 并 对 其 勒 索 行 为 的 底 层 代 码 实 现 进行 分 析 

。

２ １ ．
概述



根据勒 索 应 用 的 行 为 表 现 ， 勒索 应 用 可 以 分为 三类 ， 设备劫 持型勒索应 用 、

屏幕


资源劫 持型勒 索 应 用 与 文件加 密 型勒索 应 用 

。

如 公式 ２
－

１
所示 ，
ｉ？
代 表勒 索 应 用 的 集 合 ，
ｉ？ 包 含三 种勒 索 应 用 

和
表示 设 备 劫 持 型勒 索 应 用 ，
它通 过 自 动 修改设备 密 码 来勒索 用 户 

。

表示 屏幕 资源劫 持型勒索 应 用 ，
它 通 过持续持有 屏幕 资 源来 勒索 用 户 。
表示 文


件加 密型勒 索 应 用 ， 它 通 过加 密 私 人 文 件来 勒 索 用 户 

。

Ｒ 
＝
｛
Ｒ Ｌ Ｄ Ｒ Ｓ ＲＣ Ｒ
－ －  －

； 
－

Ｆｅ ｝  （
２ －

１


）

２ ２ ．
设备劫持型勒 索应用



设备劫持 型勒索 应 用 是最 常见 最容 易 开 发 的 勒索 应 用 我 们 在 、 。 ＡＭ Ｄ ？ｌ

与 ｖ ｉ ｒｕ ｓ 

－

—
ｔ ｏ ｔａ ｌ  开 源 数据集 中 收集 了 
４６ １
 个设 备 劫 持 锁 定 类勒 索 应 用 ， 并 总 结 了 １ ８ ６ 个设备


劫 持型勒 索 应 用 的 特征 

。

２ ２ ． ． １ 设备劫持型 勒 索 应 用 的行为 表现



如图 ２
－

１
所示 ：
它 通过重置 用 户 的 密码 来 阻止用 户 正 常使 用 他 们 的 设备 。 激活它


们后 ， 它们 可以 自 动 修改密码 、 ＰＩＮ 或手势密码 

。

￥  ｄ Ｂ ｒ ３ 

｜

Ｍ ｎ －

Ｊ


１
Ｓ 蠢 ｉ Ｓ 翻ｆ 


ｍ ｌｌ 

Ｕ
设 备 劫 持前 设备锁 定



图 ２
－

１ 设备 劫持示 意 图



１ 

１
北 京 邮 电 大 学 工 学 博 士 学 位论 文 



典型 的设备加 密 如 公 式 ２
－

２ 中的 所示 ，
可被表示 为 

和
构 成 的 三 元组 ＆ ｄ 包 含 数 据 库 和 带 有 密 码 的 文 件 的 绝 对 路径 如 公 式 。 。 ２ ３
－

所示 ，
５＾



表示 按 键 禁 用 、 ＵＳ Ｂ 禁用 、
设备锁 定 等典型行为 。
表示 的 代码实现 。
设备


加 密 的 详 细 实 现 将在 算 法 ２ ． １
中 描述 。 ｌ ｏｃ ｋ ｓ ｅ ｔ ｔ ｎ ｇ ｄｂ ｉ ．
表示 包含 ｓ ａｌ ｔ 值信息 的 数据 库 

。

ｓ ａｖ ｅ ＿
ｐ ａ ｔｈ 表示 保存 新 密 码 的 绝 对路径 。
ｐ ａ ｓ ｓ ｗ ｏ ｒｄ 为 书面声 明 的 密码 。
设备 加 密 的 实


现包 含三个步骤 

。

１
） 新密 码初始化 。
攻 击 者 通 过 分 析 相 关 数 据 库 或 利 用 安 卓 反 射 机 制 获 取设 备 的



值 得到 值 后 攻击 者将 密 码 和 值拼接 成 个新 的 结果 分 别计算其 ＭＤ５

一

ｓ ａｌ ｔ 。 ｓ ａｌ ｔ ｓ ａｌ ｔ 

， ，

和 ＳＨＡ 值 然 后 攻击 者 将 ＭＤ ５ 和 Ｓ ＨＡ 拼接成 个新 的 密码
一

１ 。 １ 

。

２ ） 密码替换 。
新密 码初 始 化 后 ， 写入 ｐ ａ ｓ ｓ ｗ ｏ ｒ ｄ ｋ ｅｙ ．
文件 。
攻击 者 删 除 带 有 原 始


密码的 文件 ， 并 使 用 新 的 密码替换 原始 密 码 

。

３
） 设备锁定 。
密码被替换后 ， 攻 击 者 通 过调 用 ｌ 〇 ｃ ｋＮ 〇 ｗ （ ） 的 方 式 使勒 索 应 用 锁


定设备 

。

Ｒｌ ｄ —

｛
＜ ＞ ＼ 
＾ ｌ ｄ ￣

｛ Ｐａ ｔ ｈ ｝ ｝  （
２ －

２）



Ｂｌ Ｄ ＾  ｛ 
ｄ ｉ ｓ  ｂ ｕ ｔ ｏｎ   ｄ ｉ ｓ  Ｕ Ｓ Ｂ  ｌ ｏ ｃ ｋ  ｄ ｅ ｕ ｃ ｅ ｓ 
？ ：
＇  ＊  ＊

｝  （
２ —

３ 

）

Ａ ｌ
ｇ ｏ ｒ ｉ ｔ ｈｍ  ２ ． １ ： Ｉ ｍ ｐ ｌ ｅ ｍ ｅ ｎ ｔ ａｔ ｏ ｎ  ｏ ｆ ｉ  Ｄ ｅｖ ｉ ｃ ｅ ｓ  Ｌ ｏ ｃ ｋｉ ｎ ｇ



ｉ ｎｐｕ ｔ ： ｌ ｏ ｃｋ ｓ ｅｔｔ
ｉ ｎ ｇ ｄｂ ．
， ｓ ａｖ ｅ —
ｐ ａｔ
ｈ ，
 ｐａ ｓ ｓ ｗ ｏｒ


ｄ

１  ｉ ｎ ｉ ｔｉ ａｌ ｉ ｚ ａ ｔ ｉ ｏ ｎ 

；

２ Ｄ ｅｖ ｉ ｃｅ ＿
ｓａｌｔ
 ｇｅ ｔ ＿
Ｓ Ｂｌ ｔ
（
ｌ ｏｃ ｋ ｉ ｎｇ ｓ ｅ ｔ ｔ ｉ ｎ ｇ ｄ ｂ ．

）


＼

３ Ｐ ａ ｓ ｓ Ｍ Ｄ ５  ＭＤ ５ ＿

（ ｐ ａ ｓ ｓ ｗ ｏ ｒ ｄ ＋  ｄｅ ｖ ｉ ｃ ｅ ＿
ｓａｌ ｔ
）


；

４ Ｐ ａ ｓ ｓ Ｓ Ｈ Ａ ｌ  ＳＨＡ ｌ
＿

（ ｐａ ｓ ｓ ｗ ｏ ｒ ｄ  ｄ ｅ ｖ ｉ ｃ ｅ ＿
ｓａｌｔ
）


＼

５ Ｋ ｅ ｙ ＾ｒ
－

 ｈ ｅｘ （
Ｐａｓ ｓ ＭＤ ５ ＿

） 
＋ ｈｅｘ
（
Ｐａｓ ｓ Ｓ ＨＡ ｌ ＿

）


；

Ｄｅ
＇

６ ｌ ｅ ｔｅ ｏｒ ｉ ｇｉ ｎａｌ ｋｅｙ 

，
（ ）
＿

７ｉ ｆｓ ａｖｅ 一

ｐａ ｔ ｈｔ ｈ ｅ ｎ



８ Ｗｒ ｉ ｔｅ
（
／ｃ ｅ
ｙ ， 
ｓ ａｖ ｅ ＿

ｐａ ｔ ｈ ） 

；

９ ｅ ｌ ｓ ｅ



１ ０ Ｗｒ ｉ ｔｅ
（
ｋｅｙ ／ ／
ｄａｔ ａ ／ ｓ ｙ ｓ ｔ ｅ ｍ ＾ 

；

１１ ｅ ｎｄ



１２ Ｌ ｏｃ ｋ  Ｄ ｅｖ ｉ ｃｅ



２ ２ ２
． ．
设备动持型勒索应 用 的 设计实现



如 ２ 中 提到 的 个典型 的 设 备 劫 持 型 勒 索 应 用 的 设 计实 现 可 以 用 集 合 ４ 〇
一

． １ ． １
，

 ７１

表示 如 公式 ，
２ ４ －

所示 ，
？ 包含 Ｂ ＩＮ Ｄ ＿
Ｄ Ｅ Ｖ Ｉ Ｃ Ｅ ＡＤ Ｍ ＩＮ ＿
的 权 限 典 型 的 ＡＰ 调 用 和 敏

 ，
Ｉ

感字符 串 。
； ＾ 表示 恶 意 应 用 的 权 限 比 如 像 ，
ａ ｎ ｄｒ ｏ ｉ ｄ ．

ｐ ｅｒｍ
ｉ ｓｓ ｉ ｏｎ ． Ｂ Ｉ ＮＤ ＿
Ｄ Ｅ Ｖ Ｉ Ｃ Ｅ ＡＤ Ｍ Ｉ Ｎ
＿


。

１ 

２

第二章 勒 索 应 用 行为 刻 画 与 实 现 方 法 分 析



申 请 此权 限 后 ， 勒 索 应 用 可 以 获 取 超级 管 理 员 权 限 ， 以防 自 身被用 户卸 载 。
表示


敏 感 或 威 胁字 符 串 。 勒 索 应 用 通 常 使 用 威胁 字 符 串 要 求 付款 

。

元组  ＜ 儿 ？６ ，
尾 〉 表示 ＡＰＩ 调用 序列 。
如 公式 ２ ５ －

所示 ， 凡 是 ｛ ％ ＆ ，
 ｜
｜ ｝ 的 子集


合 。
Ｐ 代 表每 个 ＡＰＩ 之 间 没有 关系 ，
＆ 表示 每 个 ＡＰ 关 系 是 Ｉ ａｎ ｄ 、
｜ ｜
表示每 个 ＡＰ Ｉ 之间


的关系是 ｏｒ 。
如 公式 ２ ６ －

所示 儿 ， ？ｂ 是 ４ 的 子集 也 表 示 ， 办 的集 合 為 代表相 关 的进


行 设备 锁 定 的 ＡＰ Ｉ 。
如表 ２ －

１
所示 ，
ｒｅ ｓ ｅ ｔＰ ａ ｓ ｓ ｗ ｏｒｄ （ ） 可 用 于 重 置设 备 的 密 码 ，
ｒｅ ｓ ｅ ｔ Ｖ ｉ ｅｗ （ ）



“ ”

用 于 重置手 势 的 手 势 视 图 ，
ｓｅｔ Ｐ ａ ｒ ａ ｍ ｅ ｔ ｅ ｒ （ Ｓ ｐ ｅ ｅ ｃ ｈ Ｃ ｏ ｎ ｓ ｔ ａ ｎ ｔ Ｓ ＡＭ Ｐ ＬＥ Ｒ ＡＴ Ｅ ．
，
８ ００ ０ ） 

用
于 设 置 设 备 的 语音 密 码 ， 并且 ｌ 〇 ｃｋ Ｎ ｏｗ （） 用 于 锁 定 设备 。 ＆ 表示 每 个 ＡＰ Ｉ 关系 是 ａｎｄ 

。

例如 ， 设 备 劫 持 型勒 索 应 用 在 运 行 时 可 能 首 先调 用 ｒｅ ｓ ｅ ｔ Ｐ ａ ｓ ｓ ｗ ｏ ｒｄ Ｏ 来修改密码 ，
然后


调用 ｌ ｏ ｃ ｋ Ｎ ｏｗ Ｏ 锁 定 设备 。 这两 个 Ａ ＰＩ 调 用 都是必 不 可 少 的 

。

ＭＬ ｄ  ＝
｛
ｒ ｉ ｄ
＝
（ Ｐ ｉ ｄ ， 
＜Ａ ｓ ｕ ｂ ，
Ｒ ｒ ＞ ，
ｓ ｔ
）  ＼
ｌ
＝
１
，
． ． ．

，  ｜ ｜
ｓ ；
｜ ｜
｝  （
２ －

４ 

）

｛ ￥
＞

，
＆ ，
 ｜ ｜ ｝  （
２ －

５）



■ ＾ ｓ ｕｂ＾ ＾
■

ｋ
—

 ？

｝ 
■  ？  ？

；  ｜ 
＾ —

Ｉ
； 
？  ？  ？

 
ｊ
｜ ｜
ｌｆ
ｆ ｃ ｜ ｜ ｝  （
２ —

６）



表 ２ －

１ 设 备 劫持型 勒 索 应 用 的 典 型 特 怔



特 征 含 义



ｒｅ ｓ ｅ ｔ Ｐ ａ ｓ ｓ ｗ ｏ ｒ ｄ （ ）  重设密 码



ｒｅ ｓ ｅｔ Ｖ ｉ ｅｗ （ ）  重置视 图



ＡＭ ＰＬＥ ＲＡＴＥ  设 置 语音 密 码


，

ｅ ｔ Ｐ ａ ｒａ ｍ ｅ ｔ ｅ ｒ （ Ｓ ｐ ｅ ｅ ｃ ｈ Ｃ ｏｎ ｓ ｔ ａ ｎ ｔ Ｓ
１ ４ ！

ｓ ．

＿
，
８ ０ ００ ）

ｌ ｏ ｃｋＮ ｏｗ Ｏ  锁 定设备



ａｎ ｄｒ ｏｉ ｄ ｐ ｅｒ ｍ ｉ ｓ ｓ ｉ ｏ ｎ
． ． Ｂ Ｉ Ｎ Ｄ Ｄ Ｅ Ｖ Ｉ ＣＥ ＡＤＭ Ｉ Ｎ  申
＿ ＿

请 并 获 得超级 管理 员 权 限



Ｌ ａ ｄｒ ｔ ／ Ｒ ／ＡＤ ＲＴ Ｌ ｏ ｇ Ｃ ａ Ｒ ｅ ａ ｄ ｅ ｒ  Ａ Ｉ Ｄ Ｅ （Ａ ｎ ｄ ｒ
ｔｏ ｉ ｄ 中 的 ＤＥ 功 能



Ｉ
）

２ ３
．
屏 幕资 源 劫 持 型 勒 索 应 用



屏幕 资 源 劫 持型 勒 索 应 用 不 是 常见 的 勒 索 应 用 。 收 集 到 的 数据 中 只 有 ７０ 个屏幕


资源控制 勒索 应用 。 他 们 被激 活 后 ， 有 ２５ 个勒 索 应 用 将 它 们 的 界 面 设 置 为 顶 级 界 面


在 设 备置 顶 显 示 ， 并 禁用 Ｈ ｏｍｅ 和 Ｂ ａｃ ｋ 按钮 。 也就 是 说 ， 用 户 不 能 使用 其他应用 程


序 或其他系统功 能 。 虽 然还有 ４５ 种 勒 索 应 用 将 其 界 面 作 为 顶 级界 面 ， 但用 户可 以按


Ｈ ｏｍｅ 和 Ｂ ａｃ ｋ 按钮退 出 。 但是这 种 退 出 是 暂 时 的 ， 勒索 应 用 的 界面将会在 很短的 时


间 内 继续挂起 ， 使 用 户 不 能 正 常 使 用 设备 。 通过对这 些 应 用 的 分析 ，
本节总 结 了 屏幕


资 源 劫 持型勒 索 应 用 的 ３７８ 个特征 

。

１ 

３
北 京 邮 电 大学 工学 博 士学 位 论文 



２ ３
． ． １ 屏幕资源劫持型 勒 索应 用 的 行为 表现



如图 ２ ２
－

所示 ，
一

个典型 的 屏幕 资 源 劫 持 型勒 索 应 用 被触 发后 ，
迅速将 自 己的窗


口 置顶 通常状态下 用 户 无法通 过点 击 Ｂ ａｃ ｋ 键与 Ｈ ｏ ｍｅ 键回到上 级界面 或 主界


一

， ，

面 ；
部 分屏 幕 资 源 抢夺型勒 索 应 用 虽 然 可 以 通 过 点 击 Ｂ ａｃｋ 或 Ｈｏｍｅ 键 回 到 主界面 

，

但是勒索 应 用 会在极短 的 时 间 内 再次置顶它 的 界 面 ， 干扰用 户 正 常使用 设备 。

典型 的



屏幕 资 源抢夺如 公 式 ２ －

７ 中的 可 以表示 为 历 和 构 成 的 元组 。
如公


式 ２ －

８ 所示 ， 是 屏幕 资 源 抢 夺行 为 的 子 集 ，
包括 禁 用 Ｈｏｍｅ 键 、
禁用 Ｂ ａｃ ｋ 键等


等 。 ＾ 知 紐 是 历＾ 的 代 码 实 现 子 集 ，
可 使 用 公式 ２ ９ －

表示 

。

Ｒ ｈ ｓｒ ＝
｛
＜ Ｂ ｈ ｓｒ ， 
Ｍｈ ｓ ｒ  ＞ ｝  （
２ －

７）



Ｂｈ ｓ ｒ Ｑ ｛ ｂ ｔ ｎ ＾ ｄｉ ｓ Ｈ ｏｍ ｅ ■  ｂｔ ｎ ｄｉ ｓ Ｂａ ｃｋ ，
ＵＳＢ ＾ ｄ ｉ ｓ ，
． ． ．

｝  （
２ －

８）



Ｍｈ ｓ ｒ  Ｑ  ｛  ｓ ｅ ｔＦ ａ
ｇ ｓ（
１ ０ ２４
） ，  ｓ ｅ ｔ Ｃ ａｎ ｃ ｅ ｌ ａ ｂ ｌ ｅ  ，
． ． ．

｝  （
２ －

９）



屏 幕 资 源劫  屏 蓽 资


持前 源 劫 持 


图 ２ ２ 屏 幕资 源 劫持示 意 图



２ ３ ２
． ．
屏幕资源 劫持 型勒 索 应 用 的 设计 实现



如 ２ ２ 中 提到 的 个典型 的 屏幕 资 源 劫 持型勒索 应 用 的 设计实 现 可 以 用 集 合



一

． ． １
，

表示 。 如 公式 ２
－

１ ０ 所示 ，
７
＾％ 包含相 关 的 权 限 ，
意图 ， 典型 的 ＡＰ Ｉ
调 用 和 敏感


字符串 。
Ｐｓｒｃ ， 代 表相 关 的 权 限 和 意 图 。
？ 表所 应 用 程序 中 敏感或 威 胁 的 字符 串 

。

丑Ｓ Ｒ ＞ 
＊
＝ ＝
句 １ ２ ０ ）
Ｃ ＾
Ｐｓｒｃ ’
卜
＿

１
ｒ
？  ？  ？

ｓｒ ｃ （
＂

ｉＪ ｛  ｝ （
，
， ，
） ｜
， ， Ｉ
Ｉ Ｉ

兀 组  ＜  ｉ？ ｒ  ＞ 表本 Ａ ＰＩ 调 用 子序列 。 ｉ ？Ｔ 是 ｛
（

／
Ｐ
，
＆ ，
 ｜ ｜ ｝ 的 子集 。 儿 ｕｂ 是 Ａ ｆｃ 

的

子集 ，
？

表示 元 素 办 的集合 。 办 代 表与 设备锁 定相 关 的 ＡＰＩ 


。

如表 ２
－

２ 所示 ，
Ｌ ａ ｙ ｏ ｕ Ｐ ａｒ ａ ｍ ｓ ＞ ＦＬ Ａ Ｇ
ｔ
－

＿ 
ＦＵＬＬ Ｓ Ｃ ＲＥ Ｅ Ｎ 用 于设置窗 口 为 全 屏 显示


窗 口 。 ｓｅｔ Ｃ ａｎｃ ｅ ｌ ａｂ ｌ ｅ 〇 和 ｓ ｅ ｔ Ｆｌ ａ
ｇｓ （ ） 用 于将窗 口 挂起 ， 设置不 同 的 参数 ，
上述 方法将



１ 

４

第 二章 勒索 应 用 行为 刻 画 与 实 现方法 分 析



表 ２ －

２ 屏 幕资 源控制 勒 索 应 用 的 典型 功 能



特征  含 义



Ｌ ａ ｙ ｏｕ ｔ Ｐ ａ ｒ ａ ｍ ｓ ＞ Ｆ ＬＡＧ Ｆ ＵＬＬ Ｓ ＣＲ ＥＥ Ｎ  －

＿
挂起 窗 口



Ｗ ｉ ｎ ｄ ｏｗ ＞ ｓ ｅｔ Ｆｌ ａ ｇ ｓ （ Ｉ
－

，
Ｉ
） ，
ｖ ２ ｖ４ ｖ ４
， ，  通 过 修 改 参 数设 置 顶 级 窗 口



“ ”
监视 ＨＯ Ｍ Ｅ 按钮并禁用


ａ ｎ ｄ ｒｏ ｉ ｄ ． ｉ ｎ ｔ ｅ ｎ ｔ ｃ ａｔｅ ｇ ｏｒ ｙ ． ． Ｈ Ｏ ＭＥ


“ ”
ＨＯＭＥ 按钮


， ｏ ｎ Ｗ ｉ ｎ ｄ ｏｗ Ｆ ｏ ｃ ｕ ｓ Ｃ ｈ ａ ｎ ｇ ｅ ｄ （ ） ．
ｓｅｎｄ Ｂ ｒｏ ａｄ ｃ ａ ｓ ｔ
（）



设置 当 前 窗 口 不 能 被 取 消 或


Ｄ ｉ ａｌ ｏ ｇ
－

＞ ｓ ｅ ｔ Ｃ ａ ｎ ｃ ｅ ｌ ａｂ ｌ ｅ（ ）



使其不 断 出 现



起 到 不 同 的 效果 。 将 ｓ ｅｔ Ｃ ａｎ ｃ ｅ ｌ ａｂ ｌ ｅ （ ） 中 的 默认 参 数 从 Ｔｒ ｕ ｅ 修改为 Ｆ ａｌ ｓ ｅ 时 ， 用 户 无法


按 下 对话 框 的 外 部 区 域 ； 将 ｓｅｔ ＦＩ ａ ｇ ｓ Ｏ 中 的 参数设置 为 １ ０２４ 时 ， 该 窗 口 将被设 置 为


全屏 窗 口 。 〇 ｎ ｋｅ ｙ Ｄ ｏｗ ｎ （） 和 Ｏ ｎＡ ｔ ａｃ ｈＷ ｉ ｎ ｄ ｏｗ Ｏ 用 于 禁 用 Ｈ ｏ ｍｅ 和 Ｂ ａｃｋ 按钮 ， 由 

于
Ｈｏ ｍｅ 按 钮 是 系 统按 钮 ，
Ｋ ｅｙ Ｅ ｖｅ ｎ ｔ
几 乎 无法 捕 获 ｃｌｉ ｃ ｋ 事件 ， 因 此开 发 人员 需要 重 写


Ｏ ｎＡ ｔｔ ａｃ ｈ Ｗ ｉ ｎｄ ｏｗ Ｏ 。
如 果 安卓 的 版 本 是 ２ ３ ．
及 以下版本 ， 该方法 可 以 利 用 以 下 方式 进


行重写 ， 如图 ２ ３ －

所示 

。

ｐｕｂ ｌ ｉ ｃｖ ｏ ｄ  ｏ ｎ Ａｔ ｔ ａ ｃ ｈ ｅ ｄ Ｔｏ Ｗ ｎ ｄ ｏｗ 〇 ｛
ｉ

 ｉ

ｔｈ ｉ ｓ ｇ ｅ ｔＷ ｎ ＜ ５ ｏ ｗ
，

（）
ｓ ｅｔ Ｔ
ｙ ｐｅ（ ｉ ． Ｗ ｍ ｄｏｗＭａｎａ ｇ ｅ ｒ ． Ｌ ａｙ ｏｕ ｔ Ｐ ａ ｒ ａ ｍ ｓ ． ＴＹ Ｐ Ｅ ＫＥＹ ＧＵ ＡＲ Ｄｙ
＿



ｉ

ｓｕ ｐ ｅ ｒ ｏ ｎ Ａ ｔ ａ ｃ ｈ £ ？ Ｔ ｏＷ ｎ ｄ ｏ ｗ 〇
．
ｌ ｔ


；



｝

图 ２ －

３ 安卓 ２ ３ ＿
版 本 以 下 重 写 Ｏ ｎＡ ｔ ｔ ａｃｈ Ｗ ｉ ｎ ｄ ｏｗ 的例子



如 果 安卓 系 统 版本 为 ４ ０ ．
及更 高 的 版 本 ， 该方 法 可 以 利 用 以 下 方 式 进行 重 写 ， 

如
图 ２ ４
－

所示 。 且 Ｏ ｎ Ｋｅ ｙ Ｄ ｏ ｗ ｎ Ｏ 将 被 重写 ， 如图 ２ ５ －

所示 

。

ｐｕ ｂ ｌ ｉ ｃ ｓｔ ａｔ ｃ ｆ ｎ ａ
 ｉ  ｉ ｌ  ｉ ｎ ｔ  Ｆ ＬＡＧ ．
Ｈ Ｏ Ｍ ＥＫＥＹ Ｄ ＿
Ｉ Ｓ Ｐ Ａ ＴＣ Ｈ Ｅ Ｄ  ＝  ０ ｘ ８ ０ ０ ０ ００ ０ ０ ；  ｔ ｈ ｅＵ 

ｎ
ｒ

ｐｕ ｂ ｌ ｉ ｃ  ｖｏ ｄ ｏｎ Ｃ ｒｅ ａｔｅ （ Ｂｕ ｎｄ ｅ
ｉ  ｝  ｓａ ｖｅ ｄ ｌ ｎ ｓ ｔ ａ ｎ ｃ ｅ Ｓ ｔ ａ ｔ ｅ Ｋ


ｓｕ
ｐ ｅ ｒ ｏ ｎ Ｃ ｒ ｅ ａ ｔ ｅ ｛ Ｓ ３ Ｖ ｅ ｃ Ｈ ｎ ｓ ｔ ａ ｎ ｃ ｅ Ｓ ｔ ａ ｔｅ
．

） ；



Ｅ ｈ ｉ ｓ ．

ｇ ｅｔ Ｗ ｎ ｄ ｏ ｗ 〇＾ ｅ ｔ Ｆ ａ ｇ ｓ （ Ｆ Ｌ Ａ ６ Ｈ Ｏ Ｍ
ｉ ｉ
＿
Ｅ ＫＥＹ ＿
Ｄ ＳＰ Ａ Ｔ Ｃ Ｈ Ｅ Ｄ
ｔ
ｔ
ＦＬ ＡＧ Ｈ Ｏ Ｍ Ｅ Ｋ ＥＹ Ｄ ＿
Ｉ Ｓ ＰＡＴ Ｃ Ｈ Ｅ Ｄ ） ； 
／／ｔ ｈ ＆  ｋ ｅｙ  ｃ ｏ ｄ ｅ



ｓ ｅｔＣｏ ｎ ｔ ｅ ｎ ｔＶ ｅｗ（ Ｒ ｉ ． ｉ ａｙｏ ｕｔ ｍ ａ ｎ ） ｉ



；



｝

图 ２ －

４ 安卓 ４ ０ ．
版 本 以 上 重 写 Ｏ ｎＡ ｔｔ ａ ｃ ｈ Ｗｉ ｎ ｄ ｏ ｗ 的例子



表 ２ ２ －

中 显 示 的 Ａ ＰＩ 调 用 序 列 用 于 禁 用 Ｈ ｏ ｍ ｅ 按键 。 ａｎ ｄｒ ｏｉ ｄ ． ｉ ｎｔ ｅ ｎｔ ． ｃ ａｔｅｇ ｏｒ
ｙ ． Ｈ ｏ ｍｅ



“ ”

是 用 于注册 Ｈｏ ｍｅ 按 钮 的 监 视器 。 Ｌ ａｎ ｄ ｒ ｏ ｄ ｉ ／ａ
ｐｐ 
／  Ａｃ ｔｉ ｖ ｉ ｔ ｙ 〉 ｏ ｎ Ｗｉ ｎ ｄ ｏ ｗ Ｆ ｏ ｃ ｕ ｓ Ｃ ｈ ａ ｎ ｇ ｅ ｄ 〇
－




用 于 发送伪造的 广播
“ ”
用 于 监 视是 否 单 击 Ｈ ｏｍｅ 按钮 。 ｓｅ ｎ ｄ Ｂ ｒｏ ａ ｄ ｃ ａ ｓ ｔ Ｏ 。 可 以 通过 调


用 这 些 ＡＰ 序 列 禁 用 该 按 钮 Ｉ 

。

１ 

５
北 京 邮 电 大 学 工 学 博 士 学 位 论文 



ｐ
ｕ ｂ ｃ ｂ ｏｏ
 ｅ ａ ｎ  ｏ ｎ Ｋ ｅ ｙ Ｄ ｏ ｗｎ （ ｎ ：

ｔ  ｋ ｅ
ｙＣ ｏ ｄ ｅ Ｋｅ Ｅｖｅｎｔ  ｅｖｅ ｎ ｔ ） ｛
 ｙ
ｌ ｉ ｌ
，



ｉ
ｆ
 （
ｋｅ
ｙ
Ｃｏ ｄ ｅ  ＝ ＝  ｅ ｖｅ ｎ ｔ ． Ｋ ＥＹ Ｃ Ｏ Ｄ Ｅ ＨＯ ＭＥ ） 

｛

ｒ ｅｔｕ ｒ ｎｔｒｕ ｅ 

；



｝

ｒ ｅｔｕ ｒ ｎｓ ｕ ｐｅ ｒ ．
ｏ Ｏ ｎ Ｋｅｙ Ｄ ｏｗ ｎ ｋｅ ｙ Ｃ ｏ ｄ ｅ ｅｖｅ ｎ ｔ ）
，
（ 

；



１





图 ２ －

５ 安卓 ４ ０ ．
版 本 以 上 重 写 Ｏ ｎ Ｋｅ ｙ Ｄ ｏｗ ｎ 的 例 子



２ ４
．
文 件 加 密 型 勒 索应 用



文 件 加 密勒 索 应 用 也是 种常见 的 勒索 应 用 激活它 们 后 勒索 应 用 会 动加密



一

。
， 自

设备上 的 隐私文件 ，
包括照 片 ，
ｔ ｘｔ 文 件等 。
收 集 到 的 数据有 ２２ ３ 个文 件加 密勒 索 应


用 ， 我们 总结 了 
４ １ １
个 文 件加 密勒 索 应 用 的 功 能 

。

２ ４
． ． １ 文 件加 密 型 勒 索应 用 的 行为 表现



文 件加 密行 为 ， 在 运行 时 的 表现如 图 ２
－

６ 所示 ，
应用 被触 发后 ， 在用 户不知情的


情况下 ， 自 动将 用 户 的 隐 私 文 件进行加 密 。
部分具有 文件加 密行 为 的 勒 索类 应用 还 会


在加 密 后 ， 对 设备 再 次 进行 加 密 ， 或 结合 屏幕 资 源抢夺 的 方式 ， 完 成对用 户 的勒索 

。

：


聲



＋
加密Ａ Ｐ 

Ｉ

文 件加 文 件加


密前 

密后

图 ２
－

６ 文件加 密示 意 图



典型 的 文 件加 密 如 公 式 ２
－

１ １
，
２
－

１ ２ ２
，
－

１ ３ 中的 ， 可表示 为 和 

构
成 的 三元组 。 表 示 隐 私 文 件 的 绝 对路 径 。 Ｓ ＥＦ 表示勒索 应用 具有 的 寻 找 目 标文


件 、 加 密文 件 等典型行为 。 表示 的 代码实现 。
典型 的 文 件加 密行 为 步骤如


下 

：

１
） 获取 Ｂ 标文件 。
攻击者 通 常 针对最 常 用 的 文 件 或 后 缀 为 ． ｔ ｘｔ 、 ．

ｊ ｐｇ 、 ． ｄｏｃ 等的


文件 。
攻击 者 获 取 到 符 合 条 件 的 文 件 ， 并将它 们 的路径添加 到 类 别 中 

。

２ ） 加密文件 。
为 了 加 密 文件 ， 攻击者 必 须 申 请与 读取或 写人 文 件相 关 的 权 限 并

 ，

调用 ＡＥ Ｓ 或 ＤＥＳ 等 加 密方法 来加 密 目 标文件 


。

３
） 替代文 件 。
在对 目 标 文件进行加 密 后 ， 攻击 者 通 常 采 用 直 接 覆 盖 原 始 文 件 或


删 除 原始文 件 并将加 密 后 的 文 件复 制 到 原 始路径 的 方式 替换 原始文 件 

。

１ 

６

第 二章 勒索应 用 行为 刻 画 与 实 现方法分析



Ｒｅｆ ＝
｛
＜Ｂｅｆ ，
Ｍｅｆ Ａ ｅ ｆ  ＞ ，
－

＼ 
－
Ａ ｂ ｆ —

｛ ｐａｔ ｈ ｝ ｝  （
２ －

１ １


）

Ｂ ｅ ｆ  Ｑ  ｛  ｄｅ ｌ ｅ ｔｅ ＿
ｉｌｅｓ
ｆ ， 
ｅ ｃ ｒ ｙｐ ｔ ＿
ｆｉ ｌ ｅｓ ， 
ｉｎｄ
ｆ ＿
ｔ ａｒ
ｇｅ ｔ  ． ． ．

｝  （
２ －

１ ２）



Ｍｅｆ  Ｑ  ｛ Ａ Ｅ Ｓ 〇 Ｄ Ｅ Ｓ ， 
（ ） ，
Ｅ ｎ ｄｅ ｃ ｏｄｅ Ｕｔ ｉ ｌ ｓ ．
ｄ ｅ Ｃ ｒ ｙｐｔ ｏ  …

｝  （
２ －

１ ３）



２ ４ ２
． ．
文 件 加 密 型 勒 索应 用 的 设 计实现



种 典 型 文 件 加 密勒 索 应 用 可 以 被 表 示 为 如公式 ２ ４ 所示 包含 与


—

ｒ
－

。 １
，
／ｅ

权 限相 关 的读取或 写 入 、 典 型 的 攻击 模 式 和 敏 感 字 符 串 。
？ ＾ 表示 相 关 的 权 限 ， 

如
ａ ｎ ｄ ｒ ｏ ｉ ｄ ｐ ｅｒ ｍ ｉ ｓ ｓ ｉ ｏ ｎ
． ． Ｗ Ｒ Ｉ Ｔ Ｅ Ｅ Ｘ Ｔ Ｅ Ｒ ＮＡ Ｌ ＿ ＿
Ｓ Ｔ Ｏ Ｒ ＡＧ Ｅ  ， 申 请该权 限 后勒索应 用 能够在


存储上写 人文 件 。 ＆ 表示 应用 程 序 中 的 敏感或 威胁字符串 

。

表 ２
－

３ 文 件 加 密 勒 索 应 用 的 典型 功 能



特 征 含 义



ａｎ ｄｒ ｏ ｉ ｄ ．

ｐ ｅｒｍ ｉ ｓ ｓ ｉ ｏ ｎ ． Ｗ Ｒ Ｉ Ｔ Ｅ Ｅ Ｘ ＴＥ Ｒ ＮＡ Ｌ＿ ＿
Ｓ Ｔ Ｏ Ｒ ＡＧ Ｅ  申 请读 写 对 
Ｓ Ｄ Ｃａｒｄ  的访 问 权 限



ｓｅｔ Ｃ ａｎ ｃ ｅ ｌ ａｂ ｌ ｅ （）  申 请在 Ｓ Ｄ Ｃ ａ ｒｄ 中 创 建 和 删 除文件权 限



Ｌ ａｎ ｄｒｏ ｄ  ／  ｃ ｏ ｎ ｔ ｅ ｎｔ ／Ｉ ｎ ｔｅ ｎ ｔ ＞ ａ ｄ ｄ Ｃ ａ ｔ ｅ ｇ ｏ ｒ ｙ （ ）
－

ｉ 



Ｌ ａ ｎ ｄ ｒｏ ｉ ｄ  ／  ｃ ｏ ｎ ｔｅ ｎ ｔ  ／  Ｉ ｎ ｔ ｅ ｎ ｔ
－

＞ ｃ ｒ ｅａｔ ｅ Ｃ ｌ ｉｏ ｏ ｓ ｅ ｒ （ ）



Ｌｊ ａ ｖ ａ ｘ  ／ｃ ｒ
ｙｐ ｔ ｏ  ／ Ｃ ｉ
ｐ ｈｅ ｒ ＞ ｇ ｅ ｔ ｌ ｎ ｓ ｔ ａｎ ｃ ｅ （ ）
－




遍历和 加 密指 定 的 文件


Ｌｊ ａ ｖ ａ ｘ  ／  ｃｒ
ｙｐ ｔ ｏ  ／ Ｃ ｉ
ｐ
ｈｅ ｒ ＞ ＜ｉｎｉ ｔ＞
－




Ｌｊ ａ ｖ ａ ｘ  ／ ｃｒ
ｙｐ ｔ ｏ  ／ Ｃ ｉ ｄ Ｆｉｎ ａｌ 〇
ｐｈ ｅｒ ＞ ｏ 

－

Ｌｊ ａｖ ａ ｘ  ／ ｃｒ
ｙｐ ｔｏ  ／ｓ
ｐｅｃ  ／Ｓ ｅ ｃ ｒｅ ｔ Ｋｅ ｙ Ｓ ｐ ｅｃ －

ｘ ｎｉ ｔ ＞
ｉ 


说奴 表 ７ Ｋ 文件 加 密 勒 索 应 用 的 攻 击 方 式 。
如公式 ２ －

１ ５ 所示 ， 攻击 模 式 包 含攻 击


时间 、
攻击 目 标 、 加 密方法 、
攻 击 顺 序 和 攻 击 流程 。 ａｔ ｆ
ｃ 的 子集 包 含 典 型 的 ＡＰ 调 用

 Ｉ

序列 。 ａ 知 ｍ 代 表攻击 时 间 ｅ 。 它 包 括 立 即 加 密 文 件 并 等 待 命令 代 表加 密 文


件夹 。
■

代 表 勒 索 应 用 的 加 密 攻击 顺 序 ， 勒 索 应 用 可 以 在 获取 到 所有 目 标 文 件


路 径 后 进行 集 中 加 密 ， 或 在 发 现 某 目 标 文 件 时 对 其 进行 实 时 加 密 。 代 表加


密方法 ， 包括调 用 ＡＥ Ｓ （ ）  Ｄ Ｅ Ｓ 〇 ， 或 其他方法 。 ａｔ ｔ
／ ｅａ 代 表 攻击 勒 索 应 用 的 攻 击 流 

。

如表 ２ －

３ 所示 ， 勒索 应用 通过 ａ ｄ ｄ Ｃ ａ ｔ ｅ ｆｏ ｒ ｙ Ｏ 和 ｃ ｒｅ ａｔ ｅ Ｃ ｈ ｏ ｏ ｓ ｅ ｒ （ ） 循 环设 备 的 存 储 结


构查找 文件 标类型 旦 找 到 合格 的 文 件 它 通 过调 用 ｅ ａｄ （ ）
ｒ 或 Ｆ ｉ ｌ ｅ ｌ ｎ ｐ ｕ ｔ Ｓ ｔ ｒｅ ａ ｍ Ｏ
一

目 ； ， 


获得 数 据 ， 然 后调 用 加 密 ＡＰＩ ， 例如 Ｌｊ ａ ｖ ａ ／ ｃ ｒ ｙ ｐ ｔ ｏ ／ ｓ ｐ ｅ ｃ／ Ｉ ｖ Ｐ ａ ｒ ａ ｍ ｅ ｔ ｅｒ Ｓ ｐ ｅ ｃ 对 数 据 进行 加


密 ；
在最 后 ， 它使用 ｗｒ
ｉ ｔｅ （ ） 或 Ｆ ｉ ｌ ｅ Ｏ ｕ ｔｐ ｕ ｔ Ｓ ｔ ｒｅ ａ ｍ Ｏ 写入加 密 文 件 

。

１ 

７
北 京 邮 电 大学 工 学 博 士 学 位论 文 



Ｒ ｆｅ 
＝
ｒＳ ｅ
＼
＝
 ｏ＾ ｋ ｉ
ｓ ｉ
） 
｜
Ａ ＝１
；

，
． ． ．

，
 ｜ ｜
ｃ ｉｔ ｔ
ｃ
ｆ ｜ ｜
， 
Ｚ
＝１
，
． ， ．

，
Ｈ
ｓ ｉ
Ｈ ｝  （
２ —

１ ４ ）

Ｃｉｔ ｔ
｝＾ 
— 
＂
Ｃ ， 
ｔｉ＾ ｔ ａｒ
ｇ
ｅｔ５
＾＾ ｅｎ ｍｅ ｔ ｈ ｏｄ ｉ 
＾ ＾ ｏ ｒｄ ｅ ｒ  １ 
Ｏ ＇
＾ ｆｅ ａ ＾  （
２
—

１ ５）



２ ５
．
本 章小 结



本 章 依据 勒 索 应 用 的 勒 索行 为 表 现 将 勒索 应 用 划 分 为 设 备 劫 持 型 勒 索 应 用 ，
、 

屏
幕 资 源 劫 持型勒 索 应 用 以 及 文件 加 密 型勒 索 应 用 。
本章 从 行 为 表 现 以 及 设计 实 现 两


个 方 面 对 上 述 三 种 勒 索 应 用 进 行 了 详 细 分析 ， 为 后 续 的 研究 奠定 了 基 础 

。

１ 

８

第 三章 Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ ：

行 为 可 区 分 的 勒 索 应 用 激 活 前 检 测 研究



第三章 ＫＲＤ ＲＯ Ｉ Ｄ ：

行为 可 区 分 的 勒 索 应 用 激活 前检测研 究



随 着勒 索 应 用 的 数 量 的 不 断 增 长 ， 勒 索 应 用 已 对 安卓 设 备 产 生 了 严 重 威胁 大 多

 。

数现 有 的 勒 索应 用 检 测 引 擎 使用 敏感 文本或 ＡＰＩ 来检测勒索应用 。

一

些带有锁定屏


幕和加密文件的功 能 的 良性应用 与勒索应用 有 些 相 似 的 行为 现有 的勒索应 用 检


一

测 引 擎很难 区分这些 良 性 应 用 与 真正 的 勒索 应 用 。 在本章 中 ， 本 文 在 安 卓 上提 出 了




种 基于 行为 的 勒 索 应 用 检 测 引 擎 Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 实 验表 明 在 ２０７ 个勒索应用 的数


一

。 １
， ，

据集上 ， 提 出 的面 向 勒索应 用 的检测 引 擎可 以辨别未知 的 恶意软件 ，

并且准确 率达


到了  ９７ ８ ． ％ 。 它 也 可 以 区 分 与 勒 索 应 用 具 有类 似 勒 索行 为 的 良 性应 用 ，
实验表 明 ， 

在
１ ００ 个 良 性应 用 的 测 试数 据集 上 ，
Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 未 出 现误报 ， 准确 率为 １ ００ ％ 

。

３ １ ．
引言



随 着 近 年 来各 种 勒 索 应 用 的 空 前 爆 发 ， 给 各行 各 业 都 带 来 了 威 胁 ，
并 对个 人 和


企业 造 成 了 巨 大 的 经 济 损 失 。
勒 索 应 用 的 数量 自 ２０ １ ７ 年 至 今 在持 续增 长 ，
已 经成为


名 用 户 遭受 到 了
４３］
了 移动 设备 的 个 重 大威 胁 至 少有 ５０ 个国家 地区的 ３ ０ ００ ００ 

一 ［

。 １ ／

Ｗａ ｎ ｎ ａ Ｃ ｙ ｒ
（
—

种 恶 意软 件 的 攻击 ） ， 损 失高达 ８０ 亿美元 。 根据 Ｐｒ ｅ ｃ ｉ ｓ ｅ  Ｓ ｅ ｃｕ ｒ
ｉ ｔｙ 发布的


最新报告 Ｗａ ｎｎ ａ Ｃ ｒ ｙ 在 ２０ ９ 年 仍 然 是最有影 响力 的 勒索应 用 之 在 ２０ ９ 年 

研
一

１ 。
１
， ，

究 人员 发 现 了 种 新 型勒 索 应 用 Ｓ ｉ ｌ ｅｘ 此 类 勒索 应 用 的 传 播 很 快 Ｓ ｉ ｌ ｅｘ 首先 影 响 了


一

。
，

３５０ 台 设备 ， 然 后 迅 速扩 展 到 １ ５ ００ 多 台 设备 。 根据 Ｃ ｏ ｖ ｅｗ ａｒ ｅ 发 布 的 统 计数 据 ，
２０ ２０



Ｍ
年 第 二 季 度 的 勒 索 应 用 赎金要 求 是 ２０ １ ９ 年的四倍 

。

据悉 ， 基 于 安卓 平 台 的 移 动 设 备 大 幅 度 增 加 關 。
到 ２ ０ ２０ 年底 ， 安卓设备 的 数量


约有 亿 ？
前 在安 卓 上 运 行 的 勒 索 应 用 仍 然 威 胁 着 移 动 设 备 有鉴于 此 

本
６
＿

６ １ 。 目 ，
。
，

章 将 主 要 研 究 基 于 安 卓 平 台 的 勒索 应 用 检 测 

。

Ｗ ｉ ｎ ｄｏｗ ｓ 上 的勒 索 应用 检测 已 相 对成 熟 。 ２ ｅ ｎ ｔ Ｆ ＯＸ 可 以 检 测 到 高 生 存率 的 勒 索


应用
４５ ］
，
且 具 有高 检 测 精 度 和 低 错 误 率 ［

。 ＵＮＶＥ ＩＬ 使 用 文 件 系 统 监 视器 和 ＯＣＲ 来检


＾ ｍ
测 锁 定设备和 加 密 文件 的 勒 索 应用 等人 提 出 的方法 可


３ ６］
Ｓ ｈ ｉ ｅ ｌ ｄＦ Ｓ 和 Ｓ ＯＮＧ Ｓ
ｔ

以通过 Ｉ／ 〇 识 别 勒 索 应 用 请 求数 据 包 。 Ｅ ｄ ｅ Ｒ ａｎ
ｌ
使 用 动 态 分析 来 从 良 性 应 用 中 区 分


＃４ ８
出 勒索应用 还有 些其他 人 的 工 作 致 力 于 通 过使 用 流 量特 征 或 敏 感
２８
８］
Ａ Ｐ Ｉ
１
［ 一 ［ ］

来 检 测 加 密勒 索 应 用 在其 他 平 台 上 检 测 勒 索 应 用 的 方 法 无 法 直 接 应 用 在安 卓 上


一

。 。

Ｍ８
方面 利 用 流量识 别勒索 应用 这意 味 着 检 测 到 勒 索 应 用 应 具 有 网
２８ ４
检测 引 擎 

［ ，
］

。
，

络 访 问 权 限 而 大 多 数 安 卓 上 的 勒 索 应 用 可 以 在 没 有 网 络 的 情 况 下 进行 勒 索 另 

方
一

。
，

面 ， 安卓 有 自 己 的 安 全性机 制 ，
也 就 是说 ， 有 很 多 不 同 的 文 件 和 功 能 可 用 于 安 卓 勒索


应用 检测 

。

１ 

９
北 京 邮 电 大 学 工 学 博诗 位 论 文 



针对 安卓 系 统 的 勒 索 应 用 的 检 测 方 法 目 前还 有 很 大 的 研究 空 间 。 ２０ １ ６ 年 ，
Ｍ ｅｒ 

－

ｃ ａｌ ｄ ｏ 等人 首 先提 出 了 种 基于 机 器学 习 的 勒 索 检 测 引 擎 据 作者 所 知 Ｈ ｅ Ｄｒｏ 

ｄ
一

。 ｌ ｉ
，

—
和 Ｇ ｒ ｅ ａ ｔ Ｅ ａｔ ｌ ｏ ｎ 是 最 早 的 基 于 机 器学 习 静 态 分析 的 面 向 勒 索 应 用 的 检 测 引 擎 。 它们


基 于 威 胁文 本检 测 引 擎 、
锁 定检测 引 擎和 加 密 检测 引 擎检 测勒 索 应 用 。 但 如 果勒索


应 用 使 用 未 在 语言 库 中 出 现 的 其 他 国 家 的 语 言 ， 就 可 能 会 导 致许 多 误 判 。 这两种 检


？
测 引 擎 对 平 均 每 个样 本 的 检 测 耗 时均 为 秒 级 １

还有 些检测 引 擎使用 动态分析来



一

＾
识 别勒索 应 用 结 合静 态 和 动 态 分 析 来 检 测 勒 索 应 用
２３］
。 Ｄ ＮＡ Ｄ ｒｏ －

ｉ ｄ 。 Ｒ Ｐ ａ ｃ ｋ Ｄ ｒｏ
－

ｉ ｄ
［ 


是 款 实 用 的 安卓 勒 索 应 用 检 测 引 擎 Ａｚ ｍ ｏ ｏ ｄ ｅ ｈ 等 人 Ｍ 提 出 了 在 物 联 网 设备 上 基


一

于 设备能耗 的 文 件加 密勒索 应 用 检 测 方法 。 但如 果 用 户 需 要 通 过 使 用 具 有 动 态 分 析


功 能 的 检 测 引 擎 来 检 测 大 规 模 样本 ， 则 可 能 非常耗 时 

。

许 多 勒 索 应 用 检 测 引 擎 基于 敏 感 的 Ａ ＰＩ 识 别勒索 应 用 。 但是 ， 有
一

些勒 索 应 用


使用 不敏感 的 ＡＰ Ｉ 调 用 来勒索 。 例如 ， 勒 索 应用 可 以 通过 用 户按下 Ｈ ｏｍｅ （ 桌面 按钮

 ）

或 Ｂ ａｃ ｋ （ 返 回 ） 按钮 ， 使 其界 面 成 为 挂 在 屏 幕 上 的 顶 级 界 面 。
检测 引 擎可 能 会将它 们


误认 为 是 良 性 应 用 。
一

些 具 有 设备 锁 定 功 能 和 加 密 文 件 的 行 为 的 良 性 应 用 与 勒 索 应


用 有相 似 的 行为 例如 些 时 间 管 理 应 用 程 序 之 类 的 良 性 应 用 会 根 据 用 户 设置 的 时


一

。
，

间 锁 定 设备 ， 使勒 索 应 用 检 测 引 擎 很 难 区 别 出 它 们 

。

本 章详 细 分 析 了 三 种 勒 索 应 用 在 运 行 时 行 为 、
勒索 代 码 实 现 的 特点 ， 以 及勒 索


应 用 和 与 其具有 类 似 行 为 的 良 性 应 用 之 间 的 差异 ， 例 如 屏幕 美 化 应 用 与 文 件 加 密 管


理应用 。 之后 ， 本节 从 多 维 角 度 构 建 了 基于 勒 索 行 为 的 行 为 模 式 。
最后 ，
本 节提 出


一

个行 为 可 区 分 的 勒 索 应 用 检 测 引 擎 ，
ＫＲ Ｄ ＲＯ Ｉ Ｄ ， 它 保 留 了 勒 索 应 用 的 关 系 行为模式 

，

能 够 更 加 精 确 地 识 别 勒索 应 用 。 本章主要 的 贡献如下 

。

１ ．
分 析 与 勒 索 应 用 具 有 相 似 行 为 的 良 性 应 用 与 勒索 应 用 的 区 别 。 本文 从 Ｖ ｉｒ ｕ ｓ Ｔｏ


－

４２ ］ 刈
开 源 数据 库 收 集 了 三 种 最为 活 跃 的 安卓 勒索 应 用
４１
ｔ ａｌ
［

、 ＡＭＤ ［ ］

和 Ｋｏ ｏ ｄ ｏ ｕ ｓ ［

， 

并
在谷歌 应 用 商店 、
华 为 应用 商店 收集 了 
２ ００ 个与 勒 索 应 用 具有 相 似行为 的 良性 应 用 

。

从运 行 时 的 行 为 与 代 码 实 现 等 多 维 度对 这 些 应 用 进 行分析 

。

２ ．
构 建 基于 勒索 行 为 模 式 的 多 维特征 集 。 本 文从 ＡＰ Ｉ 调用 、
权限 、
意 图 和其他


维 度 提取 特 征 ，
．

构 建 不 同 类 型 的 勒 索行为 模 式 。 通 过这 种 方 法 构 建 的 特 征 集 ， 可 以被


看作 一

个 保 留 了 勒 索行为 信 息 的 表 达式 的 集 合 

。

３ ．
行为可 区 分的勒索 应 用 检测 引 擎 。 本章 提 出 了
一

个 行 为 可 区 分 的 针 对勒 索 应


用 的检测 引 擎 ＫＲ Ｄ ＲＯ ＩＤ 用 于 识 别 安卓 勒 索 应 用 实验结 果 表 明 Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 

在
—

。
， ，

检测 未 知勒索 应 用 方面 ，
准 确 率达到 了 
９８ ５ ． ％ ；
在 区 分与勒 索 应 用 具有相 似行为 的 良



性 应 用 与 勒索 应 用 方 面 ，
Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 较 其 他勒 索 应 用 检 测 引 擎 准 确 率提 高 了 约 ４０ ％ 

。

２０



第 三章 ＫＲＤ Ｒ Ｏ Ｉ Ｄ ：

行为可 区 分的勒索应 用激活前检测 研究




３ ２ ．
勒 索 应 用 与 良性应 用 的 区 别



在勒 索 应 用 的 研究 分 析 中 本章 发 现 些勒索应用 和 良性 应 用 具有 些类似的


一 一

运 行 时行 为 。
一

些 设备 劫 持 型 和 文 件加 密 等典型行 为 也存在于 良 性 应 用 中 。 例如 ， 

如
图 ３
－

１
中 ， 屏幕美化应 用 程序 和 时 间 管理应 用 程 序 具有 锁 定设备功 能 。 并 且 文 件管理


应用 程序具有 文件加 密功 能 

。

本 文 随 机 选 择 了 １ ００ 个屏幕美化应 用 程序 、
时 间 管理 应 用 程序 和 １ ００ 个文件管


＿ Ｍ
理 应用 程序 ，
并 将它 们 上 传 到 Ｖ ｉ ｒｕ ｓ Ｔｏ ｔ ａ ｌ 。
结果 显示 。 １ ０％ 的 屏幕 美 化 和 时 间 管


理 应 用 程 序被误判 为勒 索 应 用 。 １ ９ ％ 的 文 件管理应 用 程 序 被误判 为勒 索 应 用 。 也就


是说 ， 类似 的 行为 可 能 会 使检 测 引 擎将 良性应 用 识 别 为 勒 索 应 用 

。

为 了 更 好地 了 解 勒 索 应 用 和 良 性 应 用 之 间 的 差 异 ，
本文分析 了 设备劫持 （ 锁定 

）

勒索 应用 、
文 件加 密勒 索 应 用 以 及 良性 应 用 间 的 区 别 

。

图 ３
－

１
具有设备锁 定 功 能 的 良性 应 用



３ ２ １
． ．
设备 屏幕资源劫持类勒索应 用 与 良性应用
／ 


如图 ３
－

２ 所示 ， 尽 管勒 索 应 用 和 良性应 用 都通 过 Ｂ ＩＮ Ｄ ＿
Ｄ ＥＶ ＣＥ Ａ Ｄ Ｍ Ｎ
Ｉ
＿
Ｉ
获得超


级管理 员 权 限 ，
并使用 ｌ 〇 ｃ ｋＮ 〇 ｗ （ ） 锁 定设备 ：
但是它 们 在运 行 时行 为 方面 和 源 代 码 方


面 存在
一

些不 同 

。

如 公式 ３
－

１
和公式 ３
－

２ 所示 ，
与 勒索 应 用 具有类 似行为 的 良 性应 用 可 以 表示 为


Ｇ ＿
Ｄ＆Ｓ ， ＾Ｄ ＆ Ｓ ，
这 些 良性 应 用 含有 相 关 的 权 限 可 以 被表亦 为 ＰＯ＆ Ｓ ， 这些 良 性 应 用 使


用 的 典 型 的 ＡＰ Ｉ
调 用 可 以 被表示 为 ％ 。 良性应 用 与 设备劫持型勒索 应 用 共 同 具有 的


特征包含 
ａ ｎ ｄｒ ｏ ｉ ｄ ．

ｐ ｅ ｒｍ ｉ ｓ ｓ ｉ ｏｎ ． Ｂ ＩＮ Ｄ ＿
Ｄｅｖ ｉ ｃｅ ＿
ＡＤ Ｍ Ｉ Ｎ 、 ｌ ｏｃｋ Ｎ ｏ ｗ 〇等 。
对于 这 些 良性应


用 ．

它 们 的 功 能 仅 仅 为 更换 手 机 的 锁 屏 壁 纸 或 者 根据 用 户 的 需 求 设置 设 备 休 眠 的 时



２ 

１
北 京 邮 电 大 学 工学 博士学 位论 文 



间 。 尽 管这 些 功 能 会 涉 及 到 监 控 电 源 键 的 关 闭 与 设 备 的 锁 定 但 是 良 性 应 用 不 会 重 置

 ，

设备 的 ＰＩ Ｎ 码 、 手 势密 码 或 声 纹 。 也就是说 ， 用 户 可 以 使用 自 己 的 密 码 解锁 他 们 的 设


备 ， 并 正 常使用 设备 

。

表 ３
－

１ 设 备 妨 持型 和 屏 幕 资 源 控 制 勒 索 应 用 与 良 性 应 用 之 间 的 区 別



勒索应用 

良
 

设 备 劫 持 屏 幕 资 源劫 持 性



锁 定 屏 幕 ／ ｘ 

／

重 置 密 码 ／ Ｘ Ｘ



全 屏 窗 口  Ｘ ？

．
 

Ｘ

持 续 弹 窗 Ｘ －

 ｘ



禁用 Ｈ ｏｍｅ 按 钮 ／  －

 Ｘ



禁用 Ｂ ａｃ ｋ 按 钮 ／  －

 ｘ



禁用 ＵＳＢ 接 口 －  －

 ｘ



ｌ ｏ ｃ ｋＮ ｏ ｗ （ ）  ／ ｘ ／



ｒｅ ｓ ｅｔ Ｐ ａ ｓ ｓ ｗ ｏ ｒｄ Ｑ  ／ ｘ ｘ



ｓ ｅｔ Ｃａｎ ｃ ｅ ｌ ａｂ ｌ ｅ Ｑ  ｘ －

 ｘ



Ｗ ｉ ｎ ｄ ｏｗ ＞ ｓ ｅ ｔ Ｆ ｌ ａ ｇ ｓ （ Ｉ
－

，
Ｉ
） ，
ｖ ２ ｖ４ ｖ４ ／
， ，
 ／ ｘ



Ｏ ｎ ｋｅｙ Ｄ ｏ ｗ ｎ （）
／ Ｏ ｎ ｋｅ ｙ Ｕ ｐ （）   ／ ｘ

 －

ｏ ｎ Ａ ｔ ｔ ａ ｃ ｈ ｅ ｄ Ｔｏ Ｗ ｉ ｎ ｄ ｏｗ 〇  ／ 

ｘ

设备 劫 持 型 勒 索 应 用 不 仅 可 以 锁 定 设备 还 可 以 修 改 原 始 密 码 ，
。 用 户 无 法 通 过单


击 Ｈ ｏ ｍｅ 或 Ｂ ａｃｋ 按 钮 退 出 勒 索 界面返 回 到 桌 面 。 当 用 户 按下 电 源按钮 时 ， 设备 能 够


正 常休眠 。 但是 ，
当 用 户 尝试 再次 重 置 设备 时 ， 该 设 备 仍 被勒索 应 用 锁 定 。
在这 种 情


况下 ， 用 户 必 须 支 付赎 金 才 能 获 得 正 确 的 密 码 

。

屏 幕 资 源 控 制 勒 索 应 用 通 过在 字 节 码 中 设置特 定 的 参数 ， 将自 己的 Ａｃ ｔ
ｉｖ ｉｔ
ｙ 设置


”
勒索 应用 不 仅 禁用
“

为 顶级 Ａｃ ｔｉ ｖ ｉ ｔｙ 。 Ｈ ｏ ｍｅ 和 Ｂ ａｃｋ 按钮 ， 还能够禁用 关机 按钮 

。

通 过这种 方 式 ， 勒索 应 用 强 制 设 备在 不 休 眠 的 情 况 下 持续 工 作 并 强 制 用 户 为 能 够 正

 ，

常 使 用 设 备 而 支 付赎金 即 使 用 户 单 击 Ｈ ｏ ｍｅ 和 Ｂ ａｃｋ 按钮 些 勒 索 应 用 仍在继续



一

。
，

挂起界 面 。 而且 ，
一

些 研究 人 员 还 发 现 一

些勒 索 应 用 会 禁 用 设备 的 ＵＳ Ｂ ， 以防止用


户 通过 ＡＤ Ｂ 命令来卸 载应 用 程序 。
设 备 劫 持 型 和 屏幕 资 源 控 制 恶 意 应 用 和 良 性 应 用



２２



第三章 ＫＲ Ｄ ＲＯ Ｄ Ｉ
：

行为 可 区 分的勒索 应 用 激活 前 检测 研究



的 详细 区 别 如 表 ３
－

１
所示 

。

Ｇｄ ＾ｚ Ｓ
—

｛ ｄ Ｄ ＆ｃ Ｓ 
＝
 ｛ ｐ Ｄ Ｓｚ Ｓ
－

ｉ 
ａｋ
）  ｜
＾＝ ？  ？  ？

  ？
｜ ｜
ａ ／ｃ
 ｝  （
３
－

１


）

Ｇｄ ＆ｌ Ｓ
＾ ｛
Ｒｄ ｌ Ｕ Ｒ ｓｒｃ 

） 
＝
｛
Ｌ ｏ ｃ ｋ Ｎ ｏ ｗ  Ｏ ｐ ｅ ｒ ｍ ． ｉ ｓ ｓ ｉ ｏｎ ． Ｂ ＩＮＤ ＿
Ａ Ｄ Ｍ ＩＮ Ｄ Ｅ Ｖ Ｃ Ｅ ＿
Ｉ ． ．
． ．



｝

３ ２）
－

（ 


丨
勒索软件 
    


Ｉ

ＣｅｍｅＭＣ ｍｓ Ｕ Ｋ
 ｓａ ｎ ｎ ｃ ｕｔ ｎｔ
ｆ ？ｒｓｒ
  Ｊ Ｌｆ ４
．
． ｌ ｉ ，
＜



Ｊ
ｌ  ？ ＞

  民 １３Ｅ紅 汗


ｌ


ｌ

｜ 
＞ ｉ ｉ
ｒ ｎ
？ ｗ 
＝
＊ ？ ？
＊
？ ？ ｔ ｅ４ Ｋ？
ｓ ａ３ １ ４ ｔ ；

？  ｉｔ ｎａｔ ＾ ｏ ｔｅ ｆ Ｖ ｍｉ Ｍ
ｐｒ Ｌ
ｆ
 Ｗ 
＝
ｐ０ ．

９
＊ ｔ Ｍａｎａ ｐ？ ｉ
＾Ｕ
？  ｙ６ ３〇 Ａ Ｋ ｅｍ Ｙ
 





ｉ

Ｊ
—
＂ ＂ — ＂ ＂ －

 二；  
ｉ

ｔ Ｓｒ ？ Ｍ？ａ？ｆ
ｆ ＾
 ｏｗｅｓ ？ ？ ．５ ａ ｎ ａ
 ｔ
＝
？ ｉ ｒ
ｓＳ ．
＾ ＊
？ ｒ ｌ
ｐｌ ！
：
：

， ｉ

ｌ
ｉ
；


；

！ ＝＝ ＝ Ｔ  ：：
抑
Ｉ
■ ■ ；
峰——— ｗ 贫 －

ｉ  ； ｒ
—

遍 

！

卜
ｎｄｒ
却一 Ｋ Ｌ ：


」
ｉ
福聽  １  ： ： ，


ａ
ｆ ．
Ｎ Ｄ Ｄ６Ｖ Ｃ Ｅ ＡＤ 
． 
 ■ ■ 關  二 二二二二二二 
   Ｔ ． ． ＾ Ｊｋ  ｌ  －


＇

：
 臟始 令 

？

 ■Ｈ Ｈ  
；

 时 菅 理
’

ｐｎ ＜？ ？ ｖｏｘ！ ？ ＾Ｏ ｓｔ ｕ？ｆ Ｂ？ Ｒ ｅｍ
句
＊
ｆ ？ ：
〇
？
Ｊ

； 
 ｛ 

１


丨

  ＢＭ ｈ ｌ 
  … ｍ  Ｉ ＿ ＿




，

＾  
；
ＳＢ ＯｉｒｅＵ ｉ ｅ ｉ ｃ Ｗ ａｗ＆ ｒ
ｏｕ ｐ ＾ ｒ ｅｆ ｒ ｗｒ
ｆ ｔ
ｏＳｗ ｏ ｎｉｎ
毚
；

￣ ｊ

ＢＷ Ｗ ｐ 
ｇ
＊ｔ＆？ ａｆ ＊４ Ｗｎｅｎｆｉ ？Ｓ？ ｔ
＞
； ｉ ｆ ａ ｓ ｗｏｎ Ｊ
（ 

ｉ

〇ＣｋＮ 〇 ？Ｖ
ｌ ？
＾）  ？
 ｇｅ ｓ ？ ｕ ｆ ｅＬ ｏｃ ｃ
ｆ Ｖ ｉ ＊ ｗｒ ＆ｆ ａｕ ｜
ｉｆｅ＊ ｉ ｒｗｆ
！


：

 ｗＳｍ  Ｌｌ Ｂ ａ 
￣

  声
＇

应 用 程存 ｒ ｗ＾ｍｒ ３ ＾＾




＂ ＂ ＂
： ：： 

 ｒ ｔ

 

，   ｐ ；

｜
ｌ ＿

ｉ 

ｊ

；
ｉ ｅ ｔＰａ ｒ ａｍ ｅｔ ｅＨ Ｓ｛ ｊ ？？ ｈ Ｃ ￡ ｍｓｔａｎ ｔ ． ＳＡＭ ＰｌＥ  ＲＡＴ Ｅ  ， ！ 
！

＞
 游幕要
＾ 化  Ｌ ｉ

５
￣ ￣

ｘ  

－

 良 性 软件


—
 ！

 


＜ — ■


嘗 ：  ；
：

Ｈ
５

Ｌ：
 ■


：

． — 

图 ３
－

２ 设 备劫持 锁 定 勒 索 应 用 和 良 性 应 用 之 间 的 区 别



３ ２ ２
． ．
文件加 密类 勒 索应 用 与 良性应 用



如图 ３
－

３ 所示 ： 文 件加 密 勒 索 应 用 和 文 件 管理 应 用 程 序 可 以 加 密 隐 私 设备 文 件 

，

但在 加 密 解 密 模 式 下 它 们 仍 然 存在 －
一

些差异 

。

文 件管理应 用 程序 是 种 隐私保护 应 用 程序 它 们 为 用 户 提供加 密选项 并 等 待



一

对 自 定义 文 件进行加 密 。
这些 良性应 用 显示进度指 示器 ， 提醒 用 户 当 前 的 加密进 度 

，

并在加 密操作 完 成 后给 出 相 应 的提示 。 用 户 可 以 根 据 设 置 的 密 码 对 文 件 进行 解 密 


。

二
ｉ

１

 ｜
ａ＊软件

    


！



Ｉ

 Ｒ Ｅ Ｎ＾Ｗ Ｒ Ｅ ＾ Ｒ ＞Ｅ Ｎ Ｗ 
－ － － － － －

Ｃ
；    ＿


；

涵 藤
 ：ｗｉ —
— 


１
！
ｒ
ｉ ｉｓ ＃ 〇 ｓ
Ｅ
「




！

默
１

 卜， 卜 ３   繼舰
円

＾
：

 １  ａＳ ＳＴ 
』

 ２ ？ ＊？ ｇ ？ 
ｉ 土
； ｜ 

 
－ － 

二 ： ｔ ＝ ：二 ： 二＝ｖ： ｚ ： 二 二二 二二 二 二 二 二 ｒ 二 ｍ
Ｕ


了
． ． ： ：


？

＝ ＳＣ ｆｒ Ｉ ｊ
—

＾＾
Ｊ

卜 十    ｉｍｎ
ｊ

— —
— ？
—

ｗ
 

－
Ｒ ｅ ｒ
－

Ｉ
ｒ
丨
ｉ 

Ｊ  —

ｉ

 ＂
Ｉ
＼

Ｃｙ  路径
 ｗ  ｝ 加 密模 式 Ｓ 「 路 径   ＾ ｓ    

＾
￣ ￣

ｉ
ａｇｉ
－

／ ｉ
：

／ ／
＼ ：

／ ｉ ｌ

文件

 ｉ
－

ｇ ＾ Ｓ ＳＳ  夕 －
ｉ


 

ａ
ｒ


—
ｉ
Ｉ
＿ ＿

□ Ｅ Ｅ Ｉ ＺＥＭ Ｓ ｊ     
１   
１
＊

ｓ
ｉ  ：

ｚ
Ｉ
ｉ ｉ
ｌ ｅ ｉ


Ｎ Ｗ４） 
ｌ
 Ｒ 


Ｒ
Ｌ
？ －
＊ 

件
 
１
 ＊



？

Ｅ
－ －
－
， ？

！   １

４ ｉ  ｌ

 ｍ


！

！
 ！


！





Ｉ


图 ３
－

３ 文件加 密勒 索 应 用 与 良性应 用 的 区 别



２３


北 京 邮 电 大学 工 学 博 士 学 位 论 文 



＾ｍ ｏ ｄ ｅ 
＝
｛
＾１ ， 
６２ ， 
ｅ３ ， 
ｅ４ ， 
ｅ５
｝  （
３
－

３ 

）

＂


＇

 Ｒ  Ｅ Ｗ ＮＤＭ  ＲＥ
ｅｉ     ０  ０  ０  ０
１ １ １

？  ｅ １ １ １ １ １ ０ １ ２
… 、



五ｍ ｏ ｄ ｅ 
＝
 （
３ －

４）



ｅ     ０ ０

 ３
１ １ １ １ １

ｅ４       ０  ０
１ １ １ １ １

＿ 
ｅ５     ０  ０   ０
１ １ １ １

勒索 应 用 首 先遍 历寻 找 目 标 文 件 并 在 没 有 任 何 信 息 的 情 况 下 在 设 备 中 ， ， 自 动加


密 这 些 文件 。
如 公式 ３ －

３ 和 公式 ３ ４
－

所示 代 表勒 索 应 用 的 加 密 模 式 ，
ｅｉ 代表


加 密过程 。 丑 代 表读取 操 作 ，
五 代 表加 密操作 ，
Ｗ 代 表 写操作 ，
ｉ Ｖ 代 表创 建 新 文 件


操作 ，
Ｄ 代 表删 除操作 ， 表 示 重 命名 操 作 ，
尨 表 示 移动 操 作 

。

表 ３
－

２ 文件 加 密 勒 索 应 用 与 良性应 用 的 区 别



文 件加 密 勒 索 应 用 良 性应 用



加 密 文 件 ／ ／



用 户 可 以 选择 哪 个 文 件 被 加 密  ｘ  ／



后台 自 动 加 密 文 件 ｘ ／



具 有 文件 的 目 标 默 认 加 密 类 型 ／  Ｘ



Ｅｎｄ ｅ ｃ ｏ ｄ ｅ Ｕ ｔｉ ｌ ｅ ｓ ｄ ｅ Ｃｒ ｙ ｐ ｔ ｏ Ｏ
．
 ｘ ／



Ｌａ ｎ ｄ ｒ ｏ ｉ ｄ ／ｃ ｏ ｎ ｔ ｅ ｎ ｔ ／ Ｉ ｎ ｔ ｅ ｎ ｔ
－

＞ ａ ｄｄ Ｃ ａ ｔ ｅ ｇ ｏ ｒ ｙ



Ｌ ａ ｎ ｄ ｒｏ ｉ ｄ ／ｃ ｏ ｎ ｔ ｅ ｎ ｔ ／ Ｉ ｎ ｔ ｅ ｎ ｔ －

＞ ｃ ｒ ｅ ａ ｔ ｅ Ｃｈｏ ｏ ｓ ｅｒ



Ｌｊ ａ ｖ ａ ｘ ／ｃ ｒ ｙ ｐ ｔ ｏ ／Ｃ ｉ ｐ ｈ ｅ ｒ ＞ ｇ ｅ ｔ Ｉ ｎ ｓ ｔ ａ ｎ ｃ ｅ


－

ｘ ／



Ｌｊ ａｖ ａ ｘ ／ｃ ｒ ｙ ｐ ｔ ｏ ／Ｃ ｉ ｐ ｈ ｅ ｒ ｘ ｉ ｎ ｉ ｔ ＞

 －

Ｌｊ ａ ｖ ａ ｘ ／ｃ ｒ ｙｐ ｔ ｏ ／ Ｃ ｐ ｈ ｅ ｒ ＞ ｄ ｏ Ｆ ｉ
－

ｉ ｎ ａ ｌ

Ｌｊ ａｖ ａｘ ／ｃ ｒ ｙ ｐ ｔ ｏ ／ ｓ ｐ ｅ ｃ ／ Ｓ ｅ ｃ ｒ ｅ ｔ Ｋｅ ｙ Ｓ ｐ ａ ｃ ｘ －

ｉ ｎｉ ｔ ＞



在本 文 中 ， 主 要 介 绍 五 种 加 密模 式 。 文 件 加 密勒 索 应 用 和 文 件管 理 应 用 程 序 之 间


的 详细 区 别 如 表 ３
－

２ 所示 

。

幻 表示 读取 文件 、 加 密 数据 然 后将其 写 回 原 始 文件 的 加 密模式 

。

ｅ２ 表 示 读 取文 件 加 密 数据 、 、
创 建 新 文件 、 将加 密 数 据 写 入 新 文 件 以 及 删 除 原 始


文 件 的 加 密模 式 

。

２４



第 三章 ＫＲ Ｄ Ｒ Ｏ Ｉ Ｄ ：

行为 可 区 分 的勒索 应 用 激活 前 检测 研究



ｅ３ 表 示 读取 文 件 、
加 密 数据 、
创 建新 文 件 、
将 加 密数据 写 入 新 文 件 、 重命名 新 文


件和 删 除 原始 文 件 的 加 密模式 

。

ｅ４ 表 示 读取 文 件 、
删 除 原始文件 、 加 密 数据 、
创 建 新 文 件 以 及 将 加 密 数据 写 人 新


文件 的 加 密模式 

。

ｅ５ 表示 将 原 始 文 件移动 到 其 他 文件夹 、
读取 文 件 、
加 密数据 、
将 加 密 数据 写 回 原


始 文件 以 及将文 件移 回 原 始 位置 的 加 密模式 

。

３ ３ ．
方 案设计



本节将介绍 种 行为 可 区 分 的安卓勒 索 应 用 检测 方法 它 使 用 静态 分析 来 分 析


一

源代码 ， 并 根 据行 为模 式 提取特征 ；
釆用 ｏｎｅ
－

ｂ ｉ ｎ ａｒ
ｙ 的 形式表示 样本 的 特征 信息 ：



使
用 ＸＧ Ｂ ｏ ｏ ｓｔ 对样 本 进行 分 类 

。

３ ３ １
． ．
工作流程



行为 可 区 分 的 勒 索 应 用 的 检 测 引 擎 的 详细 工 作流程 如 图 ３
－

４ 所示 

。

二 ：： ： Ｔ ＿ —
ｉ ｒｒ ｒｒ ｒ二 ： ｔ ｉ ｔ ：；：二： ：ｔ ｉ ｔ ｔ 一  —

二二 二
；  

了

｜ ｜  Ｙ ｏ ｕ ｍ ｕ ｓｔ ｐ ａ ｙ ． ． ． Ｈ   ： ：
■

＾




 分翔    向 量生 成
 ａ ｔ ｈｅ

 
ａ ｎ ｓｏ ｍ
ｐａｙ
ｒ
  ｔｏ ｕ ｎ ｏ ｃｋ
一

 
… … ｌ
…




＾
： ！

ｊ ． “

  数 ５ 向妥
”
ｊ


广
ｒ ａ ｎｓ ｏｍ
ｉ Ｓｗ ｉ
ｐｅｕ ｐ 
ｔｏｕ ｎ ｏｃｋ
ｌ
ｆ

｜
＿ 

＿

  供
” ’
“
． ． ．
 ｉ

 １
 ｊ
、
ｎ ｅ ｅｄ ／ Ｉ
麥

ｒ ：
？？ ：
 描＞  

＊

＾   Ｔ ｆ
［

 ，
…


二二


〇

． ． ．


ｉ

ｌ ［  ｌ ｌ ｌ
ｉ ｊ 

！
「 ］ ；

 ！

ｊ
一
？
— 

删除

．

一 
Ｊ ｌ
ｊ



難
｜

、 ｒ ｗ 、 
’

厂
？ ｐ ａｙ
秦
ｉ





如
＿
＾

， ｒ 
丨
丨 ！

Ｉ
 ５   ｒ 卜 Ｉ

 ： ｈ
＇

：
」 Ｉ 

！


二 ： ： ： ： ： ： ： 二 ： ： ： 二 ： ： ： 二 ： ： ： ： ： 二 ： ： 二 二 ： ： ： ： ＝ ＝ ： ：

＾＾ ＇
］
Ｌ 
幽： 士 此 旧

 ｉ 

调 用  ＼ 
＇


 



ｑ 权艰
＇ＡＰ ｉ



、 ｜

｝
卜紅 縱 择舰 设 ｉ ＾Ｋ ｉ ｒｏ ｉ
ｄｔ
ｏ 您２ ／
ｌ ｓ ａ￡ ｔ
，
＞ ａｉ ｃ 鄉ｔ ｙ
ｆ
＾Ａ Ｐ ｌ Ｊ
 、
、 ／
／
／

Ａｍ ＋ Ａ Ｐ Ｊ ２ ＼ 

ｉ

ｌ



ｊ  ：

  ＾ ＾ 

ｉ



ｉ

＾
＂
二
＃


＝ 獅 ｃ  树 ２ 树 ｎ
Ｘ  ％ｙ ＼ Ｍ
ｌ
 口
Ｃｌ 
 ：

＇ 、

＇
一

＾
一
＊

ｙ ｉ７７ ７ ＾
赞
否 ｒ 晏 ： 否 ｉ  

…

〈 二 論 ！
Ｂｍｍ －

ｉ
捽用 程私
 丨
应 ｊ ｇ ｅ＾ ３ ｜

＊
ｉ
／  ＼ 心４ ， ｉ  ａ ．
％
＊
ｕ／

＼ 
＊ ｉ  ｃ －

ｉ  ａ 

＼

应用 辦 ｉ
 丨
挎 用 ｇ序 ｉ
 

图 ３ ４ 行为 可 区 分的 勒 索 应 用 检测 引 擎的 工 作 流程 示 意 图



当 需要测 试应 用 程序 时 首先从 ，
ａ
ｐ
ｋ 文件 中 提取 Ａ ｎ ｄ ｒｏ ｉ ｄ Ｍ ａｎ ｉ ｆｅ ｓ ｔ ．
ｘｍ ｌ
和 ｃ ｌ ａｓ ｓ ｅ ｓ ． ｄｅｘ



２５


北京 邮 电 大学 工学博士学 位论 文 



文件 。 之后 ， 利 用 静 态分 析工 具 Ａ ｎ ｄｒｏ ｇ ｕ ａｒ ｄ Ｗ ｌ

进行特征提取 。 然 后特征分为 两个部



分 ， 由 于 特 征 不 需 要 计算 它 们 的 频 率 ， 本章用 １
来 表 示 其存在 ，
〇 表示 相 反 的 含义 

。

接下来 ， 将 所有 特征 合 并 以 形 成 特 征 向 量 ，
并使用 Ｘ ＧＢ ｏｏ ｓｔ 进行分类 。 最后 ， 检测


引 擎输 出 检测结果 

。

３ ３ ２
． ．
特 征 提取



借助 工 具 研究 人 员 可 以 读 取 安 卓 ＸＭ Ｌ 文 件 的 二 进 制 格 式 Ａ ＸＭ Ｌ
５
Ａ ｎ ｄ ｒｏ ｇ ｕ ａｒｄ
１
［ ］

， （ 

）

和 反编译 本 文从 Ａｎ ｄｒ ｏ ｄ Ｍ ａｎ 和 中 提取特征 特征


５ ２
Ｄ ＥＸ ｆ
ｉ ｌ ｅｓ
【 ］

，
ｉ ｉ ｆｅ ｓ Ｌ ｘ ｍ ｌ ｃｌ ａｓ ｓｅ ｓ ｄｅｘ ． 。

集 包含敏感字符 串 集 、
其 他 特 征 集 和 联 合特 征 集 

。

１ ．
敏感字符 串 集 。 本 文 中 提到 的 敏 感字 符 串 是 指 Ｄａ ｌ ｖ ｉｋ 字节码 中 声 明 的 常量字


符串 。
为 了 更 好 的 区 分勒 索 应 用 和 其 他 应 用 程 序 ， 本 文基于 ＮＬ Ｐ 的 分词 方法对 常量


字 符 串 进行 了 分 割 。
如算法 ３ ． １
所示 ， 构 建 敏感字 符 串 集 的 步 骤如 下 

。

Ａ ｌ
ｇ ｏ ｒ ｉ ｔｈ ｍ  ３ ． １ ：
敏 感 字 符 串 集 构 建算 法
Ｉｎ
ｐｕｔ ： ａ
ｐｋｓ ， 
ｌ ａ ｂ ｅ ｌ

Ｏ ｕｔ ｐ ｕ ｔ ： ５



１  ｆｏ ｒ  ｅ ａ ｃ ｈ  ａｐ ｋ  Ｅ  ａｐ ｋ ｓ  ｄ ｏ



２ Ｔ ｒ
－

ｆ
－

 Ｓ ｅ ｇ ｍ ｅ ｎ ｔ （ ａｐ ｋ ，
ｌ ａ ｂｅ ｌ ｒ
）


＼

３  Ｔ〇  Ｓ ｅ ｇ ｍ ｅ ｎ ｔ
（
ａｐ ｆ
ｃ ， ｌ ａ ｂｅ ｌ
〇 ）


＼

４ ｅ ｎｄ


ｌ

５ Ｔｒ  Ｄ ｅ ｌ ｅｔｉ ｏｎ
（
Ｔｒ ， 
ｍ ｅ ａ ｎ ｉ ｎｇ ｌ ｅ ｓ ｓ ＿
ｗ ｏｒｄ
）


＼

Ｔ Ｄｅ Ｔ０
．

ｅｔｉ ｏｎ ｍ ｅ ａ ｎ ｉ ｎｇ ｌ ｅ ｓ ｓ ｗ ｏｒ ｄ ）
—

６ ＜ ｌ
 

，
０
＿

（ ，

７  ｆｏ ｒ  ｔ  ￡  Ｔ； Ｕ Ｔ： 
ｄｏ



＾ｒ ＋
８  ｗ ｅ ｉ ｏ ｈｔ ＜
 ＾ 

ｌ 〇 ａ（
Ｊ２ ｉ
ｉ

＾ ｌ ａｂｅｌ ｏｊ ＼


．

９  ｉ ｆ  ｗ ｅ ｉ ｇ ｈ ｔ＞  ｔ ｈ ｒ ｅ ｓ ｈ ｏ ｌ ｄ ｔｈ ｅ ｎ



１０ Ｓ  ＾Ｓ Ｕ ｔ 

＼

１ １ 

 ｅ ｎｄ

１２ｅ ｎｄ



１３  ｒｅ ｔ ｕ ｒ ｎ  ５ 

；

代表文本


“ ”
１
） 分割文本 。
本文使用 了 如 的 特 殊 字 符 作为 分 割 的 基 准 。 该 ｒｒ

分割后从勒索 应 用 中 提取的 文本集 ，

ｒ。 表 示 文 本 分 割 后 从 其 他 应 用 中 提取 的 文 本集 

。

２） 停用 词删 除 。 本 文 删 除 了ｒ 和 ｒ
７； 中
一

些毫无意义 的 词 。 无意义 的 词包括



本 文 用 Ｋ 表示 删 除 后 的 勒 索 文 本 集
” ”

等停用 词 和 些 明 显 的 常用 词
“ “
ａ 、 ｔ ｈｅ
一

。
， 

并
使 用 Ｋ 表示 其 他 文 本 集 

。

３ ） 关 键词提取 。 本文使用 ｔｆ
－

ｉ ｄｆ 计算 Ｋ 和 Ｉ
： 中 每个 单词 的 权 重 。 ｆ
ｔ －

ｉ ｄｆ 的 结果 表



２６



第 三章 Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ ：

行 为 可 区 分 的勒 索 应 用 激活 前 检测 研 究



示 是 否 该 词 能 区 分勒 索 应 用 与 其 他 应 用 程 序 。
权重可 以 表示为公式 ３ －

５ 。 代 表单 词


ｔ
出 现在 ｇ 和 ２
： 中 的 数量 。
ＥＡ  
＋  ＆４ 
代表 Ｃ 和 的 总 单词数 。
Ｅ 
ｌ ａｂ ｅ ｌ 代


表勒 索 应 用 的 数 量 ，
Ｉ ｓ ａｂ ｅ ｌ  代 表其 他 应 用 程 序 的 数 量 。 代 表包 含 单


词 ｆ
的 应 用 程序 的 数量 

。

參 （
３
－

５）



２ ．

其 他 特 征集 其 他 特 征 集 构 建如 算 法 。 ３ ２ ．

所示 。 其他特 征 集 可 以 表示 为 集 合 Ｆ 

。

如 图 所示在公式 ３
－

６ 中 ， 仏 包 含权 限 、 意图 、 ＡＰ Ｉ 调 用 和 敏 感宇 符 串 。
内 代 表权 限 

，

这 是安卓 的 一

种 安 全 模式 。 在 调 用 敏感 权 限 ＡＰＩ 之前 需要 声 明 权 限 。 把＞ 表示 意 图 

，

是 种 安 卓 运 行 时绑 定 机 制 负责 内部沟通 表示 本 文 根 据 ｆ
ｔ ｄｆ 算法获得 的 与 赎


一

？
－

。 ｉ
，

金 有 关 的 敏 感字 符 串 

。

如公式 ３
－

７ 所示 ， 私 是 ｛ ＃ ＆
， ，
 ｜ ｜ ｝ 的 子集 。
是 戊 的 子集 ，
Ａ， 表示 办 的集


合 。 办 代 表相 关 的 ＡＰ Ｉ
调用 ， 开 发 人员 可 以 使 用 不 同 的 ＡＰ Ｉ 调 用 序列来实现不 同 的


功能 

。

Ａ ｌ
ｇ ｏ ｒ ｉ ｔｈ ｍ ３ ２  ． ：
特 征 集 构 建算法 



Ｉｎ
ｐ ｕｔ ：  ａｐ ｋ ｓ



Ｏ ｕ ｔｐｕ ｔ  
Ｆ
 ：

１  Ｓ  ＝  Ｓ ｅ ｎ ｓ ｉ ｔ ｉ ｖ ｅ  Ｓ ｔ ｒ ｉ ｎ ｇ ｓ  Ｓ ｅ ｔ  Ａ ｇｇ ｒ ｅ ｇ ａ ｔ ｉ ｏ ｎ （ ａｐ ｆ
ｃ５ ） 
ｌ ａ ｂｅ ｌ
）


；

２  ｆｏ ｒ  ｅ ａ ｃ ｈ  ａｐ ｋ  ｄ ｏ



３  Ｆ Ｅ ｘ ｔ ｒ ａ ｃ ｔ ＾ ， 
ｉ ｒｉ
ｊ ，
ａｋ ， 
５／
）


；

４  ＜Ａ ｓｕｂ ， 
Ｒｒ ＞ ＊

＜
—

 Ｅ ｘ ｔ ｒ ａｃ ｔ （
ａ＾  ． ． ．
， 
ａ
ｊ ， 
ｃ

／
？
， 
＆ ；

，
 ｜ ｜ ） 

；

５  Ｓ
ｉ Ｆ 
＝ ｉ

ｐ ，
＜Ａ ８Ｕ＾ 
Ｒ ｒ＞ ＝

ｐ  ｔｈ ｅ ｎ
ｉ



６  ｃ ｏｎ ｔ ｉ ｎ ｕ ｅ 

；

７  ｅ ｌｓ ｅ



８ Ａ ｓ ｕ ｝） ， 
Ｕ ｐ，



９  ｅｎ 

ｄ

１０  ｅ ｎｄ



１１  ｒｅ ｔ ｕ ｒ ｎ  Ｆ 

＼

Ｆ 
＝
｛ ／ｍ 
＝
（ 與 加ｊ ＜  Ｒ ｒ 〉 和
， ，
＂

，
） ｜ 
ｉ
＝
１
，
？  ？  ？

，
｜ ｜
Ｐ ｉ ｜ ｜
， ｊ
＝
１
，
＊  ？  ？

，
Ｉ Ｋ ％
．

｜ ｜
，
１＝１
，
■  ．  ？

，
｜
｜
ｓ，
｜ ｜


｝

（
３
－

６ ）

＾ Ｓ ｕｂ＾ 
 ＾ ＝ Ｉ
 ７）
￣

 ＾ ３
—

■ ？  ■  ＊  ■  ？  ＊

 （
■

）
｜
？  ｉ ｜ ｜
／ｃ ｜ ｜
｝ 


２７


北京 邮 电 大学 工学博士学 位论文 



３ ．
联合特征 集 。
联合特征 的 构 建是为 了 将关联性较 强 、
却 又 彼 此相 互独 立 的 多


个 特 征 加 入 关 联 关 系 进行 组 合 形 成新 维 度 包 含 关 联 关 系 的 联 合特 征 联 合特 征 的


一

。
，

引入 ， 能 够 有 效地 解 决模 型在进行勒 索 应 用 识 别 时 ， 容易 将具有与勒索应用 有相 似行


为 的 良性应用 误判 为勒索应用 的 问 题 

。

ｖ ａｌ ｕ ｅ＝  ＤＢＩ ＋ ｓ ＋ Ｊ ｃ  ＋ Ｗ Ｒ Ｃ Ｋ ３ ８）
－

 ｉ 
（ ） （ ， （ 


Ｄ ａｖ ｉ ｅ ｓ
－

Ｂ
ｐ
ｕ ｄ ｌ ｉ
ｎ ＾ ｊ ＾（ＤＢ Ｉ
）


：

如為
风
，
０
…



１
，

 ＊
  １

  



输 入 向 Ｍ Ｋｍ ｅａ ｎ 遺 法  十

 ？

 ＾？
 






  ＾
Ｓ ｉ ｌ ｈ ｏ ｕ ｅｔｔ ｅ  Ｃ ｏ ｅｆｆ ｉ ｃｉ ｅｎ 鄉鹿 系数 ）


：

雲
， １

Ｘ Ｉ
 ｖ２

－
ｖｎ


＞ ３
：

ｂ ａ
－

  １  
１   １ ） （
ｉ

） ｛
ｉ
）
睿
  

，

ｍ
  一＾  ＾
＃

＾
ＥＥＥＥＢ  １  丨

＾
＿ Ｋ值 

：

一

卩


Ｑ ＞
ｙ３
＞
 ｙ４
＞ ． ． ． ＞
ｙ２



＃
 ｂ
￣



３

２ 糞  … …

  ｜

二 二

父亿
 ｆ 
ｖ ｉ
 １
ｖ２
１ 
ｖ ３
 ｊ 
…

ｊ 
ｖｎ  ｉ

 ？ ＃ ｍ ａｘ
（
ａ ｂ ，


｝


 
＋ 



Ｃａ ｌ ｉ ｎｓ ｋ ｉ Ｈａ ｒａ ｂ ａ ｓ ｚ （Ｃ Ｈ ） 

：

 ｒ Ｂ ｋ ｋ
－


 
ｔ ｌ


，
（ ）
／ （ 

）

Ｃ Ｈｌ Ｋ｝ 
＝

ｔｒ Ｗ（ ｋ ） ／（
Ｎ
．

－

ｋ ）

３
ｙｌ Ｙ２
 Ｌ ．
ｌ ｉ ＼ ！
＾Ｊ
   



｜  — 
… …

Ｘ２  Ｔ＾ ＶＩ Ｖ２
 ｖｓ

－

ｖｔ
ａｎ ｄ
 
： －
ｆ ｉ ； ＞

  
： ｉ

［
 
Ｉ ］ ；



ｊ

？
１ ．
： ： ：
＾
＾＾ ＾ ！ ： ： ：： 二 ： ：： ： ：
一
：
 ｊ Ｕ  



＾Ｔ  劃ｅ Ｋ值
ｊ

 ｙ
？ｉ
）
ｖ
ｊ
． ． ．

ｐ ｒ
］
ｊ ｊ 丨  Ｖ３  Ｍ ｄＶ ２
 ｉ
｜
： Ｋ＝ 

１

｜  ＾
Ｘ ｒ
ｆ
 ｜ 
ｖ

＾
ｒ 
？ Ｓ
 ｜ 
？

 
ｊ
ｖｎ
 ｊ  

ｊ

图 ３
－

５ 联 合特 怔构 建流程示 意 图



表 ３
－

３ 聚 类 结 果评 价 变 量详 情



ｉ 名 称 计 算 方 式 变 量 说 明
变ｆ 


Ｄａｖ ｉ ｅｓ
－

Ｂｏｕ ｌ ｄ ｎＩ ｎ ｄ ｅ ｘ
ｉ
＝
 戴维森堡丁指数



Ｓ ｉ ｌ ｈ ｏ ｕ ｅ ｔ ｔｅＣ ｏ ｅ ｉｃ
ｆ ｉ ｅ ｎｔ
則 ＝

仏 ） ｝
轮廓 系 数





义⑴
Ｓ ｕ ｍｏ ｆ
ｑｕａ
ｒｅ ｓｏ ｆｉ ｎ ｔ ｒａｃ ｕ ｅ ｒ  ｅ ｒｒ ｏ ｒ ｓ
 ｃ ＝

 Ｍｃ ｗ 代价函数


—

ｓ
 ｓ ｌ ｔ
（
．

＂ ）   丨

ｒ

、
Ｃａ ｎｓｋ Ｈ ａｒ ａ ｂ ａ ｚ  ＝ ｘ
Ｓ 方差 比 准 则


－

ｌｉ
 §§＾ｒ 
ｉ
ｋ
 ＼ｋ

联 合特征 集 构 建 过程 如 图 ３
－

５ 所示 ， 利 用 Ｋｍｅ ａｎ 算 法 对 携 带 勒 索 应 用 信 息 的 输

 ｓ

入 向 量进行 次聚类 每 次 聚类 的 簇数为 Ｌ 每 次 聚 类 结束 后 依据公式

一 一

ｌ ３ 

８
－ －

ｉ
，
，

定义的 ｖａｌ ｕ ｅ 值对 聚 类 效 果 进 行评 价 公式 ３ ８ 中 涉及 到 的 其 他变量如 表 ３ ３ 所示

－ －



。
，

２８



第 三章 Ｋ Ｒ Ｄ ＲＯ Ｄ Ｉ ：

行 为 可 区 分 的 勒 索 应 用 激 活 前 检 测 研究



选取 ｖ ａｌ ｕ ｅ 值最 大 的 聚 类 簇 数 ｋ 所对 应 的 聚 类 结 果 作 为最 终 结 果 查看同 簇内


一

各样本重要 度 ｔ ｏｐ ２ ０ 的特征 ， 结 合 样 本 运 行特 点 ，
人 工 挑 选 具有 强 关 联 关 系 的 特 征 

，

构 建为 联合特征 

。

３ ３ ３
． ．
勒索应 用 识别



１ ．
输入 向 量构建


在本文 中 ， 本 文 将 提 取 的 特 征 转换 为 向 量 。
如 公式 ３ －

８ 和 ３
－

９ 所示 ， 代表 向



表数值 向 量 集 即 将 两 组特征 组
“ ”
量集 ，
包含 ０ －

１
向 量 集 和 数值 向 量 集 。
，


合为 个整 体 向 量 表 示 应 用 程序 的 信息 向 量 每个 维 度 的 值 是 ｌ ｏ ａｔ
ｆ 类型
一

。 

。
，

类型
”
向 量每 个 维 度 的 值 是 存在 于 特 征 集 中
“

表示 ０ －

１
向 量集 。 ｉ ｎｔ 。 如果 〃 ｅ Ｃｉ ，
则无


论 它 在应 用 程序 中 出 现多 少 次 ， 其 值为 １ 。
否则 ， 值为 ０ 

。

＂ ＂

Ｃ Ｃ
— 
＾ ｅ Ｃｂ ｉ ｎ ａｒ

Ｕ Ｖ＾ Ｃｖ ａ
ｌ ｕｅ  （
３
￣

９）


ｙ

ｆ
０ ， 
ｖ ｅ Ｑ  ｉ ｓ  ｎ ｏ ｔ  ｉ ｎ  ｆｅ ａ ｔ ｕ ｒ ｅ  ｓ ｅ ｔ
 

｜

ＶＧ Ｃ ｊ  ＝  ＜
   ３ ０）
—

１
  
． ． （ 

ｋ
．

．  ． ．

 １ ｖｅｃ
ｉ ｉ

ｓ  ｉ ｎ  ｔ ｈ ｅ  ｆｅ ａ ｔ ｕ ｒ ｅ  ｓ ｅ ｔ ｖｅｃ
＝
ｚ １
ｉ
ｉ
  Ｊ
． ． ．

｛
Ｉ

， ｜
， ，
 ＼ ＼
ｉ
 ｜ ｜

２ ．
模型构建


１
） 模 型 选取


本章 利 用 ＸＧ Ｂ ｏｏ ｓ ｔ
算 法 进行勒 索 应 用 检 测 模 型 的 构 建 ， 依据 ｋ 棵树 的 预 测 结 果


得 出 模型 最 终 的 预 测 结果 ， 如 公式 ３
－

１ １
所示 ， 该 预 测 函 数 可 被 定 义为 

：



ｋ

Ｖｉ 
＝
 （＞
ｔ ｛
Ｘ ｉ ） 
＝
／ ｉ ｔ（
Ｘ ｉ ） ，  ｆｋ ＾ Ｆ  （
３ －

１ １


）

ｅ
ｆ ＝


ｌ

其中 ， 足 代 表训 练 集 中 的 第 ｉ
个样本 ， 本 章 训 练 釆 用 的 正 负 样 本 个数 均 为 １ ５ ００ 

，

因此 ，
ｉ ｅ ［
１
，
３０ ００
］
；
ｙ 表 示 模 型 的 分类标 签 ， ｙ ｅ｛ ０ ，
１
｝ ， 其中 ，
１
表 示 该样本 为 勒 索


应用 ，
〇 表示 该样 本 为 良 性 应 用 ， ＆ 代 表 足 对应 的 真实 标签 ，
ｃ
ｆ 代 表使用 的 决策树


的 数量 ， 该模型训 练 中 ，
＆＝１ 〇 〇 ，
尸 代表 Ｃ ＡＲＴ 树的输入空 间 ， 如公式 ３
－

１ ２ 所示 

，

可被 定义为 

：

ｔ

ｍ
Ｆ ＝
｛ ｆ （Ｘ ） 
＝
ｗ
ｑ ｛
ｘ ）
， ｑ ： Ｒ ＾ Ｔ ，
ｗ ｅＲ
｝ （
３
－

１ ２）



其中 ，
ｍ 代 表着 输 入 特 征 向 量 的 维 度 ， 在 本 模型 中 ｍ＝ ５ ７９ ｒ ； 代 表着 决策 树 拥


有 的 叶子 节 点 的 数 量 代 表着决策树 对于 每 个 样 本在 其对 应 的 节 点 所 获 得


一

；
９

的 分数 ；
叫 代 表着 对于 任 意
一

棵决 策 树 ， 其第 ｉ
个 叶 子 结 点 所 获 得 的 分数 ，


则
代 表着决 策 树 ９ 将 它 的 每个 叶 子 结 点 所 获 得 的 分 数 进行 加 和 所 得 到 的 最 终 分 数 

。

２
） 模型 构 建



２９


北 京 邮 电 大 学 工 学 博 士学 位论 文 



当 ＸＢ ｏ ｏ ｓｔ
算 法 中 的 正 则 化项 与 损 失 函 数 的 加 和 取 得 最 小 值 时 ， 模型 的 效果 为最


优 ， 如公式 ３
－

１ ３ 所示 ， 模型调 优 的 目 标 函 数可表示 为 

：

Ｅ“ 
２

咐 ）
＝


Ｐｒ ｅｄ ｉ
， 讲 ）
＋
 ５Ｚ  （ ＾ ＋
臺
刈忉 丨 ｜

）
（
３
－

１ ３ 

）

其中 ， Ｉ： Ｊ （ ｐ ｒｅ
ｄ ４ ｙ ｉ
） 代 表着真 实值 与 预测 值 的 误差 ， 为模型 的 损 失 函 数项 

，

代 表 着模型给 出 的 对于第 ｉ
个样 本 的 预 测 值 ， ％ 代表着第 ｉ
个样本 的 实 际 标 签 

；

模型 的 正 则 化项 为 与 为 待求解 的 系 数
２

（ ７了  ＋ ０卜 ｜
｜

）
， ７ Ａ 

。

为 了 求 解 上述 公 式 中 的 目 标 函 数 的 最小值 ， 将在 Ｘ ＧＢ ｏｏｓ ｔ
进行模 型预 测 ｆ 轮迭


代 时 加 人 正 则 化项 ，
上述 公式 ３
－

１ ３ 的 目 标 函 数可 定义为 公式 ３
－

１ ４ 

：

抄 Ｅ ”

２

吨 ＋ ＋ 卜 ４ ）
）
＝
３
＾
－

１
Ｚ
口 ＂  丨 丨 丨
（


（ ）

由 于 ＸＧ Ｂ ｏ ｏ ｓ ｔ
为 非 回 归模型 ，
因 此 将 上 述 公 式 可 利 用 泰 勒 展 开 式 进行 高 阶 无 穷


小和 常数 项 的 移 除 ， 利 用 对 决 策 树 的 叶 子 结 点 的 迭 代 来 代 替对 决 策 树 模 型 的 迭 代 ， 

如
公式 所示 利用 代 表决策树 中每 个 叶 子结 点 的 实 例 可将 函 数转 化为
一

３ ５
心
－

１
ｑ


：

， ，

豆 ⑴ ＝ －



ｉ

的

４ １

ｐｒ ｅｄ ／
）
－
ｔＪ  Ｖ ｉ
’ ｊ

Ｈｊ
（ ） 

…

  ＾ 
３ ５
＿

１
（ 

）
＼ ｄ
ｔ
Ｄ
ｙ
＿

ｔ １
ａ ，
Ｐ
ｒ ｅｄ
ｉ ｙ
（ ）

ｉ 

）

 Ｗ
＝ ＇

 ２＾ ｅ ｌｊ  ｄ ｙ ＾
－

１
Ｖ ． ｉ 

）

３ ） 参数调 优


网 格 搜索算法是
一

种 基 于 贪 心 原 理 的 参 数调 优 算 法 ， 如图 ３
－

６ 所示 ， 在 本 章模 型


调优 中 ，
网 格 搜 索 算 法 将 输 人 数据集 随 机 分 为 １ 〇 份 ，
通过 １ 〇 折 交叉验证 ， 选取 能 够


使模型预 测 结果 准 确 率最高 的 参数组 合 。
在 本章 的 模型 构 建 中 ， 将利 用 对 Ｘ Ｇ Ｂ ｏｏ ｓ 

ｔ

的 参 数 进 行调 优 ， 模 型 的 参 数选择 结果 如 表 ３
－

４ 所示 

。

３ ４
．
实验评估



本节进行 了 三个 实 验来 评 估 其 检 测 能 力 和 效率 。
为了测试 ＫＲＤ ＲＯ Ｄ Ｉ
的检测 性


能 ， 本文 首 先 评 估带有 勒 索 应 用 和 其 他 样 本 的 数据集 ， 然 后 本 文将勒索 应 用 的 检


＾
测 能力 与 勒索应用 检测 引 擎 Ｈｅ Ｄｒｏ
ｌ ｉ ｄ
ｌ

和 搭载 于 安 卓设备 的 勒 索 应 用 检 测 引 擎 Ｒ 

－

Ｐ ａ ｃ ｋＤ ｒ ｏ ｉ ｄ 进行 比较
［
２３ ］



。

３０



第 三章 ＫＲ Ｄ ＲＯ Ｄ Ｉ ：

行为 可 区 分 的勒索应 用 激活 前检测 研究



－ ￣

ｒ Ｔ ７ｎ Ｔｒ ｎ


准 确 ￥Ａ
￣



１
￣ ￣ ￣ ￣
￣ ￣
￣ — ￣ ￣ ￣ ￣

＿」 」
｜ ｜

情况 
Ｋ ＝ ２
Ｊ
一


…

１ ｌ
—
＿ ．
．
． ．
． ．
． Ｉ Ｉ Ｉ

明 ｉ
丨 丨
ｍ ＿  ｉ

，

＿
＿


＿

一

— 卜  ｓｓ


－
：



＇

 ＿     Ｍ 
Ｋ ＝ １
Ｉ Ｉ Ｉ Ｉ Ｉ

歡 ＿
． ． ． ． ． ．

Ｋ ＝ ２
 丨 ＿  Ｔ ｜ １  １  １ １
：


麵



ｕ
Ｋ ＝ １ （

＾  Ｉ Ｉ   Ｉ Ｉ
ｆ

图 ３ ６ 网 格搜 索 算 法 参数调 优 示 意 图



表 ３ ４ 模型 参 数 选 择 详 情



参 数 名 称 参 数 描 述  参 数 值



ｍ ａｘ ＿
ｄｅ
ｐｔ
ｈ  决 策 树 的 最 大 深 度 

５

ｋ  决 策 树 数 量 １ 〇〇



ｍ ｎ ｉ
＿
ｃ ｈｉ ｌｄ ＿
ｗｅ ｇｈ ｔ
ｉ
馬 叶 子节 点 中 权 重 和 的 最 小 值 ： 

１

ｒｅ
ｇ ＿
ｌ ａｍ ｂ ｄ ａ 乃２ ：
正 则 化 参 数 

１

ｇ ａ ｍ ｍ ａ ７ ：
决 策 树 分 裂 损 失 减 少 基 值  〇

ｌ ｅ ａｍ ｉ ｎｇ ＿
ｒａｔ ｅ
 学 习 权 重 缩 减 系 数 ０ ． 

３

３ ４ １
． ．
实 验数据



本 文 建 立 了 三个数 据 集 和 〇３ 。
如 公式 ３
－

１ ６ 中 所示 ， 包含 四 个勒索


应用 集 和 丑即 。 丑伽少 ― 和 包含 ２０ １ ４ ２０ －

１ ５ 年期 间与


的 训 练 和 测 试数据 集 相 同 的勒索应用 包含本文在 年期


５３］
Ｈｅ Ｄｒｏ
ｌ ｉ ｄ
［

。 ２０ １ ７
－

２０ １ ８

间从 Ｖ ｉ ｒｕ ｓ Ｔｏ ｔ ａ Ｍ ｌ
收集 的 ２ ４０ 个勒索 应 用 。 如图 ３
－

７ 所示 ， 在 中 的勒索应用


被标记为 Ｋｏ ｌ ｅｒ ，
Ｌ ｏ ｃ ｋｅ ｒ ，
Ｐｒ ｏ ｎ Ｄ ｒｏ ｄ ｉ
， Ｓ ｉ ｍ ｋ
ｐ ｏｃ ｅｒ
ｌ
， Ｓ ｖｐ ｅ ｎ ｇ 和 未 标记 的勒索应用 。 

根
据 的判 定结果 勒 索 应 用 被 标 记 为
２５

Ｖ ｉ ｒｕ ｓ Ｔｏ ｔ ａ ｌ ［ ］

： 
Ｃ ｏ ｎ ｇ ｕｒ  Ｆ ｕ ｓ ｏ ｂ Ｊ
， ，
ｉ ｓ ｕｔ ，
Ｐ ｇ ｅ ｔｒ
ｉ ｌ


，

Ｒｋ ｏ ｒ  Ｓ ｖ ｐ ｅ ｎ ｇ
， ，
Ｐ ｉ ｏｍ 和 未标记 的勒索应 用 。 包含 从 参 考 文 献 中 收 集 的 ７６７ 个未


标记 的 勒 索 应 用 １
５ ４］


。

如 公式 ３
－

１ ７ 所不 ，
１？ ２ 包含六个恶意软 件集



３ 

１
北 京 邮 电 大学工学博士学 位论 文 



包含 个标 记为 的 恶意软 件 是 个 恶 意扣 费 家族 

该
５ ５］
２５ ７ Ｓ ｍ ｓ ｒｅ Ｓ ｍｓｒｅｇ
一
［

１
ｇ ， ，

应 用 能 够 静默 进行 多 种 收 费 服 务 的 申 请注册 。 包含 １ ３６ 个标记为 Ｗ ｉ ｎ ｄ ａ ｄ ｗ ａｒ ｅ 

的
Ｗ
应 用 程序 ，
Ｗ ｉ ｎ ｄ ａｄ ｗ ａｒ ｅ 是 一

个 向 设 备 提 供 广 告 软 件 的 广 告 软件 系 列 。 ＾ 包含


２６４０ 个标记为 Ｅｍ 的 恶意软件 Ｅ ｍｉ ａ ％ 是 个监视 ＳＭ Ｓ 的 恶意软 件 家族
一

ｉ ａｌ ，
ｌ 

。

￥
包含 个标记为 的 恶意软件 是 个在设备上 窃 取 隐 私 信


５ ８
７７ Ａ ｇｅ ｎ ｔ ｓ
ｐｙ ，
Ａｇｅｎ ｔｓ
ｐｙ
［ ］
一

—
息 的 恶意软件 家族 。 包含 ２９７ ８ 个标记为 Ｂ ｏ ｏ ｇｒ 恶意软件 ，
Ｂ ｏ ｏｇｒ ｌ

是
一

种恶


意扣 费 木马 包含 个标记为 的 恶意软件
Ｕ


是
６
６４ ０ Ｄｒｏ ｄ Ｋｕ ｎ ｇ Ｆｕ Ｄｒｏ ｄ Ｋｕｎ Ｆｕ ｔ

ｉ
ｇ
。 ｉ
，

种 远程命令 和 控 制 类 恶 意 应 用
一



。

包含 ５０ 种 良性应用 ，
包括 屏幕 美 化 应 用 程序 和 文 件管理 应 用 程序 

。

｛
Ｒｙ ｆ ＾ Ｈ ， 
－

ｅｌ ＿
ｔ ｒａｉ ｎ５
－ ＾Ｈ ｅ ｌ ｔ ｅｓ ｔ  
）
Ｒ ｒｐ ｝  （
３
＿

１ ６ ）

Ｄ２ —

｛
Ｏ ｓｍｓ ｉ
Ｏ ａｄ Ｏ Ｅｍ ｉ ｉ ａｌ ｉ
Ｏ ｓ
ｐｙ ＾
Ｏ Ｂ ｏａｇ ｒ Ｏ Ｄ Ｋ Ｆ ｝ ｉ （
３
＿

１ ７）



Ｄ ３
３５ ００
 
 



！  ２ ９７ ８  ｌ
！  

Ｉ

３０ ００  １

Ｉ
１

 Ｉ
１

 

Ｉ

…
；
卜 了  ；
；



；

 
｜

来 自 Ｈｅ 的数据  来 自 ｖ ｏ
ｔ Ｗ 数据


１

！
ｌ Ｄ ｒｏ ｉ ｄ ｉ ｒｕ ｓ ｔ ａ Ｉ


 

腿 ：


：

： ； ； ；

． 〇〇 ：   ：
：
：
！
：

 ：



；


！

ｉ ｉ
 ＂ Ｉ
！

１ ，
１

 

１

 
１ ０ ００

 ｆ
！
ａ ， ｉ
ｉ
｜
ｉ
－
；
ｉ

 

；

… Ｊ ？  ： ｉ
ｉ 

］

图 ３
－

７ 数据 集 构 成



３ ４ ２
． ．
评 价指标



为 了 更 好地 评 估 实 验结 果 ，
本节计算 了 安卓 勒 索 应用 的 检测 引 擎 的 准 确 度 。 如公


式 ３
－

１ ８ 、
３ －

１ ９ 、 ３
－

２０ 、
３
－

２ １
所示 ， 准 确 度 表示 正 确 识 别 应 用 的 数量 与 应 用 总 数 量 的 比



值 。
精 度 代 表 检 测 引 擎在 部 分 数据 中 的 精 度 。 召 回 率 代 表检测 引 擎 的灵敏度 。 Ｆ １


分
数代 表精确 性和 召 回 率 的组合 在公式 ３ ８ ３ ９ ３ ２０ 与 ３ ２ 中
－
－ － －

。 １ 、 １ 、 １


，

１
）
ＴＰ ：

真 阳 性 的 数量 ， 代 表着检测 引 擎识 别 出 样 本是勒 索 应用 ，
其真实 标签也 为


勒 索 应 用 的 数量 

。

３２



第 三章 ＫＲＤ ＲＯ Ｄ Ｉ ：

行为 可 区分的勒索 应用 激活 前 检测 研究



２ ） ＦＰ ：

假 阳 性 的 数量 ， 代 表 着 检 测 引 擎 识 别 出 样 本 是勒 索 应 用 ， 其真实 标 签 并 非


为 勒索 应 用 

。

３ ）
ＦＮ ：

假 阴 性 的 数量 ， 代 表着 检 测 引 擎 识 别 出 样 本 并 非 为 勒 索 应 用 ， 其真实 标签


为勒索应 用 

。

４ ） ＴＮ ：

真 阴 性 的 数量 ， 代 表 着检 测 弓 擎 识 别 出 样 本 为 非勒 索 应 用 丨 ， 其真实 标签


为 非勒 索 应 用 

。

ＴＰ ＋ Ｔ Ｎ

  

Ａ Ｃ Ｇ Ｕｒ ａ Ｃ ｙ 
 ８）
＝
３
－

１
（ 


Ｔ Ｐ  ＋ Ｔ Ｎ ＋ Ｆ Ｐ＋ Ｆ Ｎ
   

ＴＰ


Ｐｒｅ ｃ ｏ ｎ ＝
 ３ ９）
－

ｉ ｓ ｉ
（
１



 Ｔｐ ＋ Ｆｐ  

ＴＰ


Ｒｅｃ ａ 
 ３ ２０ ）
＝ －

１１

ｔｐ Ｔ ｆｎ
（ 


， ＾  Ｐｒ ｅ ｃ ｉｓ ｉ ｏ ｎ  ｘ  Ｒ ｅ ｃ ａｌｌ



＾
ＦＩ  ｓ ｃ ｏｒ ｅ  ＝  ２  ｘ 
— ￣ ￣

（
３ －

２ １


）

Ｐｒ ｅ ｃ ｉ ｓ ｏ ｎ ＋ Ｒ ｅ ｃ ａ ｌ ｌ
ｉ

３ ． ４３ 实 验分析



在 这项 工 作 中 ， 本 文将 回 答 以 下 四 个 问 题 来 评 估 ｋ ｒ ｄ ｒｏ ｅ ｄ 的检测性能的 。
对于


每 个 问 题 本 文 将 首 先描 述 个实 验并 给 出 相 应 的 结果 然 后 本 节 将给 出 个简短 的


一 一

， ，

总结 

。

问题 １ ：
 ＫＲ Ｄ ＲＯ Ｉ Ｄ 的 检 测 效 果 如 何 ？
问题 ２ ：
 ＫＲ Ｄ ＲＯ Ｉ Ｄ 是 否 会 将其 他 恶 意软 件误 判 为 勒 索 应 用 ？
问题 ３ ：

与 其 他 勒 索 应 用 检 测 引 擎相 比 ，
ＫＲ Ｄ ＲＯ Ｉ Ｄ 会 更 准 确 吗 ？
问题 ４ ：
 ＫＲＤ ＲＯ Ｉ Ｄ 的 效 率 可 以 接 受 吗 ？

３ ４ ３ １
． ． ．
回答 问题 １ ：
 ＫＲ Ｄ Ｒ Ｏ Ｉ Ｄ 的 检 测 效果 如 何 

？

为了测试 Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 发现未知勒索 应 用 的 能力 本 节 使 用 了 的 个子集



一

拓 来训练 Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ ，
使用 来 自 认 的 和 作 为 测 试 数据 集 

。

如 前 所述 样 本 中 的 数 据 集 都 是 勒 索 应 用 ，
。
同时 ， 本 文 在 测 试集 中 还 加 入 了 
２０ １ ９ 

－

公布 的 个勒 索 应 用 凡 中 的 勒索 应 用 是 年期


６２］
２０ ２ １ 年度 Ｃ Ｎ Ｃ Ｅ ＲＴ ２ ００
［

。 ｔ
２０ １ ７
－

２０ １ ８

间的 ，
丑 ｉ？ ｐ 中 的 数据 集 为 ２０ １ ５
－

２０ １ ７ 年间的 ， 训 练集 中 的 勒 索 应 用 是 ２０ １ ４ ２０－

１ ５ 年期


间的 。
如果 Ｋ ＲＤ Ｒ Ｏ ＩＤ 在数 据 集 上 具 有 良 好 的 性 能 ，
这 意 味 着尽管勒 索 应 用 在 不 断 进


化 ， 但是 Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 仍然可 以识别 出 未知 的勒索应用 。
为 了 确 保 测 试集 中 的 样 本 是 与


训 练 数据 集 完 全 不 同 ， 本文 比较 了 他 们 之 间 的 ＭＤ ５ ， 并 从测 试集 中 删 除 了 重复 的 样


本 。 实 验 结果 如 表 ３
－

５ 所示 ，
Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 可 以检测 到 １ ２ ０７ 个 测 试样本 中 １ １ ８０ 种未知


的勒索 应 用 ， 准 确 率为 ９７ ８ ． ％ 

。

３３


北 京 邮 电 大学 工 学 博 士 学 位 论 文 



表 ３
－

５ Ｋ ＲＤ ＲＯ Ｉ Ｄ 勒 索 应 用 识别 结 果



样 本 开 发时 间  样 本数 量 准 确率





２０ １ ５ －

２０ １ ６  ３ ５ ２ ９ ９ ． １ 

％

２０ １ ６ ２０ １ ７ ４ １ ５ ９ ７
－

． １ 

％

２０ １ ７
－

２０ １ ８  ２４ ０  ９ ５ ％



２０ １ ９ ２０２
－
１  ２ ００  １ ００ ％



总 计 １ ２ ０７  ９７ ． ８ 

％

综上 ，
ＫＲ Ｄ ｏ ｉ ｄ 具 有 良好的 泛化 能力 。 ＫＲ Ｄ ＲＯ Ｉ Ｄ 不 仅 能够识 别 未在训 练集 中 见


过 的 勒索 应 用 ， 还 能 够 识 别 进 化演 变 后 的 勒 索 应 用 。 这 在某 种 程 度 上 也 表 明 了 本 文对


于 勒 索 应 用 的 分 析 与 刻 画 与 基 于 行 为 模式 的 特 征 提 取 是 有 价 值 的 

。

３ ４ ３ ２
． ． ．
回答 问題 ２ ：  ＫＲＤＲＯ Ｉ Ｄ 是否 会将 其 他 恶 意 软 件 误 判 为 勒 索 应 用 

？

由 于勒索应用 是 种 恶 意 软件 因 此 本 文 仍 然 需 要 测 试 Ｋ Ｒ Ｄ ＲＯ Ｄ 的 准 确 度 是


一

Ｉ
，

否 与 恶 意 软件分 类 无 关 。 本 文 用 了 作为 测 试数据集 。
如 上 所述 ， 所有 乃２ 中 的 应


用 程序都是不 同 于勒 索应 用 的 恶意软件 。 该实验 的 结果 是 ，
ｒ ＞

２ 中 的 应 用 程序 都 未被


识 别为勒索应用 。 Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 的 假 阳率为 ０％ 

。

Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 是 种 安卓 勒索 应 用 的 检 测 引 擎 而 不 是 恶意软件检 测 引 擎 它不会


一

。
，

将 其 他 恶 意 软 件误判 为 勒 索 应 用 ， 因 为 其 他 恶 意 软 件 没 有 典 型 的 勒 索行 为 

。

３ ４ ３ ３
． ． ．
回答问题 ３ ：

与 其 他 勒 索 应 用 检 测 引 擎相 比 ，
Ｋ Ｒ Ｄ ＲＯ ＩＤ 会 更 准确 吗 

？

卿
在本 实 验 中 本 文 将 ，
Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 与 Ｈｅ ｌ Ｄｒｏ ｉ ｄ 进行 了 比 较 ，
Ｈ ｅ Ｄ ｒｏ
ｌ ｉ ｄ 是
一

种 比较


主 流 的 安卓勒 索 应 用 检 测 引 擎 本 文 从 其 作 者 公 布 的 开 源 网 站 中 复 现 了 Ｈ ｅ Ｄ ｒｏ
５３］
ｄ
［

。 ｌ ｉ 

。


本文用 了 来 自 乃ｉ 和 Ｄ 的 ３ 作 为 测 试数 据 集 。 结果 该 实验 的 结果 如 表 ３
－

６ 

所
７ＴＣ 

〇

Ｈ ｅ Ｄ ｒｏｌ ｉ ｄ 正确识别了在 的 ３５９ 个勒 索 应 用 和 ２０ 个 良性应用 ， 并识别



了在 込 的 ４２ 个 良性应用 ，
Ｈ ｅ Ｄ ｒｏ ｌ ｉ ｄ 的 准确度是 ８８ ６ ． ％ 。 Ｒ Ｐ ａｃ ｋ Ｄ ｒ ｏ
－

ｉ ｄ 正确识别 了


３ ９９ 个勒 索 应 用 ， 并 识 别 了 ｉ＾  ｅ Ｌ ｔｅ ｓｔ 中 １ ７ 个 良性应用 和 认 中 的 ４４ 种 良性应用 ，
Ｒ 

－

Ｐａｃ ｋＤ ｒ ｏ ｉ ｄ 的准确度是 ９６ ８ ． ％ 。 Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 正 确 识 别 了  Ｒ ｌｌ ｅ ｌ ｊｔ ｅ ｓ ｔ  中的 ４０ ５ 个勒 索 应 用


和 １ ３ 个 良性应用 ， 并识 别 了在 Ｄ３ 的 ４２ 个 良性应用 ， 所述 Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 的 准确度是


９８ ５ ． ％ 

。

本文 进 一

步 分析 了  Ｈ ｅ Ｄ ｒｏ
ｌ ｉ ｄ 的 结果 ，
经 过 真 实 的 机 器 测 试 和 反 编 译分 析 ， 本文



３４



第三章 ＫＲ Ｄ ＲＯ Ｉ Ｄ ：

行 为 可 区 分 的 勒 索 应 用 激 活 前 检 测 研究



表 
３
－

６  Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 、 Ｒ Ｐａ ｃ ｋ Ｄ ｒ ｏ
－

ｉ ｄ 和 Ｈ ＥＬＤ Ｏ Ｒ Ｉ Ｄ 的 比 较 结 果
 
 

阳性 （
Ｔ Ｐ ＋ Ｔ Ｎ ）

模 型 阴性 Ｆ Ｐ ＋ ＦＮ 准确率 精 度 召 回 率 Ｆ１ 

值


（ ）

勒索应用 良 性 应用



Ｈ ｅ Ｄ ｒｏ ｌ ｉ ｄ ３ ５ ９  ６２ ５ ４ ８８ ． ６％ ８ ８ ． ６％ ９ ７ ． ８ ％９３ ． ０％



Ｒ Ｐ ａｃ ｋ Ｄ ｒ ｏ
－

ｉ ｄ ３ ９９ ６  １ １ ５  ９６ ． ８ ％ ９ ８ ． ５ ％ ９７ ．
８ ％９ ８ ． １ 

％

ＫＲ Ｄ ＲＯ Ｉ Ｄ  ４０ ５  ６ ３  ７  ９８ ５ ． ％ １ ００ ％  ９ ８ ５ ％  ９ ９ ． ． １ 

％

发现在 ４６ 个真 阴 样本 中 有 ２８ 个 样本 由 于 未 知 的 语言 而 无 法 检 测 到 。 由 于 Ｈ ｅ Ｄｒｏ ｌ ｉ 

ｄ

设备 锁 定 行 为 的 检 测 失 败 ；
其余真 阴 样本 中 的 ９ 个 勒 索 应 用 在 已 经 被 检 测 出 有 敏感


文本 的 前 提下 依 然 无法 被成 功 识 别 为 勒 索 应 用 。 此外 ， 本文 发 现在这 ９ 种勒索应用 中



有 ４ 个样本 属 于 屏 幕 资 源 控 制 勒 索 应 用 。 正 如 本 文之 前提到 的 ， 这种勒索 应 用 不需要



像 ｌ ｏ ｃ ｋＮ ｏｗ Ｏ 这样 的 真 正 的 设 备 锁 定 Ａ ＰＩ 来达到 目 标 。 最后 被误 判 的 ９ 个样本 是未 被


检 测 出 的 勒索 应 用 

。

Ｒ －

Ｐ ａｃ ｋ Ｄ ｒ
ｃｉ ｄ 的 目 标是 使 用 轻 量 级 的 特 征 来 进 行大规 模 的 样 本 测 试 Ｍ 。 构 建检 测


引擎时 ， 它 使用 系 统 ＡＰＩ 软 件包 列 表 来 表 示 应 用 程 序 ，
而 不 是 基 于 多 维 特 征 构 建攻


击 模式 在 某 种 程度 上 该引 擎 由 于 些 信息 的 不 全面性 可 能 会 导致 无法 识 别 一



些
一

。
， ，

类型 的勒索应 用 

。

综上 ， 由 于 Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 在 进 行特 征 集 构 建 时 ， 对 勒 索 应 用 的 特 征 进行 全 面 的 分


析 ，
并 基于 勒 索 行为 构 建 了 行 为 模 式 特 征 ， 使得 ＫＲＤ Ｒ Ｏ Ｉ Ｄ 可 以 通 过 检 测 勒 索行 为 模


式识 别勒索应 用 ， 在 检 测 时不 需 要 考 虑 应 用 中 所 含敏 感 信 息 使 用 的 语言 能 够 更 方 便

 ，

地 进行 多 个 国 家勒 索 应 用 的 检 测 

。

３Ａ３ ４ ．
回答问题 ４ ：
 Ｋ ＲＤＲＯ Ｉ Ｄ 的 效率可 以接受 吗 

？

本文从 中 釆集的 个 样本 上 测 量 了 的效率 


本
４２］
Ｖ ｉｒ ｕ ｓ ｔ ｏ ｔ ａＩ
［
４５ ０ 
Ｋ ＲＤ ＲＯ ＩＤ 。
同时 ，

文 使 用 相 同 的 测 试数 据 集 来 测 试 Ｈｅ Ｄ ｒｏ ｌ ｉ ｄ 。 由于 Ｒ
－

Ｐａ ｃｋ Ｄ ｒｏ ｄ ｉ
是搭 载 于 安 卓 设 备 上 的


检测引 擎 ， 并 非在 服 务 器 端 进行 的 检 测 ， 检测 时 间 与 Ｋ Ｒ Ｄ Ｒ Ｏ ＩＤ 、 Ｈ ｅ Ｄ ｒｏｌ ｉ ｄ 不在 一



个
量级 ， 所 以 在进行 效 率 测 试 时 ＫＲＤ ＲＯ Ｉ Ｄ 未 与 其 进行对 比 。 本 节 通 过在英特 尔 酷 睿 ｉ 

７

Ｃ ＰＵ  ． ６ ＧＨ ｚ  处 理器 的 
Ｍ ａ ｃ Ｂ ｏ ｏｋ  Ｐｒ ｏ  ｌ ａｐ ｔ ａ
ｐ 的 六 核 上 运 行 Ｈｅ 
ｌ Ｄ ｒｏ ｉ ｄ 和 
Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ ， 来测


试 其 运 行 效率 

。

Ｈ Ｅ Ｌ Ｄ ＲＯＩ Ｄ 的 执 行 时 间 将 近 ４ ｈ ３ ０ｍ ｉ ｎ ，
它 的 主 要 瓶 颈 是 锁 定 策 略检 测 Ｈｅ ｌ


－

ｄｒ ｏ ｉ ｄ 的 平均 Ｃ ＰＵ 使 用 率是 将近 ９０ ％ ＞ 内 存使 用 率是 １ ８ ％ ａ  Ｋ ＲＤ ＲＯ Ｉ Ｄ 的 执行 时 间 将


近 ５ ｓ 。 Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 的 ＣＰＵ 使 用 率是 １ ． ６％ ， 内 存使用 率 低 于 １ ％ 

。

综上 ，
ＫＲ Ｄ Ｒ Ｏ Ｉ Ｄ 的 效 率 可 以 用 于 大 规模 应 用 检 测 。 它 能 够 以 较 少 的 资 源 消 耗进



３５


 北 京 邮 电 大学 工 学 博 士 学 位 论 文 



 行大 量 的 应 用 检 测
－



。

３ ５ ．
本 章 小结



本 章详 细 分 析 了 三 种 用 于 移 动 设 备 的 最 为 活 跃 的 勒 索 应 用 ， 包括不 同 的运行时


行为 和勒索代码 。
为 了 确 保提 取 的 特 征 具 有 鉴 别 能 力 ， 本 章 利 用 对 比 分析 总 结 了 勒 索


应 用 与 具 有类 似 行 为 的 良 性 应 用 间 的 差 异 。 然后 ，
本 章 利 用 多 维 特 征 集提 出 了 一

个行


为 可 区 分 的 安卓勒 索 应 用 检 测 引 擎 。
该 引 擎 不 仅 能 够 更 加 准 确 地 对勒 索 应 用 进 行识


另 １
１ ，
而 且还 可 以 区 分 勒 索 应 用 和 有 类 似 行 为 的 良 性 应 用 。 该方 法误 报 率 低 ，
并 且检 测


时间短 

。

３６



第 四章 ＴＥ ＣＴ
Ｋ ＲＰＲＯ ＯＲ ：

基 于 兴 趣 文 件 夹 访 问 感知 的 勒 索 应 用 实 时检 测 研究



第四章 ＫＲＰ ＲＯＴＥ Ｃ Ｔ Ｏ Ｒ ：

基 于兴趣文件 夹 访 问 感知 的 勒 索


应 用 实 时检测研 究



目 前 安卓 上 的 加 密 勒 索 应 用 已 成 为 最 严 重 的 威 胁 之 他 们 通 过 加 密 用 户 设备


一

。
，

上 的 私 人 数据 来 勒 索 用 户 。 然而 ， 在没有 Ｒ ＯＯ Ｔ 的 安卓 设 备 上 几 乎 没 有 文 件 保 护 解


决方案 。
因此 ， 迫切 需要在 未 被 Ｒ Ｏ ＯＴ 的 安 卓 设 备 上 提 出 能 够 应 对勒 索 应 用 加 密 文


件 的 防 护 方 案 本 章 分 析 了 加 密 勒 索 应 用 的 特点 。
， 提出 了
一

种 基 于 空 文 件夹 感 知 的 勒


索 应 用 文 件保护 策 略 。
为 了满足无 ＲＯ Ｏ Ｔ 设 备上 文 件 保护 的 需 要 ， 本 章基 于 空 文 件


夹 监 控设 计 并 实 现 了 
Ｋ Ｒ Ｐ ＲＯ ＴＥ Ｃ Ｔ Ｏ Ｒ 来 检 测 勒 索应 用 并 保护 文 件 

。

４ １
．
引言



近 年 来 加 密勒 索 应 用 以 其 破坏 性 强 获 利 快 的 特 点 吸 引 了 众多 犯 罪 分 子 

根
［
６３ ］
、 。
，

？
据 Ｃ Ｎ Ｃ Ｅ ＲＴ 于 ２０２ １
年 发布的 《 ２ ０２ ０ 年 中 国 互 联 网 网 络 安 全 形 势 概述 》 ，
可以看


出 加 密勒 索 应 用 发展迅速 。
加 密 勒 索 应 用 仍 然 是 网 络 安 全 的 最 大威 胁 。 这种恶意软


？６ ６
件 也 为 欺 诈 和 数据 盗 窃 创 造 了 机 会 ［ ］

。 加 密 勒 索 应 用 仍 然 是移 动 设 备 的 最 大 威胁 

。

加 密勒索应 用 通过文件加 密 的 方式 ， 使 用 户 不 能 正 常打 开其 个人 文件 ， 从 而对用 户



进 行勒 索 。
加 密勒索 应用 在
一

年内给 １ ５０ 多 个 国 家 和 地 区 造成 了 高 达 ８０ 亿美 元 的 损


尽 管攻 击 者 尚 未 大 规模 在 所 有 系 统 类 型 的 设 备 上 实 现 勒 索 攻击 ＇ 但 研 究
６４ ］ ６ ４０ ］
失 ［

。
［ ［

证明 ， 加 密勒 索 应 用 可 以 很 容 易 的 在 不 同 系 统类 型 的 设 备 上 实 现 ， 并 将 在 这 些 设备 上


迅速 传播 

。

据报 道 ， 截至 ２０２ ０ 年 ， 安 卓 设备 的 数 量 将 达 到 ６ １ 亿左右 目 前 ， 安 卓 上运


行 的 勒 索 应 用 仍 然 是物 联 网 设备 的 威胁 。 自 ２０ １ ４ 年 ， 安卓 系 统 上 的 第 一

个加 密勒索


应用 Ｓ ｉ ｍ ｐ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ 出 现至今 ， 加 密勒 索 应 用 的 数 量 仍在增 长 。 根据 Ｃ ｈ ｅ ｃｋ ｐ ｏ ｎｔ ｉ
发布


的报告 ， 在 ２０２ １
年 的 最 后 六个 月 ，
加 密 勒 索 攻击 增 加 了 
５７ ％ 。 报告 中 还指 出 ， 平均


每 秒就会有 个 新 组 织 受 到 加 密勒索 应 用 的 攻击 由 于 网 络犯 罪 的 风 险 低于 现
Ｄ］


１
［

０
一

１ 。

实犯 罪 将 吸 引 更 多 的 攻 击者 开 发 与 传 播 加 密 勒 索 应 用 安 卓 系 统 上 的 设 备将


３
＿

１ １ １
［ ］

， ，

面 临 更大 的 威 胁 

。

些研 究 者提 出 了 一

些 基 于 静 态 分 析 和 动 态 分析 的 加 密 勒 索 应 用 检 测 方 法 。 

例
＾
如 ，
Ｈ ｅ Ｄｒｏ ｌ ｉ ｄ 通过监视 ＡＰＩ 调 用 和 提 取勒 索 或 威 胁 消 息 来 检 测 勒 索 应 用 。 Ｈ ｅ Ｄｒ ｏ ｌ ｉ 

ｄ

无 法 检 测 通 过 视 频 或 音频 显 示 勒 索 信息 的 勒 索 应 用 。 加 密勒 索 应 用 可 以 通 过 加 固 和


混 淆 来 逃避 静态 分 析 。 他 们 还可 以 通 过 延 迟 勒 索 行 为 来 逃避 动 态 分 析 ， 也就是 说 ， 

他
们 在激 活 文 件 后 不 会 立 即 加 密 文 件 。
据 本 文 所 知 这 些 加 密 勒 索 应 用 检 测 方法 无 法 阻
， 


３７


北京 邮 电 大学 工学博 士学 位 论 文 



止勒索应 用 加 密 文 件 ， 或 在勒 索 应 用 加 密 文 件 时警告 用 户 

。

些 研究 人 员 提 出 了
一

些 实 时检 测 加 密 勒 索 应 用 的 方 法 。 Ｓ ａｎ
ｇ ｇ ｅｉ
ｍ 等人 关注


了 文件 系 统和 Ｉ／ Ｏ 请求 的 变化 。 也就是说 ，
只 有在加 密勒索 应 用 完 成加 密 后 才 能 得到


检测 结果 ， 这可能 会给 用 户造成 巨 大损 失 。 Ｒ ａ ｎ ｓ ｏ ｍ Ｐｒ ｏ ｂ ｅ ｒ Ｍ 通 过对 比 文 件 的 香 农熵


在 文 件被访 问 前 后 的 变 化是否 超过 阈 值 ．

进行加 密勒索 的识 别 。
如 果 加 密勒索 应 用



只加密 了文件的 小部分 或 者没有 重命名 文 件 勒 索检 测 者 可 能 会 将 加 密勒 索 应



一

， ，

Ｍ
用 误判 为 正 常应 用 程序 。 Ｒ ａ ｎ ｓ ｏ ｍ Ｇ ｕ ａｒ ｄ ｉ

使 用 静态 分 析检 测 加 密勒 索 应 用 ，
它 提取


ＡＰＩ 调用 作为特征 ， 并 借助 机器学 习 检测 勒索 应 用 。
如果加 密勒索 应 用 使 用 隐 写 、


混
淆 、
加 固 或 反射 ，
Ｒ ａ ｎ ｓ ｏ ｍ Ｇ ｕ ａｒ ｄ 可 能 会将加 密勒索 应用 误判 为 正 常应用 程序 

。

此外 ， 现有 的 大 多 数 实 时检 测 方法都需 要 ＲＯ ＯＴ 权限 ， 因 为它 们 需要 是安卓 智


能 手 机 的 超级 管理 员 来 激 活
一

些隐藏的 Ｌ ｉ ｎｕｘ 机制 ， 从 而 修 改 安卓 上 的 文 件访 问 控


制模式或 Ｉ／ Ｏ 响 应 模式 

。

考 虑 到 信 息 安 全 大 多 数安 卓 用 户 不 会 选择 ：
ＲＯ ＯＴ 设备 。 根 据调 查 ，
只有 ２２ ％ 

的
＠
用 户 选择 使 用 ＲＯ Ｏ Ｔ 他 们 的 安 卓 设备 １

。
现 有 的 检 测 方 法 依 赖 于 超级 管 理 权 限 ，


但
加 密 勒 索 应 用 可 以 在 没有 管理员 权 限 的 情 况 下 加 密 文件 

。

另外 ，
ＲＯ ＯＴ 的 成本越 来 越高 。
随着安卓 系 统 的 不 断升级 ， 许 多 制 造商 试 图 阻 止


用 户 在 其 设 备 上 进行 ＲＯ ＯＴ ， 以 抑 制 用 户 对设备 的 独 立控 制 。 Ｒ Ｏ ＯＴ 安卓设备越来 越


难 ， 有 些 设备甚 至 可 以 采 用 物 理 短路 的 方式 来 阻 止 设备被 ＲＯ ＯＴ 。
安卓 系 统整 体安全


性 的提升和 权 限管理 的 升级也使得新 版安卓 系统 的 ＲＯ Ｏ Ｔ 变得困难 

。

由 于 ＲＯ Ｏ Ｔ 设备 的 困 难 ．
越 来越 多 的 安全 测 试 人 员 开始使 用 系 统版本高 但没有


ＲＯ ＯＴ 的 设备 进行 应 用 程 序 测 试 。
如 果在 测 试设备上安 装 并 激活勒 索 应 用 ，
则勒索应


用 加 密 文 件 后 会 大 大 降 低安全 测 试人员 的 效率 

。

如上所述 ，
现有 的 实 时检 测 方法 只 能 保护 已 经 ＲＯ Ｏ Ｔ 的 安卓设备 ，
而不能保护


没有 ＲＯ Ｏ Ｔ 的 安卓设备 ， 这 不 能 完 全 解 决安 全 测 试 人 员 在 进行 应 用 程 序 测 试 时遭遇


设备 、
文 件资 源被劫持 时所带来 的 不 便 

。

当 前 对 于 勒 索进 行 中 的 防 御 技 术 研究 概 览 如 表 ４ －

１
所示 。
为 了 检测 加 密勒 索 应 用



并保护没有 Ｒ Ｏ ＯＴ 的 安 卓设备上 的 文 件 ，
本章分析 了 各 种 加 密勒索应 用 ， 提出 了基


于 空 文 件 夹 监控 的 文 件保护 策略 。
本 章 设 计 并 实 现 了ＫＲ Ｐ Ｒ ＯＴ Ｅ Ｃ ＴＯ Ｒ ，
这是 一

个基


于 空 文 件夹监控 的 、 具有 文件保护机制 的勒索 应 用 检测 引 擎 ．

本章 的 主 要 贡 献 如 下 

：

１ ．

详 细 分析 了 加密 勒索应 用 不 同 家 族 的攻击特征 。 本章从 ＡＭ Ｄ 数据集 ｍ ｉ



、

Ｋｏ ｏ ｄ ｏ ｕ ｓ 开 源数据集 ＿ 和 Ｖ ｉ ｍ ｓ Ｔｏ ｔ ａ ｌ
＿
中 收 集 了６ ７ ５ 个 加 密 勒 索 应 用 。
本 章对这


些勒 索 应 用 进行 了 反 编译 ：
从 攻击 时 间 、
目 标文件夹 、 遍 历方式 、
文件排 列 、
加 密范


围 、
加 密 方法 、 加 密模式 、
加 密策略 、
目 标 文 件和 加 密 文件等方面总结 了 加 密行 为 的


特点 

。

２ ．

应用于未 ＲＯ Ｏ Ｔ 设备的 基 于 兴趣文件夹监控的 加密勒索应 用 检测策略 。 本章




３ ８



第 四章 ＫＲＰＲＯ
Ｔ Ｅ Ｃ Ｔ ＯＲ ：

基 于 兴 趣 文件 夹 访 问 感 知 的 勒 索 应 用 实 时 检 测 研究



提 出 了 基于 兴 趣 文件夹监控 、 搭载在未被 ＲＯ ＯＴ 过 的 安 卓 设备 端 的 加 密勒 索 应 用 检


测策略 。
该策 略 以 空 文 件夹 为 兴趣 文 件夹 的 实 体 ， 搭 载 在 未被 ＲＯ Ｏ Ｔ 的 终 端进行勒


索应 用 检 测 ，
能 够 有 效 识 别 使 用 了 动 静 态 检 测 逃逸 策 略 的 勒 索 应 用 。 本章还证 明 了 该


策 略 除适 用 于 安卓 系 统外 ，
也可 以 在 未 获 得 管理员 权 限 的 前提下 在更 多 种 类 的 其 他

 ，

设备上实 现 

。

３ ．
对 勒 索 应 用 加 密 文 件进行 防 御 为 了 更 好 地 保 护 文 件免 受 勒 索 应 用 的 攻击 本

 。
，

章 基于 上 述 策 略 实 现 了 
Ｋ Ｒ Ｐ Ｒ Ｏ ＴＥ Ｃ Ｔ Ｏ Ｒ ， 它 对勒 索 应 用 识 别 的 准 确 率 较 Ｒ －

Ｐ ａ ｃ ｋＤ ｒ ｏ ｄ Ｍ
ｉ 

、

？
Ｈｅ Ｄ ｒ ｏ
ｌ ｉ ｄ 等 引 擎高 ２０ ％ 以上 ， 并 能 够在 第
一

个 文件加 密前 １ ４ 秒 左 右 发 出 警告 ，


实
现 了 在 设备 未 被 ＲＯ Ｏ Ｔ 的 情况下 ， 对勒索 应 用 加 密 文 件进 行 防 御 

。

表 ４ －

１ 勒 索 进 行 中 昉 御技 术 概 览



需要


搭载 在  部 署 兴 趣 

ＲＯ Ｏ Ｔ  文 件


检测 的 时 间  移 动 设 乎 台 文 件 文 
 ／

或 管理 员 保护

备上 件夹


 



应用 激活 后 

，

Ｓ Ｄ Ｇ ｕａ ｒ ｄ
［
３２ １
 ／  安 卓 ／  ／  ｘ



实 施加 密 前



应 用 激活 后 

，

等 人 的 研 究 ／  安 卓  ／  ／  ｘ
２ ５１
Ｙｕ ａ ｎ １



实 施加 密 前



，  安卓
２２］
Ｓ ｏｎｇ
［

等人 的 研究 加密时 ， ｘ ｘ



３４ ］
Ｆｅ ｒｒ ａ ｎ ｔ ｅ ［

等人 的 研究 加密时 ， 安卓 ， ｘ ｘ



应 用 激活 后 

，

ＲＷ Ｇ ｕ ａ ｒ ｄ ［
３７］
 Ｗ －

ｉ ｎ ｄ ｏｗ ｓ  ／ ／ ／



实施加密前



应 用 激活 后 

，

Ｒ Ｌ ｏｃ ｋｅ ｒ
－
［
３８］
 Ｗ －

ｉ ｎｄ ｏｗ ｓ ／ ／ ／


实施加密前



应 用 激活 后 

，

Ｋ Ｒ Ｐ ＲＯ ＴＥ Ｃ Ｔ Ｏ Ｒ  Ｚ  安 卓  ｘ  ，  ／



实施加 密 前



３９


北 京 邮 电 大 学 工学 博士学 位 论 文 



４ ２
．
加 密手段 分析



部分 研 究 人 员 提 出 了
一

些 加 密 勒 索 应 用 的 攻击特 征 。 研究 人员 在 分析 了 不 同 家


２ ａ ４ ９ ５ ３ ６９ ］
族 的 加 密勒索 应 用 后 证 明 了 并 非 所 有勒 索 应 用 的 攻击 时 间 都 相 同 在部 分


＿

［ ，

。
，

文献 中 ， 研究 人 员 提 出 勒 索 应 用 不 会 加 密 设 备 上 的 所 有 文 件 ， 但 会加 密照 片 、 文档等


ｍ
主 保存 的 文件 等人 提出 并 非 所 有勒 索 应 用 都 对 整 个


２３ ７ ０ ７２１
Ｃ Ｈ ＥＷ Ｃ
７３］
用户
＂

自
， ，

。
，

文 件 进行 加 密 有 些勒 索 应 用 只对 文 件 的 部 分进 行 加 密 部分研究 人员 分析 了 勒


一

。
，

索应 用 的 加 密 方法 部 分 研究 人 员 介 绍 了 勒 索 应 用 的 不 同 加 密 模 式 以 及 如 何


２Ｑ ２３ ７０ ７２ ］
＂

［ ， ，

实 现这些 加 密模式 研 究 人 员 讨论 了 勒 索 应 用 对 其加 密 的 文 件 的 些 命名 规


２３ ５ ３ ５ ９ ］
－

， 一
［

剛
则 

。

为 了 更 好地 了 解 加 密勒 索 应 用 的 加 密 手 段 ， 本节分 析 了 ６ ７ ５ 个勒 索 应 用 ， 并总


结 了 １ ０ 项 典 型 的 勒 索 应 用 加 密 特征 ，
这 些 特 征 有 助 于 本节 制 定 兴 趣 文 件 夹 的 部署 策


略 ， 例如 ， 勒 索 应 用 进 行 加 密 目 标 文 件 搜 索 时 的 文件遍 历 方 式 、
勒 索 应 用 获取 目 标文


件列 表 时 文件 列 表 的 有 序方式 等 卜 

。

“
攻击 时 间 包 括 立 即 等 待 和 定 时 立即
”
攻 击时 间 是 指 加 密勒 索 应 用 在 第


一

１ ．
。 、 。

次 激 活后 立 即 对文 件进 行 加 密
“

，
并 且 大 多 数 加 密 软 件 的 攻击 时 间 是 立 即 的 方 式 。


等
”

次 激 活 加 密 勒 索 应 用 后 它 在 收 到 加 密 命令 之 前 不 会 加 密 文 件
“
待 意 味 着 在第 

定
一

。
，

意 味 着 首 次 激 活 加 密勒 索 应 用 时
”
时 ， 它 会设 置 时 间 触 发器 ， 并 使其 能 够 在 指 定 时 间


加 密文件 。 基于 沙 箱动 态分 析 的 文 件 加 密 型 勒 索 应 用 检 测 通 常 会 在 勒索 应 用 被 激 活


后 立 即 进行 ， 因此 ， 勸 索 应 用 可 以 利 用 恶 意 代 码 定 时加 载 等逃逸 方 式 来 规避 该类 型 的


检测 

。

表 ４ －

２ 加 密型 勒 索 应 用 的 攻击时 间 特 征



Ｓ ｉ ｍ ｐ ｌ ｅ Ｌ ｏ ｃ ｋ ｅｒ  Ｃ ｏｎ ｇ ｕ ｒ Ｗａ ｎ ｎ ａ ｌ ｏｋ ｅｒ  Ｘ Ｂ ｏ ｔ  Ｄ ｏ ｕ ｂ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ Ｐ ｌ ｅｔ ｏｒ



攻 击 时 间 立 即 立 即 立 即 立 即 立 即 等待



综上 ， 攻 击 时 间 是 加 密勒 索 应 用 的 一

种 攻 击特 征 。
如表 ４ ２ －

所示 ， 大 多 数加 密 的


攻击 时 间 是 立 即 的 。
如 果 本 节在 设 备 中 部署 兴趣 文 件 夹 并 监控 到 应 用 访 问 兴趣 文 件


夹 那 么 刚 刚 开 始运 行 的 应 用 程 序 比 已 经 运 行 段 时 间 的 应 用 程序 更 加 可 疑
一



。
，

２ ．
目 标文 件 夹 。 加 密 型 勒 索 应 用 的 攻击 目 标 文 件 夹 特 征 如 表 ４ －

３ 所示 ， 目 标 文件


夹 是加 密 文 件 的 父 目 录集 

。

在 没有 Ｒ Ｏ ＯＴ 的 设备上 ， 目 标 文 件 夹 的 值通 常 为 ／ｓ ｄ ｃ ａ ｒｄ ／ 或 ／ｓ ｄ ｃ ａ ｒ ｄ／ 文件 夹 的 子 文


件夹 第 个原 因 是普通 用 户 只 能 访 问 加密勒 索 应 用 只 要 申 请写 人外 部存


一

。 ／ｓ ｄ ｃ ａｒ ｄ／
，

储器 的权 限 ， 就 可 以 读取 或 写 入 ／ｓ ｄ ｃ ａｒｄ／ 中 的 所有 文 件 。 第 二 个 原 因 是该 文 件 夹 包 含


用 户 最 关 心 的 文件 ， 如照片 、 视频等 

。

综上 ， 目 标 文 件 夹 是 加 密 勒索 应 用 的 一

种 攻击 特 征 。
如 果 本 节在 加 密勒 索 应 用 的



４０



第 四章 ＴＥ Ｃ ＴＯ Ｒ
ＫＲ Ｐ ＲＯ ：

基 于 兴 趣 文 件 夹 访 问 感知 的 勒 索 应 用 实 时 检 测 研 究



表 ４ －

３ 加 密型 勒 索 应 用 的 攻击 目 标 文件 夹特 征



Ｓ ｉ ｍ ｐ ｌ ｅ Ｌ ｏ ｃ ｋ ｅ ｒ  Ｃ ｏ ｎ ｇ ｕ ｒ Ｗａ ｎ ｎ ａ ｌ ｏ ｋｅ ｒ  Ｘ Ｂ ｏ ｔ  Ｄ ｏ ｕ ｂ ｌ ｅ Ｌ ｏ ｃ ｋ ｅ ｒ  Ｐ ｌ ｅ ｔ ｏ ｒ



目 标 ／ｓ ｄ ｃ ａｒ ｄ／ 和 它 ／ｓ ｄ ｃ ａ ｒｄ ／  ／ ｓ ｄ ｃ ａ ｒｄ ／ 下 ／ｓ ｄ ｃ ａ ｒ ｄ ／  ／ ｓ ｄ ｃ ａｒ ｄ ／ 和 它 ／ｓ ｄ ｃ ａｒ ｄ ／ 下 ， 除路


”
文 件 所有子文件 和它所 的 Ｂ ａ ｄｕ ｎ ｅｔ
ｉ
－

和它所 所有子文件 径 中含有 Ａ ｎ ｄｒ ｏ ｉ ｄ 


，

夹 夹 有 子 文 ｄｉ ｓ ｔ 下载和 有子文 夹 ｔ ｍｐ ，
ｌ ｏｇ ，
ｔ ｅｓｔ ＞
ｃ ａｃ ｈ ｅ 

，

Ｍ 件 夹 的 其 他路 径
”
件 夹 Ｄ Ｃ Ｉ ｔ ｈ ｕ ｍｂ 


下 的 所 有 子 文 件夹



偏 好 目 标 文 件 访 问 位 置 处 部署 兴 趣 文 件 夹 可 以 增 加 兴 趣 文 件 夹 被 访 问 的 概率 从 而 ， ，


．

保护 文件 

。

３ ．
遍历方法 。 加 密 型 勒 索 应 用 的 攻击 目 标 文 件 夹 特 征 如 表 ４ ４ －

所示 ，
遍 历 方法 包


含 深 度 优 先遍 历和 广 度 优 先遍历 。 这 意 味 着 大 多 数加 密勒 索 应 用 釆 用 深 度 优 先遍历


的 方 式 遍历 文 件 夹 ， 以 获取 文 件夹 及 其子 文 件 夹 中 的 文 件列 表 

。

表 ４４ 加 密 型 勒 索 应 用 加 密 时 遍 历 方 法特 征



Ｓ ｉ ｍ ｐ ｌ ｅ Ｌ ｏ ｃ ｋ ｅ ｒ  Ｃ ｏ ｎ ｇ ｕ ｒ  Ｗａ ｎｎ ａ ｌ ｏ ｋ ｅ ｒ Ｘ Ｂ ｏ ｔ  Ｄ ｏ ｕｂ ｌ ｅ Ｌ ｏ ｃ ｋ ｅ ｒ  Ｐ ｌ ｅ ｔ ｏ ｒ



遍 历 方 法 深度 优 先 深 度 优 先 深度优先 深 度 优 先 深 度 优 先  深 度 优 先



遍 历 方 式 是 加 密勒 索 应 用 的 种 攻击 特 征 它 有 助 于 研 究 如 何部 署 兴 趣 文 件 夹
一



。
，

安 卓 设 备 的 目 录 是 树 状 结 构 如 果 加 密 勒 索 应 用 的 遍历 方式 是 深 度 优 先 搜 索 本节 可

 。
，

以 在 树结 构 的 叶节点 附近部 署 兴趣文 件夹 。 如 果 加 密勒 索 应 用 的 遍 历 方 式 是广 度 优



先搜 索 ， 那 么 本 节 可 以 在 更 靠 近 树结 构 根 的 地 方 进 行部 署 

。

４ ．

文 件获取颇 序 。 加 密 型勒 索 应 用 的 文 件获取 顺 序特 征 如 表 ４ ５－

所示 ，
文件


获 取 顺 序 包 含有 序 和 无 序 。 它 是 指 加 密 勒 索 应 用 获 取文 件 列 表 时 列 表 内 目 标文件 的


４］
排序 方法 如 按文 件 名 的 升 序 或 降序 排序 按 文 件 大 小 的 升 序 或 降 序 排序 等 

在
１
［

、 。
，

没有 ＲＯ Ｏ Ｔ 的设备上 ， 文 件 的 排列 通 常 是 无 序 的 。 原 因 是 安 卓 上 的 加 密勒 索 应 用 在


ｊ
ａＶ ａ ． ｉ ａ Ｆｉ ｌ ｅ ＞ －

Ｉｉ Ｓｔ Ｆｉ ｌ ｅ Ｓ （ ） 的 帮助下获得 了 文件列 表 ，
此 方法返 回 的 文 件 列 表 将 不 会 按 照


特 定 的 方 式 排序 

。

表 ４ －

５ 加 密 型 勒 索 应 用 加 密 时 文 件 获取顺 序 特 征



Ｓ ｉ ｍ ｐ ｌ ｅ Ｌ ｏ ｃ ｋ ｅ ｒ  Ｃ ｏ ｎ ｇ ｕ ｒ Ｗａ ｎ ｎ ａ ｌ ｏ ｋ ｅ ｒ  Ｘ Ｂ ｏ ｔ  Ｄ ｏ ｕｂ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ  Ｐｌ ｅ ｔ ｏ ｒ



文 件 获取方 式 无 序  无 序  无 序  无 序  无 序  无 序



４１


北 京 邮 电 大 学 工 学 博 士 学 位 论文 



综上 ， 文件 获取 顺 序 是加 密勒索应 用 的
一

种 攻击 特 征 ，
它 有 助 于 本节 确 定 兴趣 文


件夹 的 实 体 

。

５ ．
加密覼序 。
加 密 型勒 索 应 用 的 加 密 顺 序 特 征 如 表 ４ ６ －

所示 ， 加 密 顺 序 包 含集 中


“

加 密 和 逐个加 密 。 这 意 味 着 加 密 软 件是将所 有 目 标 文 件 一

起 加 密 或 逐个 加 密 。 集中


”

加密 是 指 加 密 勒 索 应 用 将 文 件 列 表 中 的 所有 文 件
一

起加 密 。 大 多 数加 密勒 索 应 用 将


要加 密 的 目 标 文 件 的 路 径 利 用 列 表进行存 储 ，
之 后 通 过对 列 表 中 文 件路径 的 遍 历进


是指如 果 加 密勒索应用 找 到 要加 密 的 标文件
“ ”

行文件加 密 。
逐个加 密 目 ， 它 会立 即



对 其 进行 加 密 然 后继续查 找下 个要 加 密 的 文 件
一



。
，

表 Ｋ 加 密型 勒 索 应 用 加 密时加 密顺 序特怔



Ｓ ｉ ｍ ｐ ｌ ｅ Ｌ ｏ ｃ ｋ ｅ ｒ  Ｃ ｏ ｎ ｇ ｕ ｒ Ｗａ ｎｎ ａ ｌ ｏ ｋ ｅ ｒ  Ｘ Ｂ ｏ ｔ Ｄ ｏｕ ｂ ｌ ｅ Ｌ ｏｃ ｋｅ ｒ  Ｐ ｌ ｅ ｔ ｏ ｒ



加 密 顯 序 集 中 逐个 逐 个 集 中  集 中  集 中



综 上 加 密 顺 序 是 加 密 勒 索应 用 的
，
一

种 攻击 特 征 ， 它 有 助 于 本 节确 定 兴 趣 文件 夹


的 分布 情 况 

。

６ ．
加 密 方法 。 加 密 型勒 索 应 用 的 加 密 方法特 征 如 表 ４ ７
－

所示 ， 加 密方法包含


ｃｒ
ｙ ｐ ｔＡ Ｐ Ｉ ｓ 和 自 定义 。 ｃ ｒｙ
ｐ
ｔ ＡＰＩ ｓ 表 示 该 加 密勒 索 应 用 在 加 密 文 件 时 釆 用 了  Ｊ ａｖ ａ 

官方
定 义 的 加 密 方 法进 行 加 密 ， 例如 ，
开 发者 可 以调 用 ｊ
ａｖ ａ ｘ ｃ ｒ ｙ ｐ ｔ ｏ
． ． Ｃ ｉ
ｐ
ｈ ｅｒ 等 官 方类 中 的


ＡＥ Ｓ 或 ＤＥ Ｓ 方法 完 成 文 件加 密 。
若攻击者 使 用 Ｊ ａｖ ａ 官 方 定 义 的 加 密 方法 进行 加 密 

，

则 在 进行 文 件 解 密 时 ， 能 否 成 功 获取加 密 的 密 钥 就 成 了 解密 能 否 成 功 的 关 键 。 而在


ＨＯ Ｏ Ｋ 的帮助下 ， 安 全 分 析 人 员 能 够 通 过对 加 密 方 法 日 志 的 监 控 对 密 钥 进行 获 取 大

 。

多 数 加 密 勒 索 应 用 的 加 密方法 应 用 了 
Ｊａ ｖ ａ 官方 加 密 方 法 ， 并 使 用 随 机数生 成 加 密 密


”

表 示 加 密 勒索 应 用 进行 文 件 加 密 的 方 法 是 攻击 者 自 行 定 义 的 加 密 方 法
“

钥 。
自 定义 

，

例如 ， 加 密 方 法 使 用 逻 辑 和 算 术 运 算 相 结 合 对 文 件 进行 加 密 。
加 密勒 索 应 用 使 用 自 

定
义 的 加 密 方 法 对 文 件进行加 密 ，
可 以 增 大勒 索 应 用 成 功 逃逸 安 全 引 擎检 测 的 成功 率 

，

但安 全 人 员 通 过 逆 向 分 析 也 可 以 获取解 密密 钥 

。

表 ４ －

７ 加 密 型 勒 索 应 用 加 密 时 加 密 方 法特 征



Ｓ ｉ ｍ ｐ ｌ ｅ Ｌ ｏ ｃ ｋ ｅｒ  Ｃ ｏ ｎ ｇ ｕ ｒ Ｗａ ｎｎ ａ ｌ ｏ ｋ ｅ ｒ  Ｘ Ｂ ｏ ｔ  Ｄ ｏｕ ｂ ｌ ｅ Ｌ ｏ ｃ ｋｅｒ  Ｐｌ ｅ ｔ ｏ ｒ



加密 顯 序 Ａ Ｅ Ｓ  Ａ Ｅ Ｓ  Ａ Ｅ Ｓ  自 定 义 加 密 方 法 Ａ Ｅ Ｓ  Ａ Ｅ Ｓ

７ ．
加密 模 式 。 加 密 型勒 索 应 用 的 加 密 模 式 特征 如 表 ４ －

８ 所示 ， 加 密 模 式 是指 加 密


勒 索 应用 从访 问 文件 到 加 密 的 过程 。 大 多 数加 密 勒 索 应 用 的 加 密模 式 可 以 分 为 五 种


模式 

。

４２


 ；

第 四章 Ｋ Ｒ Ｐ ＲＯ ＴＥ ＣＴ Ｏ Ｒ ：

基于 兴 趣 文 件 夹 访 问 感知 的 勒 索 应 用 实 时 检 测 研究



“ ”
数 据读取 数 据 加 密 数 据 重 写－ －

是 指 加 密勒 索 应 用 的 加 密 过 程 是 读 取 文 件 、


加
密 读取 的 数 据 并 用 加 密 数据 重 写 原 始 文 件 。 也就是说 ， 原 始 文 件 被加 密 文 件 覆盖 

。

“ ”
数据读 取 数据 加 密 创 建 数据 重 写 原 数 据 删 除
－ － －
－

是指加 密勒 索 应 用 的 加 密 过程


是读取 文件 、
加 密 读取 数 据 、
在 原 始 文 件 位 置 创 建新 文 件 、
将 加 密 数据 重 新 写 入 新 文


件 ， 并 将 原 始 文 件 进行 删 除 。 也就是说 ， 勒索 应用 删 除 了 原始文件 ， 同 时在 外 部 新 建


了 对原始 文 件 加 密 后 的 文件 。
目 前 ， 大多 数加 密勒 索 应 用 ， 如 Ｓ ｉｍ
ｐ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ 、 Ｃ ｏ ｎｇｕｒ 

、

Ｄｏｕｂ ｌ ｅ Ｌ ｏ ｃ ｋ ｅｒ 和 Ｐ ｌ ｅ ｔｏ ｒ ， 均 使 用 该 加 密 模 式 进行 文 件 加 密 

。

“
数 据 读取 数 据 加 密 创 建 数 据 重 写 重 命 名 原 数 据 删 除
”
－ －
－ － －

是指 加 密勒 索 应 用 的


加 密 过程是读 取 文 件 、
加 密 读取数据 、
在 原 始 文 件 位 置 创 建新 文 件 、
将 加 密数 据 重 新


写 入 新 文件 、 重 命 名 文件 并 删 除 原 始 文件 。
一

些 加 密 勒 索 应 用 开 发 人员 添加 了 重命 名


步骤 ， 以 使 加 密勒 索 应 用 检 测 引 擎 将 加 密勒 索 应 用 误 判 为 正 常 应 用 程 序 。
如果加 密勒


索 应 用 检 测 引 擎对 原 始 文 件 的 识 别 标 准 为 使 用 Ｆ ｉ ｌ ｅ ｌ ｎｐ ｕ ｔ 方 法打 开 的 文 件 ，
Ｘｔ 加 密文


件的识 别标准为 使 用 Ｆ ｉ ｌ ｅ Ｏ ｕ ｔｐ ｕ ｔ 方法 打开 的 文 件 那 么 检 测 引 擎 无法 找 到 已 经被重 命

 ，

名 的 加 密文件 

。

“ ”

数据读 取 原 数据 删 除 数 据 加 密 创 建 数 据 重 写
－ ？ － －

是 指加 密勒 索应 用 的 加 密过 程


是读取文件 、
将 原 始 文件 进 行 删 除 、 加 密 读 取 数据 、
在 原 始 文件 位 置 创 建 新 文 件 并 将


加 密 数据 重 新 写 入 新 文 件 

。

数据转 移 数据 读取 数据 加 密 数 据 重 写 数 据 转 移
”
－
－
－ －

是指加 密勒索应 用 的 加 密过


程 是 将原 始 文 件 移动 到 另 个文件夹 读取 原 始 文件 加 密读 取 数 据 将 加 密数 据 重


一

、 、 、

新 写 人 原 始 文 件 以 及 将 原 始 文件 转移 到 原 始 文 件 夹 。 也 就 是说 ， 原 始 文 件被 加 密 文 件


覆盖 ， 加 密勒 索 应 用 不 会 加 密 原 始 文 件 夹 中 的 文 件 

。

表 ４ －

８ 加 密塑 勒 索 应 用 加 密 时 加 密 模式特 怔



Ｓ ｉ ｍ ｐ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ  Ｃ ｏ ｎ ｇ ｕ ｒ  Ｗａ ｎｎ ａ Ｌ ｏ ｋ ｅ ｒ  Ｘ Ｂ ｏ ｔ  Ｄ ｏ ｕｂ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ  Ｐ ｌ ｅ ｔ ｏ ｒ



数 据读取 数 据读 取 数 据读取  数据 读 取 数据 读 取 数据 读 取



创 建  创 建  数 据 加 密  原 数 据删 除 创 建 创 建



加 密 数 据 加 密  数据 加 密 创 建 数据 加 密 数据 加 密  数 据 加 密



模 式 数据 重 写 数据 重 写 数 据 重 写  创 建 数据 重 写  数据 重 写



原 数 据 删 除  原 数 据删 除 重 命 名  数据 重 写 原 数据 删 除原 数据 删 除



原 数据 删 除
 



综上 加 密 模 式 是 加 密 勒 索 应 用 攻击 的 种 特征 它 有 助 于 本 节从访 问 兴 趣文 件


一

， ，

夹 的 事 件 中 发 现 加 密事 件 ， 及 时感 知 勒 索 应 用 进行 文件加 密 

。

８ ．
加 密 策略 《 加 密 型 勒 索 应 用 的 加 密 策 略特 征 如 表 ４ ９ －

所示 ， 加 密 策 略包括全



４３


北 京 邮 电 大学工学博士学 位 论 文 

文 、
头部和 尾 部 。 这 意 味 着 加 密 勒 索 应 用 是否 对 目 标 文件进行 全 文 加 密 。 全文意 味着


当 加 密勒索 应 用 加 密 文 件 时 ， 将全 文 数据 进 行 加 密 大 多 数 加 密 勒 索 应 用 的 加 密 策 略

 。

是全 文加 密 。
头部表 示 仅 对 文件头 中 的 部 分 数 据进 行 加 密 。 例如 ，
Ｄ ｏ ｕｂ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ 中包


含 的 加 密勒 索 应 用 仅 加 密 每 个 文 件 的 前 １ ０ ２４ 个字节 。 尾 部表示 仅对文 件 尾部 的 部分


数据进行 加 密 

。

表 ４ －

９ 加 密 型 勒 索 应 用 加 密 时 加 密 策略特 征



Ｓ ｉ ｍ ｐ ｌ ｅ Ｌ ｏ ｃ ｋ ｅ ｒ  Ｃ ｏ ｎ ｇ ｕ ｒ Ｗａ ｎｎ ａ ｏ ｋｅ ｒ  Ｘ Ｂ ｏ ｔ  Ｄ ｏｕ ｂ ｌ ｅ Ｌ ｏ ｃ ｋ ｅ ｒ  Ｐ ｌ ｅ ｔ ｏ ｒ

 ｌ

加 密 策 略 全 文  全 文 全 文  全 文 前 １ ０２４ 个字 节 全文



加 密勒 索 应 用 为 了 快 速实 现 对 文 件 的 加 密 ，
可 能 会 存 在较 高 的 Ｃ ＰＵ 负 载 的 现象 

，

其恶意行为 容易 被 发现 。 因此 ， 有 些 勒 索 应 用 只 对 文 件 中 的 少 量 数据 进行 加 密 ，
可以


降 低被发现的 风 险 

。

综 上 加 密 策 略是 加 密勒索 应 用 的 种 攻击 特征 它 有 助 于 本 节 研究 需 要 部署 的


一

， ，

兴 趣 文 件 夹 数量 

。

９ ？
目 标文 件 。
加 密 型勒 索 应 用 的 目 标 文 件特征 如 表 ４ －

１ ０ 所示 ， 它 表示 加 密勒 索


应 用 在进 行 目 标 加 密 文件 选 取 时 釆 用 的 过 滤 准 则 。 例如 ， 文 件 的 大 小 是否 符合用 户 常


用 文件 大 小 的 范 围 、
文 件 的 后 缀 是 否 为 常 见 文件 后 缀 等 。 但是 ， 并 非 所有 加 密 勒 索 应


用 都 需 要 过滤 条件 ，
例如 ，
Ｘｂ ｏ ｔ
加 密 指定文件夹 中 的 所有 文件 。
某 些 加 密勒 索 应 用


具 有 多 种 过滤 标 准 。 例如 ，
Ｄ ｏ ｕｂ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ 对大小 大 于 或 等 于 １ ０ ２４ 字 节 的 文 件进行 加


” “

对 文 件 名 后 缀 包 含在 用 户 主 动 存 储
”


“

密 ， 并 且 文 件名 不 包 含 ． ｃｒ
ｙ ｅｅ 和 ａｐ ｋ ；  Ｐ ｌ ｅ ｔｏ ｒ

（
４ ｄ ｏｃ ，  ｄｏｃｘ ， 
ｄ ｏｃ ｍ ，  ａｖ ｉ ，
 ｊ ｐｇ ，
 ｊ ｐｅｇ ， 
ｍ ｐ４ ， 
ｔ ｘｔ ， 
３
ｇｐ ，
 ｐｐ ｔ ，
 ｐ ｄ ｆ  ｐｐ ｔ ｍ ， ，
 ｐｐ ｔ ｘ ，  ｘｌ ｓ ，  ｘｌ ｓ ｂ ，  ｘｌ ｓ ｍ 

，

ｘｌｓ ｘ ，  ｚｉ ｐ ， 
７ｚ ， 
ｖｃｆ ，  ３ ￡ｒ ，  ａｃ ｃ ｄｂ ，  ａｉ ，  ａｒ ｗ ， 
ｂ ａｙ ，  ｃ ｄｒ ，  ｃ ｅ ｒ，  ｃ ｒ ２ ，  ｃ ｒｔ ， ｃｒ ｗ ， 
ｄｂ ｆ ，  ｄ ｃｒ ， 
ｄｅ ｒ ， 
ｄｎ ｇ ，  ｄｗ ｇ ， ｅ ｐｓ 

，

ｅ ｒｆ ，  ｉ ｎｄ ｄ ，  ｊ ｐｅ ， 
ｋ ｄｃ ，  ｍ ｄｂ ，  ｍ ｄ ｆ，  ｍ ｅ ｆ，  ｍ ｒ ｗ ，  ｍ ｋｖ  ｎ ｅ ｆ  ｎｒｗ
， ， ，  ｏｄｂ ，  ｏ ｄ ｍ ，  ｏｄ ｐ ，  ｏ ｄ ｓ ，  ｏ ｄ ｔ ，  ｏ ｒｆ，  ｐ ｉ ２ 

，

ｐ７ｂ ，
 ｐ ７ｃ ，
ｐ ｄｄ ，
ｐｅｆ ｐｅ ｍ ，

，
 ｐ ｆｘ ，
ｐｓｄ ，
 ｐ ｓ ｔ ｐ ｔｘ ？

，
ｒ３ ｄ ， 
ｒａ ｆ ， 
ｒａ ｒ， ｒ ａ ｗ ， 
ｒｔ ｆ ， 
ｒｗ ２ ， 
ｒｗ ｌ ， ｓ
ｆ
ｒ ， ｓ
ｒｗ ，  ｗｂ ２ ， 
ｗｐ ｄ 

，

中 的 文 件进行 加 密
１ ４］
ｗｐ ｓ ｘ ｌｋ
【

，


。
）

表４ －

１ ０ 加 密型勒索应 用 加 密时 目 标 文 件 选择特 征



Ｓ ｉ ｍ ｐ ｌ ｅ Ｌ ｏ ｃ ｋ ｅ ｒ  Ｃ ｏ ｎ ｇ ｕ ｒ  Ｗａ ｎｎ ａ ｌ ｏ ｋｅ ｒ  Ｘ Ｂ ｏ ｔ  Ｄ ｏｕ ｂ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ  Ｐ ｌ ｅ ｔ ｏ ｒ



目 标 后 缀 为 七６＾ ？ ＆ ？哗 ， 文件大小 文 件 大 所 有 文件大小不小 后缀为 用




文 件 ｂ ｍｐ ，
ｇｉ ｆ ，
ｐ ｄｆ ，
ｄｏｃ ， 不 超 过 小 大 于 文 件 于 １ ０ ２４Ｂ ，
且 户主动存



ｄｏｃｘ ， 
ｔ ｘｔ ， 
ａｖｉ ， 
ｍ ｋｖ ， 
３
ｇｐ ，  １ ０ Ｍ Ｂ  １ ０ ＫＢ ， 小 文 件 后 缀 不 为 储列 表的



“ “

的 文 件 于 文 件


“
ｍｐ４  
５ ０ＭＢ  ｃ ｒｙ ｅｙ ｅ ，
．
ａｐ ｋ 

４４



第四章 Ｋ Ｒ ＰＲ Ｏ
ＴＥ Ｃ
ＴＯＲ ：

基 于 兴 趣 文 件 夹 访 问 感 知 的 勒 索 应 用 实 时检 测 研究



综上 目 标文 件是加 密勒索应用 的 种 攻击特征 它 有 助 于 本 节 确 定 兴 趣 文件 夹



一

， ，

的 实体 ， 使 兴 趣 文 件夹 最 大 条 件 的 满 足 勒 索 应 用 的 访 问 标 准 

。

１ ０ ．
加密文件名 变化 。 加 密 型勒 索 应 用 的 加 密 文 件名 变 化特征 如 表 ４ －

１ １
所示 ， 

这
意 味 着 文件加 密 后 的 更 改 。 本节 将 侧 重 于 文 件 名 的 变化 而 不 关 注 香 农 熵 和 文 件相 似

 ，

性 的 变 化 加 密 勒 索 应 用 通 常 为 被 加 密 文 件 添 加 攻击 者 自 定 义 的 后 缀
。 。
自 定义后缀 的


添加 ， 不 仅 能够 向 受 害者显 示缴 纳 赎金 的 方 法 ，
而 且还 能 方 便 攻击 者对 被 勒 索对 象 以


及 使用 的 加 密 密钥 进行标记 ， 防 止 重复 

。

表 ４ －

１ １ 加 密 型 勒 索 应 用 加 密 时 加 密 文 件 名 变 化特 怔



Ｓ ｉ ｍ ｐ Ｉ ｅ Ｌ ｏ ｃ ｋ ｅ ｒ  Ｃ ｏ ｎ ｇ ｕ ｒ  Ｗａ ｎｎ ａ ｌ ｏ ｋ ｅｒ  Ｘ Ｂ ｏ ｔ  Ｄ ｏ ｕ ｂ ｌ ｅ Ｌ ｏ ｃ ｋ ｅ ｒ  Ｐ ｌ ｅ ｔ ｏ ｒ



加密文 文 件 文 件 名 添加 社 文 件名 添加 社 不 改 变 文件名 添 文件名 添




件名变 名 添 加  交 软 件联 系 方 交软 件 联 系 方 文 件名 加 后缀如 加 后缀如






”
化  后 缀 如  式 至 文件 后 缀 式至文件后缀 称
“ ” “
． ｃ ｉｙ ｅｙ ｅ ． ｌ ｏｃｋ

“ 

”
． ｅｎ ｃ

综 上 加 密 文 件 名 变 化 是 加 密勒 索 应 用 的
，
一

种 攻击 特 征 ，
它 有 助 于 本 节定 位 目 标


文 件 和 部署 兴 趣 文 件 夹 

。

４ ３
．


方 案 设计

本节将介绍 Ｋ Ｒ Ｐ ＲＯ Ｔ Ｅ Ｃ ＴＯ Ｒ 的实现 。 Ｋ Ｒ Ｐ ＲＯ
Ｔ Ｅ Ｃ ＴＯ Ｒ 是 一

个基 于 兴 趣 文 件 夹


访 问 感知 的 勒 索 应 用 实 时检 测 引 擎 ，
它 搭载 于 未被 ＲＯ ＯＴ 的 安卓 系 统 ， 能 够 在勒 索


应 用 对 用 户 文 件进行 加 密 前 感 知 加 密 行 为 ， 并 对 用 户 进行预警 ， 具 有 文 件保 护 功 能 

。

４ ３ １
． ．
工 作流 程



ＫＲ Ｐ ＲＯ ＴＥ Ｃ ＴＯ Ｒ 的 工作流程如 图 ４ －

１
所示 。 Ｋ Ｒ Ｐ ＲＯ ＴＥ Ｃ Ｔ Ｏ Ｒ 中 主 要 有 两 个 模 块 

，

兴 趣 文 件 夹 部 署 模 块 和 加 密勒 索 应 用 检 测 模 块 旦激 活 兴 趣 文 件 夹 部 署 模 块 将根


一

。
，

据 文 件 的 分 布 生 成 并 部 署 兴 趣文 件 夹 ，
包 括 同 级 目 录 兴 趣文 件 夹 和 子 目 录 兴 趣 文 件


夹 。 这些 兴 趣文件夹 的 实 体 是 空文件夹 ， 这些 文 件 夹 由 Ｋ Ｒ Ｐ ＲＯ Ｔ Ｅ Ｃ ＴＯ Ｒ 监控 。 如果


ＫＲ Ｐ Ｒ ＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 发现
一

些 兴 趣 文 件 夹 被访 问 ，
Ｋ Ｒ Ｐ Ｒ ＯＴ Ｅ ＣＴ Ｏ Ｒ 将 使 用 过 滤条 件对 活


动的 Ａｃ ｔｉ ｖｉｔ
ｙ 进 行 过滤 ，
然 后 触 发 加 密 勒索 应 用 检 测 模 块 。 加 密勒 索 应 用 检 测 模 块 根


据 可 信值识 别 加 密勒索应 用 ， 并 向 用 户 发 出 警报 

。

４５


北 京 邮 电 大学 工 学博 士学 位论 文 



诱馆 觸


難


   

＼ ｍｍ ＾ ｍ  Ｉ  ＊Ｓ 

！

＾ ／  
ｓ ｄ ｃ ？ ｒ ｄ ／＊ ｌ ｗ ｓ ／ ｋｉ Ｆ ｌ ？ｈ


＾
Ｂ
／ ｓ ｄｃ ？ｒ ｄ／ＡＩ ？ｒ？ ｓ／ ｆｔ 
ｓ
Ｉ
 ［／ ＾ｒ ＾ ｒ ＶＴ Ｔ ｉ
ｊ 
｜

Ａ Ｊｃ ？  ｎ ２Ｋ
 ／ ｓ ｄ ｃ ａ ｒ ｄ ＾ Ａ ｌ ａ ｘ Ｗ  ／ ｓ ｄｃ ａｘ ｄ／ ＫＨｊ 
－

ｉｃ － ｉ ２Ｄ §： ２


＜ ｌ
／Ａ ｌ ？ｒ？ ｓ ｅ ｓ ／
ｒ
） ：
＿
：

＾  久
＾
避－ ⑶
，




过通
“

ｇ
１

／ Ｓ ｆ
ｃ ａｒ ｄ ／ ／ ｄｃ Ｔ ｄ／Ｗ ｏ ＾ａ／
Ｉ
？
ｓ ＇

＜
＾

 ／ ｓ ｄ ａ ｒ ｄ ＾ ｏ ｍ ｌ ｏ ａ ｄ ／  ＾ ／ ｓ ｄ ｃ ａ ｒ ｄ ＾ Ｉ ｖ ｉ ｅ ＾
，

ｌ
ｔ

Ａ Ｌ Ｊ ｄ＾ ｏｗｎｌ ｏ ａｄ／ 
ｃ  

＾


｝  ／ ｓｄｃ ａ
＾ ＾
ｖｉｅ ｓ／

、
一

＾
Ｊ  ｜  Ａ 

，

？
／ ｓ ｄｃ ａｒ ｄＡｏ ｒ ｉ ｅ ｓ ／ ．

  ｜
／ ｌ
－

ｔ ａ 

ｉ

 


口
一 

 ＾ 
￣

／ｓ ｄｃ ｄ ／
＇
ａｒ ｏｒ ｉ ｅ ｓ ｅ ｓ
Ｚ
－ ｉ
＞ ｖ

Ｚ
ｊ

、 — ？ ？

ｕ

－ —
＿      



Ｉ
Ｉ

加 密勒寮關


＇ 

ｎ
ｒ

ｎ ；
雜
 可 信 值 计巷
… 产  



 骇巧？
＂ ＂

ｒ 子１ 录 ｉ ｍ   種？
ｔ  ／ｓ ｄｃ ａｒ ４ ／ Ｍｍ ／ Ｃ ？？ ｅ ｒ ａ／ｌ ．

 ｐｎ ｇ ／



 ＣＩ＊／Ｃ
／ｓ ｄｃ ？ｒ ｄ ／ｌ ／    安＾  模 聖 结 果
１

） ？ ｅｒ ？ ｉ ｌ
 ｐ ａ
ｇ （ ｉ ｈｉ ａ  ｉ ｓ  ａ  Ａｚ ａ± ｔｒ ｙ ） 
 ｊ
ＳＯ

Ａ
 ／ ｓ ｄ ｃ ＃ｒ ｄ ／Ｄ Ｃ ３Ｉ／ｔ
 ＾７？ ＾  ５ ＾＾


－

Ｂ？ ？ ａ ｔ
 ｐａｇ  ／ｓ ｒ
ｉｃａｒ４ ＜

４ ＾ ｅａ ／ ｔ ｔ ｉ ｏ ｒ
ｔ ｉ ｌ ？ｉ ？ Ｗ ？ Ｌ
ｖｉｆ
ｉ ｓｔ＞ ４ ：

／ ■ ＝ Ｅ ａ Ｌ ＾？ ＜ ＊ ｉ ＝ｎｄ ｅ ＊ｉ ｃＡＢ ？ ＭＬ  ｈ
 ／ ｓ ｄｃ ａｒ ｄ／Ｋｏｒ ｉ ｅ ｓ ／Ａ ｃ ｔ ｉ ｏｉ ｉ ｌｏＴ ｉ ｅ ／Ｂ ｏ ｖ ｉ ｅ ｌ   ｉ
ＢＳ ＾８？ Ｓ  ｉ
？ — ？




？ ■

ａｐ４／  （ ｔ Ｌｉ ｓ  ｉ ｓ  ａ  ｄｉ ｒ ｅｃ ｔ ｏｒ
ｙ） 一  — 了  一 … — 一
——＿  训… ’  一

？

＾
 ＾
ｊ

ｉ  ３




，

臟 再 狯 供 和 计Ｈ
｛



ｉ
丨

１ 
￣
￣ ￣ － ￣ － － —

ｒ ｉｆｉ ｒ ＝： ＾ ＾ ＾
，

 Ｔ： ． ． ． ｒｒ ． ． － ． ．
ｚ： ｚｚ ． － ． ｒ ．   ． ： ． ．
ｒ ： ． ．
ｒ ：
．
．  ． ． ７＝ ， － ． ． ：
－ － － ． ， 

ｉ

Ｌ
＇

ｏａｍ  ｔ
ｆ ？ ａ？ ｒ ？ａ ｙ ｔ  ＾ｍｒｒ ：  获笔 疾
 ， ￡ －

 Ｕ 

＞
 ［／ 畑 伤拓 阳职 面ｓ ｒ Ｓ＾＾钱 为 兵 色 拍 ｄ ｆ ？




—

／ ｓ ｄｃ ａｒ ｄ／ＢＣＩ ＭＥＩ／  
］Ｚ 



获 贿 分 笛 鍾 威 纖淨



：
／ ｓ ｄｃ ＾ ａ ／ Ｄ ｏｉＪＬ ｏ ａｄａｄ／
｜

＾ ＊＊ ＊＾ ＊＾
 ｔ ＊＊ ＊＾＊ ＊＊ 

＇
＊＊
／ｓ ｄｃ ａｒ ｄｙ ｉｏｒ ｉ ｅ ｓ ｅｓ／ Ｌ －

＊ ｏｋ  Ｒｃ ａｕ ｌ  ：
＊＊ ＊

＾ Ｓ ７Ｉ ６ Ｚ５ Ｍ７ ＾ Ｓ ＾ｒ ＜？
／ｓ ｄｅ ａｒ ｄ／ＢＣ Ｈ ／ Ｃ ＊ｅ ｒ ａ ／ ｌ ．

 ｐａ ｃ／  Ｊ ｓ ｗ ｊ ｅ ｎ  ｔ ｍｃ ： ｔ ｔ ｉ  Ｄｅ ｃ  ２０  ２ ２ ： ： ４ １

／■ ｏ ｒ ｘ ｅｌ
＾４ ／ ＿ 丨
＾工 脚娜 

＊

ＯＴ ？ ２Ｄ
＾ Ｂ
－
ｔ ： Ｉ ９）



Ｅ／ ｌ
？ ＫＳ ｔ

 ！

ｊ 

 ｉ； 一 ： ＇    ！ 

Ｊ

＾

■

：
」 Ｌ
事件  

ｆ 

ｒ

ｃ ｏ． ｂｔｔ ｃｃｃ  ｃ ｏｕ ｎｔ ０ ｖ


＾

．  ＝
 

ｔ

 ｃ ｏ． ｔｔ  ａ ｃ ｃｃ
 
—
Ｋ
＾


—

＾
．


：
可撕 十？ 
．
Ｌ   －
＞
」 ＿ １

没 有 运行应 用 程 序 的 ｇ 台 殿努 
丨
 ｃｍ ．
ｃ ｃ ．
ｂｈ ｂ ＾ ．

 ，  ｃ ｏｕ ｎ ｔ  ＞  １
、 ？

‘

見 —





醒 窗 口 运行 应 兩程淳 
３
一 ？



ＳＡ Ｍ ａ ｎ ｆ
ｅｓ 明的  程 琢 
＇

ｐＳ
＇

Ｊｏｎ

、 



ｉ ｔ 」
、

图 ４ －

１  ＫＲ Ｐ Ｒ０ Ｔ ＥＣ Ｔ ０ Ｒ 工 作 流程示 意 图



４ ３ ２
． ．
兴趣 文件 夹 部署



本节将 介绍 如 何 部署 兴趣文 件 夹 ， 包括兴趣文件夹 的 实 体 、 兴趣文 件 夹 的 分 布 以




及 兴趣文件夹 的 部署策略 。 对于每个部分 ，

本 节将 在 开 始 时 进 行 简 要 描 述 ， 然 后本节


将 解 释选 择 此 策 略 的 原 因 

。

１ ．
兴趣文件夹的实体


兴趣 文 件夹 的 实 体 是 空 文 件夹 。 选择 空 文 件夹 作 为 实 体 的 原 因 如 下 

。

兴趣 文 件夹 占 用 了 较少 的 设备 存储空 间 。 在安卓 ７ ． １
的 Ｐ ｘｅ ｉ ｌ
手 机上 ， 每 个空文


件 夹 需要 占 用 存 储 空 间 ８ ＫＢ 。 生成 １ ０００ 个兴趣文 件夹 只 需要 占 用 ４ＭＢ －

８ ＭＢ 的存储


空间 。 如 果 兴趣文件夹 的 实 体是普通文 件 ，
则 每 个兴趣 文件夹 的 大小 应与 设备上 的 普


通 文 件大 小相 近 ，
可 以 防止加 密勒 索 应用 在 文件夹访 问 时 利 用 文 件大 小过滤 的 逃逸


策 略绕过兴趣文 件夹 。 另外 ， 普通文件 比 空文件夹需要更多 的存储空 间 

。

空 文 件 夹 难 以 被逃 逸策略绕 过 。
加 密勒 索 应 用 通 常加 密 具有 指定 名 称 的 文件 ， 

或

４６



第四章 ＫＲ Ｐ ＲＯ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ ：

基于 兴 趣 文 件 夹访 问 感知 的勒 索 应 用 实 时检 测 研究



加 密 除某 些 具有指 定名 称 的 文件外 的 所有 文 件 。
如 果 兴趣 文 件夹 的 实 体是普通 文 件 

，

为 了 确 保加 密勒 索 应 用 能 够访 问 到 该文 件 ， 该 文 件 的 后缀 需要尽量多 地 满 足勒 索 应


用 加 密文 件 后缀 的 偏好 ，
这将使 ＫＲ Ｐ ＲＯ Ｔ Ｅ Ｃ ＴＯ Ｒ 在设 备 中 部署 的 文 件数量大 幅 度增


空 文件夹也是 种 普通 文 件 夹 加 密勒索应用 在访 问 它 们之 前 无法 根据名 称或 大


一

力Ｄ 。 ，

小 来 区 分 兴 趣 文件 夹和 普通 文 件 夹 

。

更快对用 户进行警告 。
如果加 密勒索应用 在获取所有 目 标 文 件 的 路 径 后 再对 

目

标 文件进行集 中 加 密 ，
则勒索 应 用 的 整 个加 密过程为 ：

遍 历 文 件路径获取 目 标 文件路


径列表 、
文 件访 问 和 文 件加 密 。
若将空 文 件夹作 为 兴趣文 件夹 ，
ＫＲ Ｐ Ｒ Ｏ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ 

可

以在加 密勒 索 应 用 遍历 文 件夹 时 向 用 户 发 出 警 报 。 但是 ， 若 Ｋ Ｒ Ｐ Ｒ ＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 部署 的


兴趣 文 件实 体 为普通 文 件 ， 那 么 只 有 当 勒 索 应 用 在进行 文 件访 问 时 ， 勒索应 用 检测 才


能被触 发 ， 进而 向 用 户 发 出 预警 。 也就 是说 ．

使 用 空 文件夹 可 以让 ＫＲ Ｐ Ｒ ＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ



更早地 向 用 户 发 出 警报 

。

２ ．
兴 趣 文 件夹 的 分 布


ＫＲ Ｐ Ｒ ＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 仅 在 ／ｓ ｄ ｃ ａｒ ｄ 上部署 兴趣 文 件夹 。
安卓 设备上 的 文 件 可 以 分 为 系


统文件和 用 户文件 。
用 户 文 件 由 用 户生成 ： 并 保存在 ／ｓ ｄ ｃ ａｒ ｄ 中 。 系 统 文 件 通 常对用 户


不 可见 ，
它 们 保存在 除 ／ｓ ｄ ｃ ａｒ ｄ 以外 的 文 件夹 中 。
由 于 加 密 系 统 文 件 存在 着 使 设 备


崩 溃 而 终 止 程 序 运 行地 风 险 ，
加 密勒索 应 用 的 开 发者 们 通常不 会将系 统 文 件列 入应


用加密的 目 标文件范 畴 ．
更偏 向 于对 ／ｓ ｄ ｃ ａｒ ｄ 目 录下 的 用 户个人文 件进行加 密 。 因此 

，

Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 将 仅 会在 ／ ｓ ｄ ｃ ａｒ ｄ 目 录下 进行兴趣文 件夹 的 部署 

。

在本节 中 ， 使用 ｕ ｓｅｒ
ｆｏ ｌ ｄ ｅ ｒ 表示 ／ ｓ ｄ ｃ ａｒ ｄ 中 除了 ／ｓ ｄ ｃ ａｒ ｄ／ 安卓 文 件夹 外 的 索 引 文 件


“ ”

夹及 其子 文件夹 ：
这 些 文件夹 的 名 称包 含 应 用 程序 的 文件名 ，
文 件 夹 的 前缀为 ．


。

本节使用 ｌ ｅ ａ ｆ ｆｏ ｌ ｄ ｅ ｒ 来 表 示 仅包含文件 的 用 户 文件 夹 。 本节 使 用 兄 弟 兴趣文件夹表



示 与 用 户 文件夹位于 同
一

父路径 中 的 兴趣 文件夹 ，
并 使 用 子 兴趣 文 件夹表示 叶 文 件


夹 中 的 兴趣 文 件 夹 。 在 ／ ｓ ｄ ｃ ａｒ ｄ 中 ，
ＫＲ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 为 每 个 用 户 文 件 夹 生 成兄弟 兴趣


文件夹 这些 兴趣文件夹与 原始文 件夹位于 同 目 录中 兴趣文 件夹 的 名 称与 用 户


一

。
：

文件夹对应 ， 例如 ．

为 ／ｓ ｄ ｃ ａｒ ｄ／ Ｄ Ｃ ＩＭ 文 件 夹生 成 的 兴 趣 文 件 夹名 为 ／ｓ ｄ ｃ ａｒ ｄ／ Ｄ Ｃ Ｉ Ｍ Ｓ 

。

同时 ，
ＫＲＰ Ｒ ＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 为每 个 叶文 件夹生 成子兄弟 兴趣文 件夹 ，
子兄弟 兴趣文件夹


的 数量 不 超过叶文 件夹 中 文 件 的 半 兴趣文件夹 的 名 称与 叶文 件夹相 关 例如
一

。
， 

，

为 ／ ｓ ｄ ｃ ａｒ ｄ／Ｄ Ｃ Ｉ Ｍ ／ｐ ｉ ｃ ｔ ｕ ｒｅ ｓ 文 件夹 生 成 的 兴趣 文 件 夹名 为 ／ｓ ｄ ｃ ａ ｒ ｄ／ Ｄ Ｃ Ｉ Ｍ Ｓ ／
ｐ
ｉ ｃ ｔ ｕ ｒｅ ｓ ｓ 

。

在 安卓 系 统 内 ｐｒｏ ｃ ｎ ｏ ｔ ｉ ｆｙ ／ ｍ ａ ｘ 对 个 进程 同 时监 控 的 文 件 数 目 不 得 多 于


一

／ ／ｓ ｓ ／ ｆｓ ／ ｉ
，
ｙ

８ １ ９２ 个做 出 了 规 定 。
受 兴趣 文 件 夹 保护 的 文 件都在 ／ｓ ｄ ｃ ａｒｄ 中 。 ／ｓ ｄ ｃ ａｒ ｄ 中有 ９ 个原始


文件夹 ，
包括告警 、 ＤＣ Ｍ Ｉ 、
下载 、 电影 、
通知 、
图片 、
播客 、 铃声和 音 乐 。 通常 ．



每
个 原 始 文 件 夹 最 多 三 个 子 文件 夹 ，
这表 明 兄 弟 兴趣 文 件 夹 的 数量最 多 为 ３６ 个 ．

兄弟


兴趣文件夹最 多 占 用 １ ４４ ＫＢ －

２ ８ ８ ＫＢ 的空间 。
由 于受 限于安卓设备 外部存 储容量 ： 

存
在很少的 用 户文件 。 例如 ，
Ｐ ｘｅ ｉ ｌ
设备有 ３２ ＧＢ 的外部存储容量 ．

能够存储 １ １ ０３４ 

张

４７


北 京 邮 电 大学 工 学 博 士 学 位 论 文 



２ ９ ＭＢ
．
的照片 。 如果 Ｋ Ｒ Ｐ Ｒ Ｏ Ｔ Ｅ ＣＴ Ｏ Ｒ 在设 备上 部署 兴 趣 文 件 夹 ， 

子 兄 弟 兴 趣 文 件夹
的 数 量不 超 过 ５５ １ ７ ，
这 远 远 低 于 最大 用 户 监 视 数 量 限 制 。 子 兄 弟 兴 趣 文 件 夹最 多 占



用 ２２ ＭＢ －

４４Ｍ Ｂ 存储 空 间 。 ３６ 个 用 户 文件夹 和 ５５ １ ７ 个 子 兄弟 兴趣 文件夹 的 最多 占 用



２２ ． １ ４ Ｍ Ｂ ４４ ２ ９ Ｍ Ｂ
＊

．
的空间 ， 与 ８ １ ６ 张 ２ ９ ＭＢ
．
照 片 的 大小相 近 

。

４ ３ ３
． ．
加 密 勒 索 应 用 检 测 与 文 件保护



如果 Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 监视 个 已 被 访 问 的 兴 趣 文 件 夹 那 么 它 将根据表 ４ ２ 

中
一
－

１
，

四 条规则 过滤所有 活 动 的 应用 程序 

。

表 ４ －

１ ２  ＫＲ ＰＲＯ ＴＥ Ｃ Ｔ Ｏ Ｒ 良 性应 用 过滤规 则



规则 内容


￣ ￣ ￣

￣￣ ＂ ＂
应 用 程 序 是 否 为 系 统 应 用 程序 。
本 文将 系 统 应 用 程 序 视 为 正 常 应 用 程序 

。

２
应 用 程序 是 否 具 有 写 入 外 部 存 储 的 权 限 。 加 密 勒索应 用 在 没有此权 限 的 情


￣ ￣
况 下 无法更 改或 加 密 ／ｓ ｄ ｃ ａ ｒｄ 中 的 文件 。




应 用 程序 是 否运 行后 台 服 务 ， 或其 接 口 是 否 为 设 备 的 当 前接 口 。 加密行为


￣ ￣ ￣ ￣
必须来 自 活动 进 程 

。

４
应 用 程 序 应 用 的 Ｍ ＭＥ 类 型 是 否 与 被 访 问 兴 趣 文 件 夹 保 护 的 文 件 夹 下 的 文
Ｉ 

件类型 致
一

。




为 了 在无 Ｒ Ｏ ＯＴ 设 备 上识 别 加 密 勒 索 应 用 提出 了 种 基于 可 信值 的 加 密 勒 索


一

应 用 检 测 方法 。
使 用 最 小 正 数 过滤 后 的 应 用 程 序 将 被 视 为 加 密 勒 索 应 用 ， 它 是访 问 兴


趣 文 件夹 的 评 估 启 动 器 可 信值受 应 用 程 序 首 次 安 装 的 时 间 。 、 应 用 程序 最 后 更 新 的 时


间 、 应 用 程序 首 次 激 活 的 时 间 、 应 用 程序最后激活 的 时 间 、 应用 程序显示 的 时间 、


服
务 运 行 的 时 间 和 应 用 程 序 的 大小 这 七 个 因 素 影 响 。 本 节 可 以 从第 ４ ２
．
节 中 了解到 ， 

加
密 勒 索 应 用 通 常 在 激 活 后 立 即 对 文 件进 行 加 密 ， 只 有 少 数加 密勒 索 应 用 将 自 己 视为


普 通 应 用 程序 并 隐 藏起 来 。 它 在 收 到 命 令之 前 不 会 加 密 文件 

。

应用 程序 首次安装 的 时 间 、 应 用 程序最 后更 新 的 时 间 、 应 用 程序 首次激活 的 时 间



和 应 用 程 序 最 后 激 活 的 时 间 与 被访 间 兴 趣 文 件夹 的 时 间 接 近 ， 这对 于 找 到 立 即 加 密


文件 的 加 密勒索 应 用 至 关 重 要 。 应 用 程 序 显 示 和 服 务运 行 所 花 费 的 时 间 对于 找 到 在


收 到 命令之 前 不加 密 文 件 的 加 密勒索 应 用 至 关重要 ，
因 为这些勒索应用 前 台 显示 的


总 时 间 通 常 很 短 但这些勒索应 用 服 务 的 总 运行 时 间 很 长 ，
。 它 对于 非 系 统 应 用 程 序 是


可疑 的 

。

如算法 ４ ． １
所示 ，
ｓ ｕ ｓ Ａｐ ｐ Ｌ ｉ ｓ ｔ 表 示 可 疑 应 用 程序 的 列 表 。 Ｋ 表示 ｓｕｓ Ａｐｐ Ｌ ｉ ｓｔ 中的


应 用 程 序 数量 

。

ｉ ｎ ｓ ｔ ａ ｌ ｌ Ｔｉ ｍ ｅ ｓ ｕ ｓ Ａ ｐｐ Ｌ ｉ ｓ ｔ 表示 应 用 程 序 首 次 安 装 的 时 间 。 ｕｐ ｄ ａｔ ｅ Ｔｉ ｍ ｅ 表示 应 用 程 序


最 后更新 的 时 间 。 ｉｒ ｓ ｔ Ａ ｃｔ
ｆ ｉ ｖ ａｔ ｅ Ｔｉ ｍ ｅ 表示 应 用 程序 首 次激活 的 时 间 。 ｌ ａ ｓ ｔＡ ｃ ｔ
ｉ ｖ ａｔ ｅ Ｔ ｉ ｍ ｅ



表示 应 用 程序最 后激活 的 时 间 。 Ｄ Ｉ Ｓ ＰＬ ＡＹ Ｔ ｉ ｍｅ 表 示 应 用 程序 显 示 所 花 费 的 时 间 。 ｓ ｅｒ


－

４８



第 四章 ＫＲ Ｐ Ｒ Ｏ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ ：

基于 兴趣文 件 夹访 问 感 知 的 勒 索 应 用 实 时 检 测 研究



Ａ ｌ
ｇ ｏ ｒ ｉ ｔｈｍ  ４ １ ． ：
可 信值计 算 算 法 



Ｉｎ
ｐｕｔ ：  ｓ ｕ ｓ ａ ｐｐ ｌ ｉ ｓｔ



１ Ｋ ＝ ｌ ｅ ｎ （ ｓ ｕ ｓ Ａｐｐ Ｌ ｉ ｓ ｔ ） 

；

２ ｓ ｕ ｓ Ａｐ ｐＬ ｉ ｓｔ ０ 

；

３  ｆｏ ｒ  ｉ ＾ Ｏ ｔ ｏ Ｋ  ｄｏ



４  ｉ ｆ  ｉ Ｔ ｉ Ｓ ｉ＾ ｄｌ ｌＴｉ ７ Ｔｉ ｅ ｓ ｕ ｓ Ａ
ｐｐ ＩＡ ｓ ｔ ｉ
〈 Ｋ 只 Ｐ ＥｄＯＲ ｓ ｕｓ Ａｐｐ Ｌ ｉ ｓ ｔ ｉ
［ ］ ［ 

］

５ ｓ ｕ ｓ Ｖａ ｌ ｕ ｅＬ ｉ ｓｔ
［
ｉ
］  ｓ ｕ ｓ Ｖａ ｌ ｕ ｅ Ｌ ｉ ｓ ｔ
［
ｉ
］
＋Ｋ 

；

６ ｅ ｌ ｓ ｅ



７  ｓ ｕ ｓ Ｖａ ｕ ｅ Ｌ ｌ ｉ ｓｔ
［
ｉ
］  ｓｕ ｓ Ｖａ ｌ ｕ ｅＬ ｉ ｓ ｔ
［
ｉ
］
－

 Ｋ 

；

８  ｅ ｎｄ



９  ｉ ｆ ｌｏ ｃａ ｌｔｉｍ ｅ
－

ｕ
ｐ ｄａ ｔ ｅ Ｔ ｍ ｅ ［ ｉ ｉ
］＜ ２ ４ ｈｔｈ ｅ ｎ



１ ０  ｓ ｕ ｓ Ｖａ ｕ ｅ Ｌ ｌ ｉ ｓｔ
［
ｉ
］  ｓ ｕ ｓ Ｖａ ｌ ｕ ｅ Ｌ ｉ ｓｔ
［
ｉ
］
＋Ｋ 

；

１ １ ｅｌｓｅ



１２  ｓ ｕ ｓ Ｖａ ｌ ｕ ｅ Ｌ ｉ ｓ ｔ ［ ｉ ］  ｓ ｕ ｓ Ｖａ ｌ ｕ ｅ Ｌ ｉ ｓ ｔ ［ ｉ
］
－

 Ｋ 

；

１３ ｅｎｄ



１４  ｎ ｄｅ ｘ ｕ  ａ ｓ ｃ ｅｎ ｄ ｎ
ｇ ｏｒ ｄｅ ｒ  ｏｆ ｓ ｕ ｓＡ Ｌ ｉ ｓｔ ｉ ｉ ｎ ｕ ｐ ｄ ａｔ ｅＴｉ ｍ ｅ
ｉ ｉ
ｐｐ

ｐｄａｔ ｅ ［ ］ 

；

ｉｓ  ｓ ｕ ｓ Ｖａ ｌ ｕ ｅ Ｌ ｉ ｓｔ
［
ｉ
］
＾  ｓ ｕ ｓ Ｖａ ｌ ｕ ｅ Ｌ ｉ ｓ ｔ ｆ ｉ
］
＋  ｎ ｄ ｅ ｘ ｕｐ ｄ ａ
ｉ
ｔ ｅ 

＼

１ ６  ｉ ｎ ｄｅ ｘ
ｆｉ ｒ ｓ ｔ ａ ｃｔ 
＜
－

ａｓ ｃ ｅｎ ｄ ｎ ｇ  ｏ ｒ ｄｅ ｒ  ｏ ｆ
ｉ  ｓｕｓ Ａ ｐｐＬ ｉ ｓｔ
［
ｉ
］ 
ｉ ｎ  ｆｉ ｒ ｓ ｔ Ａｃ ｔｉ ｖａｔ ｅ Ｔ ｍ ｅ ｉ


；

１７  ｓ ｕ ｓ Ｖａ ｌ ｕ ｅ Ｌ ｉ ｓｔ
［
ｉ
］  ｓｕ ｓ Ｖａ ｌ ｕ ｅＬ ｉ ｓ ｔ ［ ｉ
］
＋ ｎ ｄ ｅ ｘ
ｆ
ｉ
ｉ Ｔ Ｓ ｔ ａ ｃｔ 

＼

１８  ｉ ｎ ｄｅ ｘ ｉ ａ ｓ ｔ ａｃｔ  ａ ｓ ｃ ｅｎ ｄ ｎ ｇ ｉ

ｏｒ ｄｅｒ  ｏ ｆ  ｓ ｕ ｓ Ａ ｐ ｐ Ｌ ｉ ｓ ｔ ［ ｉ ］  ｉ ｎ  ｌ ａ ｓ ｔ Ａ ｃ ｔ ｉ ｖ ａ ｔ ｅ Ｔｉ ｍ ｅ 

；

１９  ｓ ｕ ｓ Ｖａ ｕ ｅ Ｌ ｌ ｉ ｓｔ
［
ｉ
］  ｓｕｓ Ｖａ ｌ ｕ ｅＬ ｉ ｓ ｔ ［ ｉ ］＋ｉ ｎ ｄ ｅ ｘ ｉ ａｓ ｔ ａｃｔ 

＼

２〇  ｉ ｎ ｄｅ ｘ ｄ ｉ ｓ
ｐ ａｙｉ
ｄ ｅ ｓ ｃ ｅ ｎ ｄ ｉ ｎ ｇ  ｏ ｒ ｄ ｅｒ  ｏ ｆ  ｓ ｕ ｓ Ａ ｐｐ Ｌ ｉ ｓｔ
［
ｉ
］
ｉ ｎｄ ｉ ｓ
ｐ ｌ ａ
ｙ
Ｔ ｍｅ ｉ


；

２１ ｓ ｕ ｓ Ｖａ ｌ ｕ ｅＬ ｉ ｓｔ ｉ
 ｓ ｕ ｓ Ｖａ ｌ ｕ ｅ Ｌ ｉ ｓ ｔ ｆ ｉ ＋ ｉ ｎ ｄ ｅ ｘ ｄ
［ ］ ］ ｓ
ｐ ａｙ


＼
ｉ ｉ

２２  ｉ ｎｄｅｘ ｓｅｒｖ ｉ ｃｅ ｄｅ ｓ ｃ ｅ ｎｄ ｉ ｎ

ｇ  ｏ ｄ ｅｒ  ｏ ｆ
ｒ  ｓｕｓ Ａｐｐ Ｌ ｉ ｓｔ
［
ｉ
］
ｉ ｎ  ｓ ｅ ｒ ｖ ｉ ｃ ｅ Ｔｉ ｍ ｅ 

；

２３  ｓ ｕ ｓ Ｖａ ｕ ｅ Ｌ ｕ ｓ Ｖａ ｌ ｕ ｅ Ｌ ｉ ｓ ｔ ［ ｉ ］  ＋  ｉ ｎ ｄ ｅ ｘ ｓ ｅ ｒ ｖ
■ —

ｌ ｉ ｓｔ ｉ
］
＜ ｓ ｃｅ
ｆ ｉ 

；

２４  ｉ ｎｄｅ ｘ ｓ ｉ ｚｅ  ｄｅ ｓ ｃ ｅ ｎ ｄ ｉ ｎ ｇ  ｏ ｒｄ ｅ ｒ  ｏ ｆ  ｓ ｕ ｓ Ａｐ ｐ Ｌ ｉ ｓｔ
［
ｉ
］
ｉ ｎｓ ｉ ｚｅ 

；

２５ ｓ ｕ ｓ Ｖａ ｌ ｕｅＬ ｉ ｓｔ
ｆ
ｉ
］  ｓ ｕ ｓ Ｖａ ｌ ｕ ｅ Ｌ ｉ ｓ ｔ ｆ ｉ ］  ＋  ｉ ｎ ｄ ｅ ｘ ｓ ｉ ｚｅ 

＼

２６ｅｎ 

ｄ

２７  ｉ ｎ ｄ ｅ Ｘ ｒａ ｉ ｎ ， 
ｓ ｕ ｓ  ｍ ｉ ｎ （ ｓ ｕ ｓ Ｖａ ｌ ｕ ｅ Ｌ ｉ ｓ ｔ ） 

；

２８  ｉ ｆ  ＜ ０  ｔ ｈｅｎ



２ ９  ｒｅ ｔｕ ｒｎ  ｓ ｕ ｓ ＡｐｐＬ ｉ ｓ ｔ
［
ｍ ｄｅ ｘ ｍ ？ ；
ｎ ］ 

；

３〇ｅｎ 

ｄ

４９


北 京 邮 电 大学 工 学 博 士 学 位 论 文 



ｖ ｉ ｃ ｅ Ｔｉ ｍ ｅ 表 示 服 务 运 行 所 花费 的 时 间 。 可 信值 的 具 体 计算 如 下 

。

步骤 为 每 个 可 疑 软件 设 置 〇 为 初 始 可 信值
一

：


；

步骤二 ：

对于 ｓ ｕ ｓ Ａ ｐｐ Ｌ ｉ ｓ ｔ 中 的每个可 疑 应 用 程序 ， 如 果该 应 用 程 序 的 安装 时 间



早于 Ｋ Ｒ Ｐ ＲＯ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ ， 则 该 应 用 程 序 的 可 信值 会 增 加 ｋ ， 否则 会减少 ｋ 

；

步骤 三 ：

对于 ｓｕ ｓ Ａ ｐ ｐＬ ｉ ｓｔ 中 的每个可疑 应用 程 序 ， 如 果该 应 用 程 序在 ２４ 小时内



没 有 更新 ，
则 该 应 用 程序 的 可 信 值 将增 加 ｋ ， 否 则 将减 少 ｋ 

；

步骤 四 ：

对于 ｓ ｕ ｓ Ａ ｐｐ Ｌ ｉ ｓ ｔ 中 的 应 用 程序 ， 根 据安 装 时 间 按 升 序 排 序 。 ｉ
将添 加 到



排序 列 表 中 的 第 个 应 用 程 序 中 例如 点 将 添加 到 排序 列 表 中 的 第 个应用 程序
一

ｉ 。 １
， 

，

Ｋ 将添加 到 排序 列 表 中 的 最 后
一

个 应 用 程序 

；

步骤五 ：

对于 ｓｕ ｓ Ａｐ ｐ Ｌ ｉ ｓｔ
中 的 应用 程序 ， 根 据 更 新 时 间 按 升序 排 序 。 ｉ
将添 加 到


排序 列 表 中 的 第 个 应 用 程 序 中 ｉ 。 例如 ，
１
将 添 加 到 排序 列 表 中 的 第 一

个应用 程序 ，


Ｋ

将添 加 到 排 序 列 表 中 的 最后 个应用 程序
一



；

步骤六 ：
Ｘｆ 于 ｓ ｕ ｓ Ａ ｐ ｐ Ｌｉ ｓ ｔ 中 的 应 用 程序 ，
根据 首 次 激 活 时 间 按 升 序 排 序 。 ｉ
将添


加 到 排序 列 表 中 的 第 ｉ
个应用 程序 中 。 例如 ，
１
将添 加 到 排序列 表 中 的 第 一

个应用 程


序 Ｋ 将添 加 到 排 序 列 表 中 的 最 后 个 应用 程序
一



；
，

步骤七 ：

对于 ｓｕ ｓ Ａｐｐ Ｌ ｉ ｓｔ 中 的应 用 程序 ， 根据最 后 激 活 时 间 按 升 序 排 序 。 ｉ
将添


加 到 排序 列 表 中 的 第 个 应 用 程序 中 例如 将添 加 到 排 序 列 表 中 的 第 个应用 程


一

ｉ 。 １
，

序 Ｋ 将添加 到 排序 列 表 中 的 最 后 个应 用 程 序
一



；
，

步骤八 ：

对于 ｓｕｓ Ａ ｐｐ Ｌ ｉ ｓｔ 中 的 应 用 程序 ， 根据 显示 时 间 按 降 序 排序 。 ｉ
将添 加 到


排 序 列 表 中 的 第 个 应 用 程序 中 例如 将 添 加 到 排序 列 表 中 的 第 个应用 程序 

Ｋ
一

ｉ 。 １
， ，

将添 加 到 排序 列 表 中 的 最 后 个应用 程序
一



；

步骤九 ：

对于 ｓ ｕ ｓ Ａ ｐｐ Ｌ ｉ ｓ ｔ 中 的 应 用 程序 ， 根 据 服务 时 间 按 降 序 排 序 。 ｉ
将添加 到



排序 列 表 中 的 第 个 应 用 程序 中 例如 将添 加 到 排 序 列 表 中 的 第 个应 用 程序 

Ｋ
一

ｉ 。 １
， ，

将添加 到 排序列 表 中 的 最 后 个应用 程序

一



；

步骤 十 ：

对于 Ｓ ｕＡ ｐ ｐ Ｕ ｓ ｔ 中 的 应 用 程序 ，
根 据 大 小按 降 序排序 。 ｉ
将添加 到 排序 列


表 中 的 第 个应用 程序 中 例如 将添加 到 排序列 表 中 的 第 个应用 程序 Ｋ 个将


一

ｉ 。 １
， ，

添加 到 排 序 列 表 中 的 最 后
一

个 应 用 程序 

；

步骤十 如 果 可 信值 中 的 最 小 值 小于 ０ 则 相 应 的 应 用 程 序 将 被视 为 加 密 勒 索


一

应用 

。

可 信值 计 算算 法 的 时 间 复 杂 度 为 ｏ （
ｎ ｌ
） 。 ｎｌ 表示 Ｓ ｕＡ
ｐｐ ｌ ｉ ｓ ｔ 的 长度 。 通常 ，
ｓｕｓ Ａｐ 

－

ｐＬｉ ｓ
ｔ
中 的项 目 不 超过 ５ 项 ，
ｎ ｌ
的 值通 常不 超过 ５ 项 。 兴 趣 文 件 夹 部署 的 时 间 复 杂 度


为 ０ （
ｎ２） ，
因 为它可 以看 作是
一

个 简 单 的 树 遍历 。 ｉｉ ２ 表示 ／ｓ ｄｃ ａｒｄ 中 的 文 件 夹数 。 也就


是说 ，
兴 趣 文 件 夹 部署 在九 个 文 件 夹 中 ，
包括 ／ Ａ ｌ ａｒ ｍｓ 、 ／ Ｄ Ｃ ＩＭ 、 ／ Ｄ ｏｗ ｎ ｌ ｏａｄ 、 ／ Ｍｕｓ ｉ ｃ 

、

Ｍｏｖ Ｎｏ ／ Ｐ ｏ ｄｃ ａ ｓ ｔ Ｐｉ ｃ ｔ ｕ ｒ ｅ  和 Ｒ 通常 在 ｄｃ ａ ｒｄ  中 个 文件夹不


一

／ ｉ ｅｓ 、 ／ ｔｉ ｆ 、 、 ／ ／ ｉ ｎ ｇｔ ｏ ｎ ｅ 。
，
／ｓ
，

超过 ３ 个 叶文 件夹 。 也 就是 说 ，
ｎ２ 的 值 通 常 不 超过 ２７ 。 Ｋ Ｒ Ｐ ＲＯＴＥＣ Ｔ Ｏ Ｒ 的 时 间 复杂



５０



第四章 ＫＲ Ｐ ＲＯ Ｔ Ｅ Ｃ Ｔ ＯＲ ：
基 于 兴趣 文 件 夹访 问 感知 的勒索 应 用 实 时检 测 研究



度为 〇〇 １
） 

。

４ ４ ．


实 验评估

本节将对 Ｋ Ｒ Ｐ ＲＯ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ 进行 一

些评估 。
首先 ， 本 节将设计 四 个 实 验来 评估


ＫＲ Ｐ Ｒ ＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 。 对于每 个实验 ，
本 节将在开 始 时 简 要 介 绍 数据集 和 初 始 实 验环境 

。

然 后碰
一

些 实 验 并做 一

个 简 要 的 总 结 其次 将 证 明 本 节提 出 的 方法 不 仅 可 以 在安

 。
，

卓上实现 ，
而且 Ｋ Ｒ Ｐ ＲＯ
ＴＥ Ｃ ＴＯ Ｒ 釆 用 的 基 于 兴 趣 文 件 夹 访 问 感 知 方法 也 能 够 应 用 于


更 多 平 台 的 设备 

。

４４ ． １
实 验数 据



数 据集 可 以 用 Ｄ 表示 。 如 公式 ４ －

１ 、 ４ ２ －

、 ４ ３ Ｄ
－

， 包含三 个 子 集 功 、 认 和 功 。


从
包含 Ａ ｕｄ ｆ
ｙ ｉ 、 Ｆｉ ｌ ｅｍ ａｎ ａｇ ｅ ｒ ＋ 、 Ｓ ｎ ａｐ ｓ ｅ ｅｄ 和 网 易 云音 乐 。 Ｄ １
中 的 正 常 应 用 程序 都 具 有 扫


描文件 的 功 能 ， 这 些 文 件 可 能 会 访 问 设 备上 的 兴 趣 文 件 夹 ， 并使 Ｋ Ｒ Ｐ Ｒ ＯＴ Ｅ Ｃ Ｔ ＯＲ 

将
其误判 为 勒 索 应 用 

。

Ｄ ＝
｛
Ｄ ； ｌ ， 
Ｄ ２ Ｄ ３ ｝ ，  （
４ －

１


）

Ｄ ｉ 
＝
｛
Ｆｉ ｌ ｅ ｍ ａ ｎ ａｇ ｅ ｒ ＋  Ｓ ｎ ａｐ ｓ ｅ ｅ ｄ

，
，
Ａｕｄ ｆ
ｙ Ｎｅ Ｅ ａ ｓ ｅ Ｃ ｉ
， 
ｔ  ｌ ｏｕ ｄ  Ｍｕ ｓ ｉ ｃ
｝  （
４ －

２）



Ｄ ２ ＝
｛
Ｓ ｉ ｍ ｐ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ ， 
Ｃ ｏ ｎｇ ｕ ｒ Ｗａ ｎｎ ａ Ｌ ｏ ｃ ｋ ｅｒ Ｘ ｂ ｏ ｔ Ｄ ｏ ｕｂ
，  ，  ， 
ｌ ｅＬ ｏ ｃｋｅｒ ， 
Ｐ ｌ ｅ ｔｏ ｒ  ｝  （
４ －

３）



？
Ａ 包含五 种勒索 应 用 包括 种勒索 应 用
７５］
Ｓｉｍ Ｌ ｃ ｋｅｒ
ｐ ｅ ｏ 中的 ２ Ｃ ｏｎ ｇ ｕ ｒ 

中
［
ｌ １ 、
，

Ｗ ｍ
的 ４９ 种勒索应用 、 Ｗａ ｘ ｍａ ｌ ｏ ｋｅ ｒ 中的 ３ 种勒索应用 、 Ｘｂ ｏ ｔ 中的 ６ 种勒索 应 用 

、

＾
种 勒索 应 用 和 种勒 索 应 用 这些 勒 索 应 用
７８］
Ｄ ｏ ｕｂ ｌｅ Ｌ ｏ ｃ ｋｅ ｒ ］

中的 １ ３ Ｐｌ ｅ ｔ ｏｒ ［

中的 ２ 。


使 用 不 同 的 加 密 模 式 和 方法 对 文 件 进行 加 密 。 Ｓ ｉｍ
ｐ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ 中 包含的勒索应用 与 加 密


数据读 取 创 建 数据 加 密 数 据 重 写 原 数 据 删 除
“ ”
ＡＰ Ｉ 起加 密 文 件 加 密模式 为
—
－ － －
－



。
，

加 密模式 为
“
Ｃ ｏ ｎ ｇ ｕｒ 使用 加密 ＡＰＩ 逐个 加 密 文 件 ， 数据读 取 创 建 数 据 加 密 数 据 重

 －
－ －

” “
写 原 数据 删 除 Ｗａ ｎ ｎ ａ Ｌ ｏ ｃ ｋ ｅ ｒ 加 密 文件 与 加 密 ＡＰ Ｉ 起使 用 加 密模 式 为 数据读


—
－

。
，

取 数据 加 密 新 建 写 人 重 命名 删 除
－ － － － －

。 Ｘｂ ｏ ｔ
使 用 定 制 的 方 法 对 文 件进 行 加 密 ， 加密


数 据 读 取 原 数 据 删 除 数据 加 密 创 建 数 据 重 写
“ ”
模式为 － － － －



。

Ｄ３ 包含 １ ２ 个具 有 检 测 逃逸 策 略 的 加 密 勒 索 应 用 。
有 ５ 个勒 索 应 用 具有加 固 或


混淆策略 这可 能 会使 些 检 测 引 擎 将勒 索 应 用 误 判 为 正 常 应 用 根据 提出
７ ９］
Ｚ ｙａ ［



一

。 ｉ
，

的 三 种 策 略 本 节 开 发 了 其 余 的 加 密勒 索 应 用 ， ， 并 使 用 相 应 的 方 法避免访 问 兴趣 文 件


夹 以 逃避 检 测 。 ２ 个勒 索 应 用 只 加 密 除 隐 藏 文 件 、 空 文件和 不 规则 文件 以 外 的 文件 

。

３ 个 加 密 勒 索 应 用 在访 问 文 件 之 前 ，
可 以 根据 文 件 类 型统 计 文 件数量 。
如 果 结 果 存在


显 著差异 ， 则 说 明 存 在 防 护 应 用 部署 的 兴 趣 文 件 夹 ， 勒索 应 用 可 以 改变 其访 问 文件 的



５ 

１
北 京 邮 电 大学 工学 博 士 学 位 论 文 



策略 。 ２ 个勒 索 应 用 可 以 监视 用 户 的 活动 ， 以 获取 实 际 文 件 的 列 表 并 对其 进行 加 密 

。

４ ４ ２
． ．
评 价指 标



为 了 更 好地 评 价 Ｋ Ｒ Ｐ Ｒ ＯＴＥ Ｃ Ｔ Ｏ Ｒ ， 使结果 更 清 晰 ， 本节计 算 了 

Ｋ ＲＰ Ｒ ＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ



的 准确度 、
精度和 召 回 率 。
如公式 ４ ４
－

所示 ， 准 确 率表 示 ＫＲ Ｐ Ｒ Ｏ ＴＥ Ｃ Ｔ Ｏ Ｒ 识别 出 的


正 确 勒 索 应 用 和 正 常 应 用 程序 的 总 数 除 以 数 据集 的 数 量 

。

１
） ＴＰ
：

真 阳性 。 ＴＰ 表示 Ｋ Ｒ ＰＲ ＯＴ Ｅ Ｃ ＴＯ Ｒ 检测 到 应 用 程序 是勒 索应 用 ， 结果 是


正确 的 

。

２ ）  ＦＰ ：

假阳性 。 ＦＰ 表示 Ｋ Ｒ Ｐ ＲＯ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ 检 测 到 应 用 程 序 是勒 索 应 用 ， 结果不


正确 

。

３
）  ＦＮ
：

假阴性 。 ＦＮ 表示 ＫＲ Ｐ ＲＯ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ 检 测 到 应 用 程 序 不 是勒 索 应 用 ， 结果


不正确 

。

４ ） ＴＮ
：

真阴性 。 ＴＮ 表示 ＫＲ ＰＲ ＯＴＥ Ｃ Ｔ Ｏ Ｒ 检 测 到 应 用 程 序 不 是勒 索 应 用 ， 结果


是正确 的 

。

＋ ＴＮ
ＴＰ  
 ｍ＆


４
ａ ｃ ｃ ｕ ｒ ａｃ ｙ 
 ４
＿

＿
－

（ 

）

Ｔ ｐ ＋ Ｔ Ｎ ＋ Ｆ Ｐ ＋ Ｆ Ｎ
     

本节 以 Ｋ Ｒ Ｐ ＲＯ Ｔ Ｅ ＣＴ Ｏ Ｒ 监控到 一

个 兴 趣 文 件夹 访 问 的 时 刻 为 开 始 时 间 ， 定义 了



六 个概念 来 评估 Ｋ Ｒ Ｐ Ｒ ＯＴＥ Ｃ Ｔ Ｏ Ｒ 的效率 ，

过滤 时 间 、
获取 时 间 、 跟踪时 间 、
警告 时


间 勒 索应用 访 问 第 个文件 的 时 间 以 及勒 索 应 用 加 密 第 个 文件 的 时 间
一 一

、 

。

１
） 过滤 时 间 。
过滤 时 间 是 指 从 开 始 时 间 到 过 滤 正 常 应 用 程 序 所 花 费 的 时 间 

。

２ ） 获取 时 间 。 获取 时 间 是 指 从 开 始 时 间 到 获 取 所有 可 疑 应 用 程 序 的 信 息 所 花 费


的 时间 

。

３
） 跟踪时间 。 跟 踪 时 间 是 指 从开 始 时 间 到 基 于 可 信 值 检 测 勒索 应 用 所 花费 的 时


间 

。

４ ） 警告 时 间 。 警 告 时 间 是 指 从 开 始 时 间 到 显 示 警告 所 花费 的 时 间 

。

第 次访 问 文件 访问第 个文件 的 时间 是指第 个 文 件勒 索 应 用 访 问 的 所



一

５
一 一

。
）

需的 时间 

。

６ 第 次加 密文件 加 密第 个 文件 的 时间 意 味着第 个 文 件 被勒 索 应 用 加 密


一 一 一

。
）

的 所需 的 时 间 

。

４ ４ ３
． ．
实 验分 析



实 验选 取 的 测 试 设 备 为 未 被 Ｒ ＯＯ Ｔ 的 安卓 ７ ． １
的 Ｐｉ ｘ ｅ ｌ 移动 设备 测 试设备 的 配


置为 Ｃ ＰＵ  ２ ． １ ５ ＧＨ ｚ 、 ４ Ｇ Ｂ  Ｒ ＡＭ 和 ３２ Ｇ Ｂ  ＲＯ Ｍ 。
为 了 模 拟 用 户 正 常 的 设 备环境 ， 

在
Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ ＴＯ Ｒ 安装 之 前 ， 本 节 在 该 测 试设备 的 ／ｓ ｄ ｃ ａ ｒ ｄ ／ｍｕ ｓ ｉ ｃ 中 保存 了  １ ０ 个音 乐 文



５２



第四章 ＫＲＰ ＲＯ
Ｔ Ｅ Ｃ Ｔ ＯＲ ：

基 于 兴 趣 文 件 夹 访 问 感 知 的 勒 索 应 用 实 时 检 测 研究



件 （
． ｍｐ ３ 、 ． ｌ ａｃ
ｆ 格式 ）
；
在 ／ｓ ｄ ｃ ａｒｄ／Ｄ Ｃ Ｊ Ｍ  中 保存 了  １ ０ 张照 片 （
．

ｊ ｐｇ 、 ．

ｐ ｎｇ 、 ．

ｇｉ ｆ  格式 ）


；

在 ／ｓ ｄｃ ａｒｄ／Ｄ ｏ ｗ ｎｌ ｏ ａｄ  中 保存 了  １ ０ 个文档 （
． ｔ ｘｔ 、 ． ｄ ｏｃ ｘ 、 ． ｘｌ ｓ ｘ 、 ．

ｐ ｄｆ  格式 ）
。 环境 设 置 完


毕后 ， 激活 了 
Ｋ Ｒ Ｐ ＲＯＴＥ Ｃ Ｔ Ｏ Ｒ 

。

为 了 更 好地 评 估 Ｋ Ｒ Ｐ Ｒ ＯＴＥ Ｃ Ｔ Ｏ Ｒ ， 本节 将 回 答 四 个 问 题 。 对于每 个 问 题 ， 将描


述 实 验 的 过程 和 结 果 。 然 后 将对 结 果 进行
一

些分析 。 最后 ， 本节将 根 据结 果 给 出 一



个
简短 的 结论 

。

问题 １ ：
 Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 会 影 响其 他 良性应用 的 运行吗 

？

问题 ２ ：
 Ｋ Ｒ Ｐ Ｒ ＯＴＥ Ｃ Ｔ Ｏ Ｒ 的 检 测 效 果 如 何 ？
问题 ３ ：
 Ｋ Ｒ Ｐ Ｒ ＯＴＥ Ｃ Ｔ Ｏ Ｒ 能否 起 到 对 文 件 的 保 护 作 用 

？

问题 ４ ：
 Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 釆 用 的 基于 兴趣 文件 夹访 问 感知 方法 能否 应 用 于 更 多


平 台 的 设备 

？

４ ４ ３ １
． ． ．
回答 １ ：
 ＫＲ Ｐ ＲＯ ＴＥ Ｃ Ｔ Ｏ Ｒ 会 影响 其 他 良 性 应 用 的 运 行 吗 

？

在本 实 验 中 ， 本节使 用 中 的 应 用 程 序 作 为 数 据集 。
为 了 避 免这 些 应 用 程 序 之


间 的相互作用 ， 在激活 新 的 应 用 程 序 之 前 结 束 了 前 一

个过程 。 在 这 些 被激 活 后 ， 

研
究 人 员 触 发 了 每 个 应 用 程序 的 文件扫 描功 能 。 本节发现 Ｋ Ｒ Ｐ Ｒ Ｏ ＴＥ Ｃ Ｔ Ｏ Ｒ 并 没有将


Ａ ｕｄ ｆ
ｙ ｉ 、 Ｆ ｉ ｌ ｅｍ ａｎ ａｇ ｅｒ ＋ 、 Ｓ ｎ ａｐ ｓ ｅ ｅｄ 和 网 易 云 音 乐 误判 为 勒 索 应 用 

。

Ｆｉ ｌ ｅ ｍ ａｎ ａｇｅｒ＋ 和 Ａｕｄ ｉ
ｙ 在被 激 活 时 遍 历
ｆ ，
／ｓ ｄｃ ａｒ ｄ 并访 问 兴趣文件夹 ／ｓ ｄ ｃ ａ ｒ ｄ ／Ａ ｌ ａｒ ｍ ｓ Ａ ｌ ａ



和 ／ｓ ｉ Ｏ Ｓ ｃ ａｊ
ｄ ｃ ａｒ ｄ ／ Ｄ ｏ ｗ ｎ ｌ ｏ ａｄ ／ Ｆ ｉ ｌ ｅ ｓ ／ ｉ Ｏ Ｓ ｄ ｅ ｔ ｅ ｃ ｔ ．
。
被访 问 文 件 夹 中 的 文 件 类 型 与 他 们 已 经 声


明 的 Ｍ Ｍ Ｅ 文 件类 型 致 它满足 Ｋ Ｒ Ｐ ＲＯ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ 的 正 常 的 应 用 程 序 过 滤 条件 

并
一

Ｉ 。
，

且 这 两 个 应 用 程 序 没 有被 误判 为 勒 索 应 用 。 Ｓ ｎ ａｐ ｓ ｅ ｅ ｄ 通过使用 ｃ ｏ ｎ ｔ ｅ ｎｔ Ｒｅｓ ｏ ｌ ｖ ｅｒ ．

Ｑ ｕ ｅ ｒｙ （）



方 法 查 询 数据 库 而 不 是访 问 兴趣 文 件 夹 获 取 照 片 列 表 。 网 易 云 音 乐 通 过遍 历 ／ｓ ｄ ｃ ａｒ ｄ



和 访 问 兴 趣 文 件 夹 获 得 本地 音 乐 列 表 。 然而 ，
网 易 云 音 乐 的 可 信值很 高 ， 并 没有 被 误


判为勒索 应用 

。

些正 常 应 用 程序在扫 描 ／ｓ ｄ ｃ ａ ｒ ｄ 中 的 文 件 时可能会访 问 兴趣文 件夹 Ｋ Ｒ Ｐ ＲＯ

一


？

ＴＥ Ｃ Ｔ Ｏ Ｒ  不 会 将 这 些 正 常 应 用 程 序误 判 为 勒索 应 用 在 某 种 程 度 上  。
， 
Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ



在 激活 后 不 会 影 响 其 他 应 用 程 序 

。

４ ． ４３ ． ２ 回答 ２ ：  ＫＲ Ｐ ＲＯ ＴＥ Ｃ Ｔ Ｏ Ｒ 的 检测 效 果 如 何 

？

为 了 回 答这 个 问 题 本节 将 设计 个实验 将 ＫＲ Ｐ ＲＯ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ 与 其他面 向勒索



一

， ，

应 用 的 检 测 引 擎进 行 比 较 ， 如 Ｒ Ｐ ａ ｃｋＤ ｒｏ
－

ｉ ｄ 、 Ｒ ａｎ ｓ ｏ ｍ Ｐｒ ｏｂ ｅｒ 和 参 考文献 ＿ 等 。 本节将


评估 Ｋ Ｒ Ｐ ＲＯＴＥ Ｃ Ｔ Ｏ Ｒ 是否 能 够识 别 比其他检测 弓 擎更 多 的 加 密勒索 应 用 丨 ，
Ｋ Ｒ Ｐ ＲＯ 

？

ＴＥ Ｃ Ｔ Ｏ Ｒ  是否 能够 使 用 检测 逃逸策略识 别勒索 应 用 ， 并 详 细 分 析本 节 提 出 工 作 的 优


越性 

。

在本实验 中 ， 数据集 包 含 认 和 巧 。
如 ４ ４ ． ． １
所述 ， 认 包含五 种 不 同 类 型 的 加 密



５３


北 京 邮 电 大 学 工 学博 士学 位 论 文 



表 ‘ １ ３ Ｋ Ｒ Ｐ ＲＯ ＴＥ ＣＴＯ Ｒ 与 其他 加 密 勒 索 应 用 检测 引 擎 的 实验对 比 结 果



Ｓｉ ｍ ｐ ｌｅ Ｌ ｏ ｃ ｋ ｅ ｒ  Ｃ ｏｎ ｇ ｕ ｒ Ｗａｎｎ ａ ｌ ｏ ｋ ｅ ｒ  Ｘ Ｂ ｏ ｔ  Ｄ ｏｕ ｂ ｌｅ ｌ ｅｔｏ ｒ  Ｄ ３  准 确 率
Ｌｏ ｃ ｋｅ ｆ ｉ



ｔ ｅ ｃ ｔ ｏ ｒ  １ ００ ％  ９ ３ ９ ％  １ ０ ０ ％  ８ ３
ｋ ｒ ｐ ｒｏ ． ． ３ ％ １ ００ ％  １ ００ ％  １ ００ ％  ９ ６ ２ ％

 ．

９０ ％ ８ １ ６ ％  ６６ ７ ％  ６６ ％ ４ ％  １ ００ ％  ８ ３ ３ ％  ７ ４ ５ 

％
１９

Ｒａ ｎ ｓｏｍＰ ｒ ５ ７ ５
１ １

ｏｂ ｅ ｒ ． ． ．
． １ ． ． ．

文献 ［
８ ０］  １ ００ ％  ５ １ ． ０ ％  ６ ６ ７ ％  ５ ０ ０ ％  ９ ２ ３ ％  １ ００ ％  ５ ０ ０ ％  ６ ７ ０ ％
． ． 
 ． ． ．

Ｒ Ｐａ ｃ ｋ Ｄ ｒ
－
ｏ ｉ ｄ
＾
 １ ０ ０ ％  ２ ６ ５ ％  ０  ０  １ ００ ％  １ ００ ％  ５ ０ ０ ％  ５
． ． １ ． ９％



 ８５ ７ ％ ３ ２ ７ ％ ３ ３ ３ ％ ５ ０ ０％  ６９ ２ ％  ５ ０ ０ ％  ５ ０ ０ ％ ５ ０ ９ 

％
２８
Ｈｅ Ｄ ｒ ｏ
１

ｄ
１

ｉ ｉ ． ． ． ． ． ． ． ．

％２２ ４ ％  １ ００ ％  １ ０ ０ ％  ２ ３ ％  ０
Ｍ
ＲＷ Ｇ ｕ ａ ｎ ５７ ６ ７ ％ ３ ４ ９ 

％
（ １

ｉ ． １ ． ． １ １ ． ．

勒索 应 用 ， 将 用 于 评估 勒 索 应 用 检 测 引 擎 的 检 测 效 果 。 包 含 具 有 不 同 逃逸 策 略 的


加 密勒索 应用 ， 它 将 用 于 评 估检 测 引 擎 是 否 能够 识 别 具 有 逃 逸 策 略 的 加 密 勒 索 应 用 

。

本 节将 通 过
一

个 实验 来 回 答 这 个 问 题 。 它 将评 估 ｋｒ ｐ ｒｏｔ ｅ ｃ ｔ ｏ ｒ 是 否 比 其 他最


先 进 的 检 测 引 擎识 别 更 多 的 加 密 勒 索 应 用 ， 以 及 ｋ ｒ ｐ ｒ ｏｔ ｅ ｃ ｔｏｒ 是 否 能 够 使 用 检 测


逃逸 策 略识 别 勒 索 应 用 。 在本 实 验 中 ， 本节 使 用 １？ ２ 和 ＾３ 作 为 数 据集 。
为 了 避 免勒


索应用 之 间 的 相 互作用 ， 在安 装 新勒 索 应 用 之 前 ， 研究 人 员 卸 载 了 以 前 的 勒 索 应 用 

。

本节还 使用 了 些 最 先 进 的 勒 索 应 用 检 测 引 擎进行 比 较 例如 Ｒ Ｐ ａｃ ｋ Ｄ ｒ〇 勒索


２ ３］
ｄ
一
－
［
ｉ 、
，

检测 引 擎 和 等 人提 出 的 方 法


９］
Ｗａ ｎ ｇ
１
［

如表 ４ －

１ ３ 所示 ，
Ｋ Ｒ Ｐ ＲＯ ＴＥ Ｃ Ｔ Ｏ Ｒ 成功 识 别 了 数据 集 中 的 ９０ 个 加 密勒 索 应 用 ， 

准
确率为 ９６ ２ ． ％ 。 ＫＲ Ｐ ＲＯ
Ｔ ＥＣ ＴＯ Ｒ 可 以 识 别 比 其 他 检 测 引 擎 更 多 的 加 密勒 索 应 用 

。

分析 本 节进 步 分 析 了 被 其 他 检 测 引 擎 误判 的 勒 索 应 用 研究 发 现 被 Ｈｅ
一

１


－

：
。 ｌ
，

Ｄ ｒｏ ｉ ｄ 、 Ｒ －

Ｐ ａｃ ｋ Ｄ ｒ ｏ ｄ ｉ
和 Ｗａ ｎ ｇ 等 人提 出 的 方法 ＾ 误判 的 加 密勒 索应 用 主要集 中 在


Ｃ ｏ ｎ ｇ ｕｒ 。 当 研究 人 员 在 Ｃ ｏ ｎ ｇｕ ｒ 中 对 这 些 勒 索 应 用 进 行静 态 分析 时 ， 

发 现这 些 勒 索应
用 与 正 常 应 用 程序 之 间 没 有 区 别 。
这 些 勒 索 应 用 被激 活 后 将 加 载 与 勒 索行 为 相 关 的

 ，

代码 。 尽 管检 测 引 擎 Ｈｅ Ｄ ｒ ｏｉ ｉ ｄ 、 Ｒ Ｐ ａｃ ｋ Ｄ ｒ ｏ
－

ｉ ｄ 和 Ｗａ ｎ ｇ 等 人提 出 的 方 法 ？ 使 用 了 不 同



的 特 征 提 取 和 特 征 处 理 方法 ， 但 它 们 都 是 通 过 静 态 数 据 处 理 的 方 法 来 检 测 加 密 勒索


应用 ， 这 仅 限于 检 测 Ｃ ｏ ｎｇ ｕｒ 等勒索应用 的 行为 

。

ＲＷＧ ｕ ａ ｒｄ 误判 的 加 密 勒 索 应 用 主 要 集 中 在 Ｃ ｏｎ ｇ ｕ ｒ 、 Ｄ ｏ ｕｂ ｌ ｅ Ｌ ｏ ｃ ｋｅｒ 、 Ｓ ｉ ｍ ｐ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ



和 ￡ ＞

３ 。 实验 发 现 Ｃ ｏ ｎｇｕｒ 、 Ｄ ｏ ｕｂ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ 和 Ｓ ｉ ｍ ｐ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ 中 误判 的 勒 索 应用 没 有 加 密


原 始 文件 。 当 勒索应用 找到 目 标 文件 时 ， 它 将复 制
一

个新 文 件 ， 加 密 新文件 ， 删 除原


始 文件并删除加密文件 。 ＲＷ Ｇ ｕ ａｒｄ 使 用 诱 饵 来 监 控 写 人 过程 ， 即 它 可 以 识 别 出 其加


密模式 是 加 密 原始 文 件 ，
而 不 是 加 密复 制 文 件 并 删 除 原 始 文件 的 勒 索 应 用 。
在 

中

误 判 的 勒索 应 用 不 仅 可 以 避免 访 问 或 加 密 不 规 则 文 件 如 隐 藏 文 件 和 空 文 件 还 可 以

 ， ，

借 助 统 计方 法 和 用 户 监 控 活 动 识 别 防 护 应 用 部署 的 兴 趣 文 件 文 件 夹 ／
， 获得 实 际 文 件



５４



第 四章 Ｋ Ｒ Ｐ ＲＯ ＴＥ Ｃ Ｔ
ＯＲ ：

基 于 兴 趣 文 件夹 访 问 感 知 的 勒 索 应 用 实 时 检 测 研究



列表 。
被 Ｒ ａ ｎ ｓ ｏ ｍ Ｐｒ ｏ ｂ ｅ ｒ 误 判 的 加 密勒 索 应 用 主 要 集 中 在 Ｄ ｏｕｂ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ 中 。 实验发 现


Ｄ ｏｕｂ ｌ ｅ Ｌ ｏ ｃ ｋｅｒ 中 误判 的 勒 索 应 用 不 会 加 密 整 个 文 件 。 它 只 加 密不超过 １ ０ ２４ 字节 的 文


件 并 且 原 始 文件 和 加 密 文件之 间 的 熵可 能 很 少 变 化
，
。 Ｒ ａ ｎ ｓ ｏ ｍ Ｐｒｏ ｂ ｅ ｒ 根 据熵 的 变 化 检


测 加 密勒 索 应 用 其 中 熵 仅 限 于 检 测 勒 索 应 用 加 密 文 件 的 小部分 如 Ｄ ｏｕ ｂ ｅ Ｌ ｏ ｃ ｋｅ ｒ
一

ｌ 

。
， ，

实验发现 Ｋ Ｒ Ｐ ＲＯ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ 在 当 前 工 作 中 具有 定 的 优势 Ｋ Ｒ Ｐ Ｒ ＯＴＥ Ｃ Ｔ Ｏ Ｒ 

在
一

加 密 文 件之 前 和 激活之 后检 测 加 密软 件 。 此外 ，
Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 根据应用 对兴趣文


件 夹 的 操纵信息 识 别 加 密勒索 应 用 。 与 静 态 分 析 检 测 引 擎 或 基 于 文 件熵 的 检 测 引 擎


相比 ，
Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 能够识 别 使用 混淆 、 隐写 和动态加 载 恶 意 代 码 等手段 的勒索


应用 。 ＫＲ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 还 可 以 识 别 利 用 对 文 件 部分 加 密 ，
进行 文 件 熵敏 感 检 测 逃逸


手 段进行检 测 逃 逸 的 勒 索 应 用 

。

？
分析 ２ ：
Ｚ ｉ
ｙａ 提出 了 一

些 关 于 加 密 勒 索 应 用 如 何 逃 避检 测 以 及 勒 索 应 用 如 何


避免访 问 诱饵 的 方法 检 测 逃 逸 策 略包括 勒 索 应 用 是 否 将 所有 文 件 起 加 密 或 逐个


一

加密 ， 勒 索 应 用 是否 通过加 密 ＡＰＩ 或 伪 装 的 加 密 方 法 对 文 件 进行 加 密 ， 加 密模 式 会


影 响 加 密勒 索 应 用 的 检 测 结 果 

。

些 访 问 规避 策 略 包 括避免访 问 隐 藏 文 件 和 空 文 件 等 不 规 则 文 件 ， 在加 密勒索


应 用 访 问 文 件之 前 根据 文件类 型统 计 文件数量 ， 并监控 用 户 的 活动 以 获得实 际 文件


列表 

。

在本实验 中 ， 研究 人 员 发 现 Ｃ ｏ ｎｇ ｕｒ 中 包含 的勒 索应 用 对 Ｄ ２ 中 加 密 文 件逐个加


密 Ｓ ｉ ｍｐ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ Ｗａｎｎ ａ ｏ ｋｅｒ Ｘｂ ｏｔ 中 包 含 的 勒 索 应 用 对 ￡ 中 所 有 文件 起加 密
一

＞
ｌ
，
、 、
２ 

。

在某 种 程 度 上 勒索 应 用 是 将 所 有 文 件 起加 密 还 是 逐个 加 密 都不 会 影 响 ＫＲＰ ＲＯ
一


－

， ，

Ｔ Ｅ ＣＴ Ｏ Ｒ 检测 加 密行为 

。

实验发现 ，
Ｘｂ ｏ 中 包 含 的 勒 索 应 用 在 Ｄ ２
ｔ
加 密 文件 中 釆 用 了 定 制 的 加 密方 法 ，


而
Ｃ ｏ ｎ ｇｕｒ 、 Ｓ ｉ ｍｐ ｌ ｅ Ｌ ｏ ｃ ｋｅｒ 、 Ｗａ ｎｎ ａ ｌ ｏ ｋ ｅｒ 包含 的勒索 应用 在 ＿ ０２ 加 密 文件 中 采 用 了 加 密 Ａ Ｐ Ｉ

方法 。
在 某 种 程度 上 ， 勒 索 应 用 是否 使 用 加 密 ＡＰ Ｉ 或 定 制 加 密 方法对 文 件 进行 加 密 

，

都不影 响 Ｋ Ｒ ＰＲＯＴＥ Ｃ Ｔ Ｏ Ｒ 检 测 加 密行 为 

。

读取 加 密 创
“

实验发现 ，
Ｗａ ｒ ｍ ａ Ｌ ｏ ｃ ｋｅ ｒ 包含的勒索应 用 对 Ｄ２ 加 密文件 中 釆 用 
 －
－

”
包含 的勒 索 应用 在 Ｐ 加 密 文件 中 采用
“
建 重 命名 删 除
－ －

模式 ；
Ｘｂ ｏ ｔ
２ 读取 删 除 加

 － －

”
密 创建－

模式 ；
在 Ｃ ｏ ｎ ｇ ｕｒ 、 Ｓ ｉ ｍ ｐ ｌ ｅ Ｌ ｏ ｃｋ ｅ ｒ 中 包 含 的 勒 索 应 用 在 Ｄ２ 加密文件 中 釆


”
勒 索 应 用 的 加 密方式 不 影 响
“
用 读取 创 建 加 密 写 入 删 除 模式 在 定程 度 上 

一
－ －
－ －

。 ，

Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 检测 加 密行为 

。

Ａ 中 的勒 索 应 用 可 以 通 过 文 件 类 型统计 、
用 户 文 件访 问 监 控 和 对 典 型 文 件类 型


的 访 问 限 制 来 识 别 诱饵 文 件 。 在某 种 程 度 上 勒 索 应 用 的 访 问 限 制 策 略避免 了 对 诱 饵
， 

文件 的访 问 ，
但并不影 响 Ｋ Ｒ Ｐ ＲＯＴＥ Ｃ Ｔ Ｏ Ｒ 检 测 加 密行 为 

。

通 过 与 其 他 实 时 加 密软 件 检 测 引 擎 相 比 ， 研究 人 员 发 现 Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 可 以通


过 检 测 逃逸策 略 识 别 更 多 的 加 密 勒 索 应 用 。 考 虑到 勒 索 应 用 必 须在开 始 加 密之 前 搜



５５


北 京 邮 电 大学 工 学 博 士 学 位 论 文 



索 目 标文件 ，
Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 将 空 文 件 夹 作 为 加 密勒 索 应 用 的 兴趣访 问 实 体 ， 而不


是将 空 文 件 或 隐 藏 文 件 作 为 实 体 ， 以 确 保 可 以 触 发勒索 应 用 对兴趣文件夹 的 访 问 

。

综上 ，
ＫＲ Ｐ Ｒ ＯＴ ＥＣ Ｔ Ｏ Ｒ 不 仅 通 过 静 态 分析 关 注 权 限 和 ＡＰ Ｉ
调用 ， 还通 过 兴趣 文


件 夹 关 注 操 作过程 中 的 服 务 更 改 、 文件 访 问 等 。 此外 ，
Ｋ Ｒ Ｐ ＲＯ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ 将 空 文 件夹


作 为 兴 趣文 件 夹 的 实 体 并 能 够 检 测 出 使 用 了 诱 饵 逃 逸策 略 的 勒 索 应 用 在 定 程度


一

。
，

上 ，
Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 可 以 较 准 确 地识 别 加 密 勒 索 应 用 

。

４ ． ４３ ． ３ 回答 ３ ：
 Ｋ Ｒ Ｐ ＲＯ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ 能否起 到 对 文 件 的 保护 作 用 

？

本 节将 通 过 两 个 实 验 来 回 答这个 问 题 第 个 实 验将 评 估 Ｋ Ｒ ＰＲＯＴ ＥＣ Ｔ ＯＲ 的效


一

率 以及 Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ ＴＯ Ｒ 是否 具 有 文 件 保 护 功 能 第 二 个 实 验 将 比 较 。 Ｋ Ｒ Ｐ ＲＯ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ



与 两 种 最 新 的 文 件保 护 方 法 的 性 能 

。

实验 １ ：

在 本实 验 中 重 点 研 究 了 ， 
Ｋ Ｒ Ｐ ＲＯＴ ＥＣ ＴＯＲ 的 有效 性 和 效率 实 验 使 用 込

 。

作 为 数 据集 。
为 了 避免勒 索 应 用 之 间 的 相 互 影 响 ， 在 安装
一

个新 的勒索应用 之 前 ， 

研
究人员 卸 载 了之前 的勒索 应用 。 对 于 每 个勒 索 应 用 ， 实 验记 录 了 
Ｋ Ｒ Ｐ ＲＯ Ｔ Ｅ Ｃ ＴＯ Ｒ 

的
过滤 时 间 获取时间 跟 踪 时 间 和 警告 时 间 实 验还 记 录 了 勒 索 应 用 访 问 第 个文件


一

、 、 。

所花 费 的 时 间 以 及 勒 索 应 用 加 密 第
一

个 文 件所 花费 的 时 间 诱 饵 部 署 时 间 为 。 ８ ９ｍｓ ， 

其
中 产生 诱饵 的 时 间 为 ６ ５ ｍｓ ，
遍历 ／ｓ ｄ ｃ ａｒｄ 的 时间 为 ２４ｍ ｓ 。 在本 实 验 中 ，
Ｋ Ｒ Ｐ ＲＯＴ ＥＣ Ｔ Ｏ Ｒ



生 成 的 诱饵数量 为 ４２ 个 ，
所 有 诱 馆都 是 空 文 件 夹 。
每 个诱 饵 占 用 ８ ＫＢ 的 存储 空 间 

，

Ｋ Ｒ Ｐ Ｒ ＯＴＥ Ｃ ＴＯ Ｒ 生 成 的 诱饵 总 共 占 用 ３３６ ＫＢ 的 存 储空 间 

。

表 ４ －

１ ４  ＫＲ ＰＲ Ｏ Ｔ Ｅ Ｃ ＴＯ Ｒ 文件防护测试结 果



平 均 防 护


Ｓ ｉ ｍ ｐ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ  Ｃ ｏ ｎ ｇ ｕ ｒ  Ｗａ ｎ ｎａ ｌ ｏ ｋ ｅ ｒ  Ｘ Ｂ ｏ ｔ  Ｄ ｏ ｕｂ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ  Ｄ ３



时 间 率



过滤 时 间  〇 ． 〇 ６ ３ ｓ  ０ ０ ２４ ｓ ． ０ ． ０ ５ ｓ ．
０ ． ０ ３ ３ ｓ ０ ０５ ． ｓ ０ ． ０４ ２ ５ ｓ  １ ００ ％  ９ ６ ２ ％

 ．

获 取 时 间 ０ ． １ １ ｓ ０ ． ０４４ ｓ  ０ ． １ ５８ｓ ０ ． ０６ ｓ  ０ ７ ６ ７ ｓ  ０ ０９ ３ ｓ８ ３ ． ． ． ３ ％  ７４ ． ５ 


％

跟踪 时 间 ０ ． １ １ ３ｓ ０ ． ０４ ７ ｓ ０ ． １ ７ １ ｓ ０ ． ０６ ３ ｓ ０ ７ ７ ９ ｓ ０ ０９ ８ ５ ｓ５ ０ ０ ％  ６７ ０ ％
． 
 ． ． ．

告警 时 间 〇 ． １ １ ４ ｓ  ０ ０ ４７ ｓ  ０ ． ． １ ７５ｓ ０ ． ０６ ３ ｓ ０ ７ ７ ９ ｓ  ０ ０９９ ８ ｓ ５ ０ ０ ％  ５
． ． ． １ ． ９％



访问第 

一

０ ０ ８ ７ ｓ  ０ ００ ５ ｓ  ０ ００７ ｓ  ０
． ．
－

． ． １ ２５ ｓ
－

０ ． ０５ ２ ５ ｓ  ５ ０ ０ ％  ５ ０ ９ ％
． 
 ．

个文件



加密 第 

一

４ ６ ９４ ｓ  ６ ２ ５ ５ ｓ  ２ ９ ３ ０ ｓ  ０
． ． ． ． １ ３ ５ ｓ
－

 １ ４ ０６ ５ ｓ  １ ６ ７ ％  ３ ４ ９ ％
． ． 
 ．

个文件




在本 实 验 中 ，
Ｄ ｏｕｂ ｌ ｅＬ ｏ ｃ ｋｅ ｒ 无法 完 全 实 现 加 密 行为 。 原因是 Ｄ ｏ ｕｂ ｌ ｅＬ ｏ ｃ ｋｅｒ 中包



５６



第 四章 Ｋ Ｒ Ｐ ＲＯ ＴＥ Ｃ
ＴＯ Ｒ ：

基 于 兴 趣 文 件 夹 访 问 感 知 的 勒 索 应 用 实 时 检 测 研究



含的 勒索 应 用 想要加 密没有 ＲＯＯ Ｔ 的 设 备 中 根 目 录 的 所 有文 件 ，

而 没有 ＲＯ ＯＴ 权限


的 应 用 程 序在访 问 某 些文件夹 时 出 现异 常 。 虽然 Ｄ ｏ ｕｂ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ 中 包含 的 勒 索 应 用 可


以捕获 并 处理其 代 码 中 的 异常情 况 ，
但它 仍 然 会 消 耗 设备 上 的 大 量 资 源 ， 导 致频繁 的


程序崩 溃 。 这 也 导 致勒 索 应 用 访 问 诱 俾 ， 但 他 们 无法 加 密文件 。 因此 ， 研究人员 在激


活 Ｄ ｏ ｕｂ ｌ ｅ Ｌ ｏ ｃ ｋｅ ｒ 后 ， 只 记录 Ｋ Ｒ Ｐ ＲＯ ＴＥ Ｃ Ｔ Ｏ Ｒ 的 过滤 时 间 、
获取 时 间 、 跟踪时间 和警


告时 间 

。

如表 ４ －

１ ４ 所示 ，
Ｋ Ｒ Ｐ Ｒ ＯＴＥ Ｃ Ｔ Ｏ Ｒ 平均 可 以 在勒 索 应 用 访 问 文 件 前 ０ ０５ ２ ５．
秒检测


到 加 密行为 ， 在 ０ ０９９ ８
．

秒 后 检 测 到 勒 索 应 用 并 发 出 警告 。 此时 ， 加 密行 为 处于读取


文 件 内 容 和 加 密 数据 的 早 期 状 态 。
勒索 应用 加 密整个文件花费 了 １ ４ ０
． １ ２５ 秒 。 也就是


说 ，
ＫＲ Ｐ Ｒ Ｏ ＴＥ Ｃ Ｔ Ｏ Ｒ 可 以 在勒 索 应 用 加 密 第
一

个文 件前 １ ３ ９６５
．
秒 检测 到 勒 索 应 用 

。

实验 ２ ：

在本实验 中 ， 随 机 选取 集 合 ｛
Ｄ２ Ｄ３｝ 中 ， 的 ５０ 个勒 索 应 用 作 为 数据 集 

，

ｍ
评估 Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 、 Ｓ Ｄ Ｇ ｕ ａｒ ｄ 和参考文献 是 否 能 够 保 护 文 件 免受勒 索 应 用 的 攻


击 。 为 了 避 免勒 索 应 用 之 间 的 相 互 影 响 ， 在 安 装 新 勒 索应 用 之 前 ， 研究 人 员 卸 载 了 以


前 的 勒索 应 用 

。

在安装勒索 应用 之 前 ， 研究 人员 为 每 次 评 估安 装 并 激活 了 保护 应 用 程序 。
实验


发现 ，
Ｓ Ｄ Ｇ ｕ ａｒｄ 可 以 保 护 文 件 免受 ４４ 种 勒 索 应 用 的 攻击 ， 其 文件保护率为 ８８ ％ ；


参
考文献 口 中 的 方 法 可 以 保 护 文 件免 受 种 勒 索应 用 的 攻击 其 保护 率 为 ９０ ％
５］
４５  ＫＲ


？

；
，

Ｐ Ｒ Ｏ ＴＥ Ｃ Ｔ ＯＲ  可 以 保 护 文件免 受 
５ ０ 种 勒 索 应 用 的 攻击 ， 其保护 率为 
１ ００ ％ 

。

分析 。 这 两 个应 用 程 序 都 基 于 访 问 控 制 来 保 护 文 件 。 当 他 们 被激活 后 ， 在默认 状


态下 ， 设备 中 的 每个 应 用 程 序 都 有其 可 以 访 问 的 特定 文 件 。 也 就是说 ， 除非用 户 授予


勒索应 用 访 问 权 限 ， 否 则 勒 索 应 用 无法访 问 整个 文 件 

。

综 上 实验进 步 分 析 了 可 以 使这 两 个 防 护 应 用 程 序 失 效 的 勒 索 应 用 研究 人 员


一

，
。

发 现这些勒 索 应 用 有 一

个共 同 点 ， 他们将 自 己 伪 装 成 需 要 许 可 才 能 扫 描 设 备存 储 的


应用 程序 。 例如 ， 勒索 应 用 ４ ９ ９ ａ ２ ４ ６ ８ ｃ ９ ２ ａ ｆ ｌ ｆｃ ９ ０ ９ ｄ ０ ３ ａ ｅ ０ ８ ８ ｅ ２ ａ ７ ６  （ ＭＤ ５ ） 将 自 己 伪装


成 音 频播 放 器 。 当 用 户激活伪装 应用 程序 时 ，
它 会 向 用 户 申 请外 部存 储 器 访 问 ， 以扫


“ ”
描存储器 并 加 载 音频 文件 。
如果用 户 同 意 ， 应 用 程序 将 扫 描 并 加 密 设 备 中 的 文 件 

。

ＫＲ Ｐ ＲＯ ＴＥ Ｃ Ｔ Ｏ Ｒ 可 以 用 更 少 的 存 储 空 间 和 更 短 的 时 间 部 署 诱饵 。 此外 ，
Ｋ Ｒ Ｐ ＲＯ 

？

ＴＥ Ｃ ＴＯ Ｒ  具 有 良 好 的 时 效性 如图 ４ ２ 所示 它 可 以 在勒 索 应 用 加 密 设 备 文 件 前  

０
－

。 １
，

秒左 右 ， 向 用 户 发 出 预警 。 如实验 ２ 所示 ，
Ｋ Ｒ Ｐ Ｒ ＯＴ Ｅ Ｃ ＴＯ Ｒ 可 以在更多 情况 下保护


文件 免受勒 索 应 用 的 侵害 。
在某种程 度上 ，
它 可 以 保护 文件免受加 密勒 索 应 用 的 攻


击 

。

５７


北 京 邮 电 大学 工 学博 士学 位 论 文 



＇
＇
—

？ ：
麵 ）


获取 信皂 ：


可 信 值计 算 
｜

ｓ 

｜

时＿
？  ＂        ｈ  １ Ｉ         ＂
Ｉ ！        ｍ       ｕ
  Ｍ—



  ＩＢ


Ｉ Ｉ ｉ ｉ 丨
１
； ！
Ｉ 丨 Ｉ ！ Ｉ ｉ
； ｉ
ｔ ｉ
ｔ Ｉ
ｊ
Ｉ

＾
｜

ｒ －
ｇｇ －

 穿
乂
；

加 密 文件 进程  ， 

、
 ）Ｕ


告§
｛ －

．
－
ｌ ｏ ｏ％


—

Ｉ ＲＨＨ 

ｆ


ｉ

图 ４
－

２ 文件 加 密与 预警时间 战示 意 图



４ ４ ３ ４ Ｋ Ｒ Ｐ ＲＯ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ
． ． ．
采 用 的 基 于兴趣 文 件 夹访 问 感 知 方 法 能否应 用 于 更 多 平


台的设备 

？

本 节 中 将讨 论 ＫＲ Ｐ ＲＯ Ｔ Ｅ Ｃ ＴＯ Ｒ 所 釆 用 的 基于 兴趣 文 件夹访 问 感知方法 的 可 扩 展


性 。 也就是说 ， 该 方法 是 否 可 以 应 用 于 更 多 平 台 的 设 备 。 由 于 基 于 安卓 平 台 的 物 联 网


Ｗ
设备大 幅增加 基于安卓平 台 运行 的勒 索 应用 仍然 是物 联 网 设备 的 威 胁 因此
［
２ ］

。
， 

，

本 节将设 计
一

个基于 六 种 不 同 物 联 网 设备 的 实验 ， 以证 明 该方法也 能在 未拥 有 管理



员 权 限 的 前提下 能 够 在 更 多 平 台 的 设 备上 实 现 对 勒 索 应 用 的 检 测 然后 本 节 将对


？

。
， ，

结 果 进行详细 分 析 。 最后 ， 本节对于 ＫＲ Ｐ Ｒ Ｏ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ 所 釆 用 的 基于 兴趣 文件夹访 问




感知 方法 的 可 扩展性进行 了 简 要总结 

。

实 验选取 了 日 常生 活 中 广 泛 使 用 的 路 由 器 、
数码相 机 等 六 种 物 联 网 设备进 行 了


测试 Ｍ Ｗ Ｆ 是 款销往 印 度 中 国 和 许多 东南亚 国 家的路 由 器 其市场 占 有率为


一
－

ｉ ｉ ｉ 、
。
，

４％ Ｔ Ｐ Ｌ ＩＮ Ｋ 是最受欢迎 的路 由 器之 其 全 球市 场 份 额 约 为 ％＿ 中 国市


８ １

２０
］ 一

５
［ －

．
。
， ，

—
场 份额约为 ３４ ８ ８ ％ Ｃ ａｎ ｏｎ 是 款应用 广 泛 的 数码 相机 其市场 份额为 ４７ ９ ％ 

销
一

． 
。 ．

， ，

＿
往美 国 欧洲 和 亚洲 的几十个 国 家 Ｍ Ｃ ａ ｍｅ ｒａ 是 款室 外 无线 摄 像 头 每年的销


一

、 。 ｉ
，

售 额达数百 万
［
８５ ］



。

如表 
４ －

１ ５ 所示 ， 实验 发现 
Ｂａ ｉ ｄｕ
－

Ｗ Ｆ ｉ ｉ 、 Ｈ ｏ ｗ ｅ Ｒ ｅ ｄＳ  ｔ ｏ ｒｍ  １ 、 Ｍ ｉ
－

ＷＦ ｉ ｉ
 和 
ＴＰ ＬＩＮ Ｋ

 －

提 供 了 监控 文 件 的 功 能 ， 并 允许 用 户 查 看 文件操 作信息 。
在 这 些 设备上 能够 实 现基于


兴趣 文件夹访 问 感知 的 勒索 应用 检测 。 Ｃ ａｎｏ ｎ 和 Ｍ ｉ
－

Ｃ ａ ｍｅｒａ 不具备监控 文 件 的 功 能 

，

也 无 法 基于 兴 趣 文 件 夹 访 问 感 知 检 测 勒 索 应 用 

。

分析 。 正 如在实验 中 所述 ，
此方法 中 部署 的 诱饵 需要在没有 Ｒ Ｏ ＯＴ 或 管理 员 权


限的情况下 触 发 。 Ｂａ ｉ ｄｕ
－

Ｗ ｉ Ｆ ｉ 、
Ｍ ｉ
－

Ｗ ｉ Ｆ ｉ
和 Ｔ Ｐ Ｌ ＩＮ Ｋ －

这三种 路 由 器是 Ｏ ｐｅ ｎ Ｗｒ
ｔ 构建和


开发的 Ｏｐｅ ｎＷｒ
ｔ 是 种适 用 于嵌人式设备 的 Ｌ ｎ ｕｘ 系统 ＿ Ｌ ｎｕ ｘ 提供 了 

机
一

。 ｉ 。 ｉ Ｉｎ ｏ ｔ ｉ ｆｙ


制 来监视文件系 统 也 就 是说 安 全 人 员 可 以 监 视 文 件 夹 和 文 件 的 评 估 通 过安装


１
８ ６］
。 。
，

５ ８



第 四章 ＫＲＰＲＯ
Ｔ ＥＣ ＴＯＲ ：

基 于 兴趣文 件 夹访 问 感 知 的 勒 素 应 用 实 时 检 测 研 究



表 ４
－

１ ５ 六 种 测 试设备 的 结 果 展示



基 于兴 趣 文 件 夹 访 问 感


设备 名 称  需要 ＲＯ Ｏ Ｔ 或 管理 员 权限 监 控文件


知 检测勒 索 应 用




Ｍ ＷＦｉ
－
ｉ ｉ ４ｐ ｒｏ  ｘ  ／ ／



Ｂ ａ ｄｕ ｉ
－
ＷＦ ｉ ｉ
＾Ｘ ６  ｘ  ／  ／



Ｈ ｏｗ ｅ Ｒ ｅ ｄ   Ｓ ｔｏ ｒｍ  １  ｘ  ／ ／



ＴＰ Ｌ Ｉ ＮＫ Ａ Ｘ ３ ０ ００ 
－
ｘ ／ ／



Ｃ ａｎｏｎ  ２ ０Ｄ  Ｎ／ Ａ  ｘ  ｘ



Ｍ ｉ
－
Ｃ ａｍ ｅ ｒ ａ  ２ Ｋ ｘ  ｘ  ｘ



扩展包 安 全人 员 可 以 监 控 这 些 路 由 器 上 文 件 系 统 中 的 所 有 文 件 Ｈｏｗ ｅ
８７
ｎｏ ｔｉ ｆ
ｙ ｗ ａｉ ｔ
［ ］
Ｉ
，
。 


刚
Ｒｅｄ  Ｓ ｔ ｏ ｒｍ 是 一

种采用 定制 Ｌ ｎｕ ｘ
ｉ
系 统 的 数字 录像机 。
安全 人 员 也可 以 在 Ｉｎ ｏ ｉ ｆｙ
ｔ 

的
帮 助 下 监 视 文 件夹 和 文 件 的 评 估 

。

以 Ｍ Ｗ ｉ
－

ｉ Ｆｉ 为例 ， 在实验之 前 ， 研究 人 员 在 其 系 统上安装 了 
Ｉ ｎｏ ｔｉ ｆ
ｙ ｗ ａｉｔ 扩展包 

，

以 确 保 能 够 监控文 件 系 统 。
然 后 实验部署 ／ Ｔｅ Ｓ ｔ ｎ 〇 ｉ ｉ
ｙ
ｆ ／ａ ． ｔ ｘｔ 作为 目 标 文 件 ， 并 部 署 对等


空文件夹 ／ Ｔｅ ｓ ｔ ｉ ｎｏｉ ｙｙ 作 为 兴趣 文 件夹
ｆ 。 之后 ， 研究 人 员 激 活 了
一

个文 件加 密 脚 本来


遍历 目 录 并 加 密 文件 。 本节 发 现 ， 在没有 ＲＯ Ｏ Ｔ 的情况下 ， 部署 的 兴趣 文件 夹 能够


被文件加 密脚本 成 功 访 问 ， 成 功 触 发 加 了 密 勒索 应 用 检 测 模 块 

。

Ｃ ａｎ ｏ ｎ  ２ ０Ｄ 基于
一

个特定 程 序 。
设备上 没有操 作 系 统 或 文 件 系 统 。 也就是说 

，

Ｃ ａｎ ｏ ｎ 无 法 提供监 控 文 件 夹 或 文 件 状 态 变 化 的 功 能 ，
无法 触 发 勒 索 应 用 的 检 测 模块 

，

且 本 章提 出 的 方 法 不 能 应 用 于 Ｃ ａｎ ｏｎ 。 Ｍ Ｃ ａ ｍｅ ｒａ
ｉ
－

基于 简 单 版 Ｌ ｎｕｘ ｉ
内核 ，
不具备监


控 文件 和 文 件 夹 状 态 变 化 的 功 能 无 法 触 发 勒 索 应 用 检 测 模 块 且 本 章提 出 的 方 法 无

 ， ，

法应用 于 Ｍ Ｃ ａｍ ｅ ｒ ａｉ
－



。

综上 ，
正 如 在 引 言 与 实 验部 分 所 提 到 的 ，
Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 的 实 现 难点在于在未


获取 管 理 员 权 限 的 设 备 上 对勒 索 应 用 的 勒 索 行 为 进行感 知 。 因此 ， 该方法需要在 没有


ＲＯ ＯＴ 或 管理 员 权 限 的 情况 下 监控兴 趣文 件 夹 的 状态 变 化 ， 从 而触 发检测 模块 。 

据
作者 所知 ，
Ｌ ｉ ｎｕ ｘ 可 以 提供 文 件 系 统 监 视 机 制 ， 实 验 也证 明 了 基于 Ｌ ｉ ｎｕ ｘ 的 设备可 以


在没有 ＲＯ Ｏ Ｔ 的情 况 下监视文件夹或 文件 。 本 章提 出 的 方 法 不 仅 可 以 在安 卓 上 实 现 

，

而 且 可 以 在 资 源 有 限 的 更 多 设备 上 实 现 

。

５９


北 京 邮 电 大 学工 学 博 士 学 位 论文 



４ ５
．
本 章小结



本 章从 多 个方 面 对加 密勒 索 应 用 的 加 密 手 段进行 了 分 析 。 基于 对分 析 结 果 的 总


结 本 章提 出 了 面 向 非 ＲＯ ＯＴ 的 安 卓 设备 的 种 基 于 兴 趣文 件 夹 的 加 密 勒 索 应 用 检


一

、
，

测 方案 。 它 可 以 准 确 识 别 加 密勒 索 应 用 ， 也 能 够检 测 带 有 逃逸 策 略 的 加 密 勒 索 应 用 

。

为 了 保护 文件 并 方 便安 全 分 析 人 员 进行 测 试 本 章 设 计 并 实 现 了 Ｋ Ｒ Ｐ ＲＯ ＴＥ Ｃ Ｔ Ｏ Ｒ 

—

，  ， 

个 具 有文件 保 护 功 能 的 加 密勒 索 应 用 检 测 工 具 。 Ｋ Ｒ Ｐ ＲＯ ＴＥ ＣＴ Ｏ Ｒ 可 以 识 别 勒索应 用 

，

并在第
一

个文件加 密 前 １ ４ 秒 左 右 发 出 警告 。 此外 ， 本章还 证 明 了 
Ｋ Ｒ Ｐ ＲＯＴＥ Ｃ ＴＯ Ｒ 

釆
用 的 基 于 兴 趣 文 件 夹 访 问 感 知 方 法 能 够 应 用 于 更 多 平 台 的 设备 

。

６０



第五章 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ ：

勒 索实施后资 源 自 恢复 技 术 研 究



第五章 ＫＲＲＥ Ｃ ＯＶＥ Ｒ ：

勒 索 实 施后 资源 自 恢复 技 术研 究



随 着 勒 索 应 用 的 不 断 进化 ， 目 前 已 经 出 现 了 能 够 自 动 屏 蔽设备 ＵＳＢ 接 口 的勒索



应用 ， 使 用 户 在被感 染 后 很 难 借 助 其 他 设 备 对 感染 设 备 或 文 件 进 行 恢 复 使 用 户 蒙 受

 ，

了 巨 大的 财产损 失 。 本 章通 过 对 ４７ ５ ０ 个 设 备 劫 持 型 勒 索 应 用 与 文 件 加 密 型 勒索 应 用


进 行分析 ， 总 结 出 了 勒 索 应 用 进行密 码 劫 持 、
屏 幕 资 源 劫 持 以 及 文 件 加 密 的 实 现方


式 。 针对密 码 与 屏幕 资 源 劫 持提 出 了 自动 、
高 效 设 备恢复 策 略 ；
针对 文 件 加 密 提 出 了


加 密 文 件 恢 复 策略 。 同时 ， 设计并 实 现 了 基于 Ａ ｎｄ ｒ ｏ ｉ ｄ 系 统 能 够 对 被勒 索 应 用 劫 持 的


设 备 和 被 加 密 文件 进 行 自 动 恢 复 的 工 具 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ
—



。

 

．

５ １
．
引言



勒 索应 用 是通过更改用 户 的 设备密 码 、 强 制 占 用 用 户 的 屏幕 资源 以及加 密用 户



设备 内 隐 私 文 件 等 操 作 使 用 户 无 法 正 常 使 用 设 备 与 文 件 ， ， 从 而 向 其 勒 索 赎金 的 恶 意


应用 。
该 类 应 用 生 产 成 本 低 廉 且 对 用 户 的 威 胁较 高 。 近年 来 ， 随着 安卓 系 统 占 有 的 市


场 份 额 越 来越 高 ， 勒 索 应 用 的 数量也急 剧 上 升 。 据统计 ，
２０ ２ １ 年 以 来 勒 索 软 件 攻击


Ｗ
数增 加 了  １ ４８％ 。
为 了 减 少勒 索 应 用 对 用 户 带 来 的 损 失 ， 研究 人 员 从 系 统 开 发 、 

应
用 检 测 以 及 设 备恢复 等 方 面 ， 都进行 了 积 极 的 应 对 

。

为 了解决系统窗 口 顶置带来 的 勒索 问 题 ， 安 卓 系 统 由 最 初 的 安卓 Ｌ 对 ｇｅｔ

Ｒｕ ｎ 

－

ｎｉ ｎ ｇＡ ｐ ｐ Ｐｒｏ ｃ ｅ ｓ ｓ ｅ ｓ 与 方 法 的 使 用 进行 限 制 抑制劫持 Ａｃ 类勒索



８９

ｇｅ
ｔ Ａ ｐｐ Ｔａ ｓ ｋ ｓ ［ ］

，
ｔｉ ｖｉ ｔ
ｙ

出 现 到 安卓 Ｎ 在 进行 设 备 密 码 设 置 清 除 时 需 要 的 权 限 只 能 进 行 动 态 申 请 ％ 再 到


／

安卓 Ｏ 禁用 了 
Ｔ Ｙ ＰＥ ＿
ＰＨ Ｏ ＮＥ 等 ５ 种 勒 索常 用 的 窗 口 类 型 ， 对 勒 索 应 用 的 开 发 进行


遏制 据安 卓 官 方 的 统 计 结 果 显 示 前 各 版 本 安卓 操 作 系 统 的 分 布 情 况 来 看 高


９ １

目
［ ］

。 ，
，

达 ６１ ３ ． ％ 的 设 备 仍 旧 使用 安卓 Ｎ 以 下 系 统版 本 ，
这 也 就 说 明 绝 大 多 数 用 户 设备 仍 面


临 着勒 索 应 用 带 来 的 高 危 风 险 。 由 于 系 统版本不 同 ， 窗 口 顶 置 的 实 现 方式 多 种 多 样 

，

“ ”

在 系 统 层面 用 一

种 统
一

的 方 式 来避免 用 户 感染 勒 索 病 毒 ，
这是安 全 研究 人 员 正 面


临的
一

大挑 战 

。

研 究 者对 在 ＰＣ 端 恢复 被 勒 索 应 用 加 密 的 文 件 进 行 了 研 究 。 这 些研究主 要 是通


过对设 备 上 不 同 对 象 进行 监 控 ， 获 取 文 件 加 密 时 的 相 关 信息 用 来 进行 加 密 文 件 的 恢


Ｍ
复 ：
Ｌ ｅｅ 等人 设 法 对 加 密 方法进行 监 控 从 而 获 得 加 密 密 钥 进 行 文 件 解 密 搭 载 于

 ，
；

系 统 的 文 件恢复 应 用 通 过对 动 态 链 接 库 与 静 态 链 接 库 监 控
９３ ３
Ｗ ｉ ｎｄ ｏ ｗ ｓ  ７ Ｐ ａｙ Ｂ ｒ ｅ ａ ｋ
ｌ



，

获取加 密相 关信息 ， 并 使 用 托 管 密 钥 与 每 个 偏 移 量 迭 代 尝 试文 件 解 密 。 Ｓ卩 ，
ＰＣ 端大


多釆用 ｓ ａ ｎ ｄｂ ｏ ｘ ，
通过对其 底 层 的 ｆｕｎ ｃ ｔ
ｉ ｏｎ 进行 ＨＯ ＯＫ 操作 ， 从 而 获 取 到 密钥 ， 对加


密 文 件 进 行解 密 。 在 自 动 化进 行 被 勒 索 的 设 备 的 恢复方 面 ， 就 目 前而言 ，
ＰＣ 端并 没



６ 

１
北京 邮 电 大学工学 博 士学 位论 文 



有 相 关 的 研究 和 能 够 借 鉴 的 经 验 

。

目 前 对 于 移 动 端 的 加 密 文 件恢复 大 多 使 用 逆 向 的 方 法 ， 通过在勒 索 应用 中 找 到


源码 从 而 利 用 加 密 密 钥 对 文 件进 行 解 密 当然 如果 用 户具有 定 的 安卓背景知


一

。
， ，

识 ， 用 户 也 可 以 通 过对勒 索 应 用 进 行 逆 向 操 作 ， 从 而 直接 在 源 码 中 找 到 勒 索 应 用 的 设


备解锁 密 码 从 而 进行进 步 的 设 备 恢复
一



。
，

面 向 专业背景较弱 的 用 户 ， 安 卓 系 统 也 提供 了 辅 助 工 具 用 于 用 户 进行设 备恢复 


。

ＡＤ Ｂ ＰＵ
是 个 通 过 计算 机 与 模 拟 器 或 真 机 交 互 的 工 具 该 工 具 提 供 了 多 种 对设 备 进


一

行操作 的 命令 ， 并 提供 对 Ｕｎ ｉ ｘ  Ｓ ｈ ｅ ｌｌ 的访 问 权限 。 当 设 备被 锁 定 后 ，
已 开 启 ＵＳ Ｂ 系



统调 试 的 设备 ， 能够 通过 ＵＳ Ｂ 连 接 外 部设 备 的 方 式 ， 对 设 备 进行 恢 复 。 当 设备 未 启


动 ＵＳＢ 系 统调 试 时 ， 则 不 能 使 用 该 方法 ， 另外 ， 该方 法 无 法 对 加 密 文 件 进行解 密 

。

但 随 着勒 索 应 用 的 不 断 进化 ， 目 前 已 经 出 现 了 能 够 自 动 屏 蔽设 备 ＵＳ Ｂ 接 口 的勒


索应用 ，
ｇ卩 勒 索 应 用 被激 活 后直接 将 设 备 的 ＵＳＢ 调 试开 关 关 闭 ，
也 就 是说 ， 对于 该


类型 的勒 索 应 用 ， 用 户 在 被 感 染 后 无 法 借 助 其 他 设备 进 行恢复 

。

Ｆａ ｓ ｔＢ ｏ ｏ ｔ 是 一

种 引 导加 载程序 的 模式 間 。
使用 Ｆａ ｓ ｔＢ ｏ ｏ ｔ 可 以在 没 有 Ｕ ＳＢ 连接 的


设 备上 重 写 系 统 。
当 设备被 锁 定 后 ， 利用 Ｆ ａ ｓ ｔＢ ｏ ｏ ｔ 对 系 统 进行重 写 ， 能 够 恢复 设 备 的


使用 。
但是 由 于 重 写 系 统 ， 用 户 在 设备 上 的 部 分 数 据有 着 丢 失 的 风 险 。
设备 不 同 的 机


型 通 过物 理 键进 入 到 Ｆａ ｓ ｔＢ ｏ ｏ ｔ 模式 的 方 式 各 不 相 同 ， 并 不 是统
一

的 另外 ； ， 由 于不 同



的 安卓 设备 的 系 统在 设计 上 的 差 异 ， 在利用 Ｆａ ｓ ｔＢ ｏｏ ｔ 进入 第 三 方 ｒｅ ｃ ｏ ｖｅ ｒ
ｙ 之后的操


作 也 各不 相 同 ， 若设备搭 载 的 系 统 进行 了 强 制 前 台 ， 那 么 用 户 需 要 通 过操 作 数 据 库 进


行设 备 恢 复 但这 种 方式 要 求 操 作 者 具 有 定 的 专 业性
一

。 

。

为 了 能 够 使 更 多 的 用 户 能 够 对被 劫 持 的 设 备 进行 自 动 化 恢 复 、 对被 加 密 的 文 件


进 行解 密 ， 本 章 提 出 针对 被 勒 索 应 用 感 染 的 设 备 与 文 件 的 恢 复 方案 ， 并 设 计实 现 了


Ｋ Ｒ ＲＥ Ｃ ＯＶ Ｅ Ｒ 基于 安卓 系 统 的 勒 索设备 与 文 件恢复 应 用 据 我 们 所知 这是 第
￣ ￣


一

。
，

个在安 卓 系 统 上 实 现 了 对被 勒 索 设 备 和 被 加 密 文 件 进 行 自 动 恢 复 的 应 用 。 本章 的 主


要贡献 如 下 

：

１ ．

提 出 了 对 被 勒 索 应 用 和 被 加 密 文 件 进 行恢 复 的 方 法 。 对设备劫 持型勒 索 应 用


与 文 件 加 密 型 勒 索 应 用 的 勒 索 原 理 进行 了 分 析 ， 并 提 出 了 针 对被这两 种勒 索 应 用 感


染 的 设 备 的 恢复 的 相 应 策 略 

。

２ ．

实 现 了 在 安 卓 端 对被 勒 索 应 用 劫 持 的 设 备 的 自 动 恢 复 。
自 动 终 止勒 索 应 用 的


进程 并 删 除 写入密 码 的 文 件 

。

３ ．

实 现 了 在安 卓 端对 被勒 索 应 用 进 行 加 密 的 文 件 恢复 。 通 过对 加 密 ＡＰＩ 的 监控 

，

获 取 其在 动 态 运 行 中 ，
进 行 加 密 时 使 用 的 密 钥 与 被 加 密 文件 列 表 对 加 密 文 件 进 行 解

 ，

密 

。

６２



第五章 Ｋ ＲＲＥ Ｃ ＯＶ Ｅ Ｒ ：

勒 索 实 施 后资 源 自 恢复 技 术研究



５ ２
．
恢 复 策 略设 计



５ ２ １
． ．
前提假设



本 节 中 所 研 究 的 恢 复策 略 是 在 以 下两 个前 提 假设 下 进行 的 。 第
一

， 承载本方法 的


应 用 可 以 通 过手 机 预 装 获 得 ＲＯ Ｏ Ｔ 权限 。
首 次 安装 重启 设 备 后 在 后 台
一

直 运行 ， 

即
该 应 用 在 安 装 运行 时 ， 用 户 的 移 动 设备上 确 保 不 存在 勒 索 应 用 ； 第二 ，
加 密 文 件 恢复


方法 ， 作 用 于 使 用 官方 加 密 ＡＰＩ 进行 非 动 态 加 密 的 文 件 。 本 章 致 力 于 在 移动 端 恢 复


加 密 文 件 的 解 决方 案 ， 因此 ，
通 过 对勒 索 应 用 进 行 反 编 译 ， 并 逆 向 得 到 密钥 的 方 式 不


在 本章 的 考 虑 范 围 之 内 

。

５ ２ ２
． ．
恢复 策 略



１ ．
恢复 被 劫持 的 屏 幕 资 源 。
屏 幕 资 源 抢夺 行 为 ， 主 要 通 过对 应 用 系 统 窗 口 进行


不 同 的参数设置 ， 使勒 索 应 用 的 窗 口 获 得 最 高 优 先 级 ， 进行 屏 幕 资 源 的 抢夺 。 因此 

，

如 何判 断系 统 当 前顶级 的 Ａｃ ｔｉ ｖ ｉｔ
ｙ 或 Ｓ ｅｒｖ ｉ ｃ ｅ 是否 属 于勒 索 应 用 ，
是 进行 屏 幕 资 源 抢


夺恢复 的 关 键 

。

为 了 解 决 上 述 问 题 需 要 对 设 备 上 的 进程 与 顶 级 ，
Ａｃ ｔｉ ｖｉ ｔ ｙ 与 Ｓ ｅ ｒｖ ｉ ｃ ｅ 进 行监控 若

 。

在 监 控 名 单 中 的 应 用 进 程 处 于运 行 状 态 ， 并且 当 前顶级 的 Ａｃ ｔｉ ｖｉ ｔ
ｙ 或 Ｓ ｅ ｒｖ ｉ ｃ ｅ 属于监


控名 单 中 的 应 用 ，
则 该设 备 大 概 率 已 被 勒 索 应 用 感染 。 此时 ， 需要使用 Ｒ Ｏ ＯＴ 权限 

，

强制 ｋｉ ｌ ｌ 正 在运 行 的 Ａｃ ｔｉ ｖ ｉ ｔ
ｙ 与 Ｓ ｅｒｖ ｉ ｃ ｅ ， 从 而 对 屏 幕 资 源 抢 夺进 行恢复 

。

２ ．

恢复 被 加 密 的 设 备 。
在 用 户 唤起 物 理设 备 时 ， 系 统 会在 ／ ｄ ａｔ ａ／ ｓ ｙ ｓ ｔ ｅｍ ／ 目 录下 进


行 文件捜 寻 ， 若 发 现 含 有 设备 加 密 密 码 的 ｐ ａ ｓ ｓ ｗ ｏ ｒ ｄ Ｊ ｋｅ ｙ 文件 ， 则 读取 文 件 中 的 密 码 信


息 ， 将 文 件 中 存 储 的 密 码 设 为 设备密码 ， 若 未 发 现 ｋ ｅｙ 文 件 ，
则 不 设置 设 备 密 码 。 

因
此 ， 如 何判 断 ／ ｄ ａ ｔ ａ ／ｓ
ｙ ｓ ｔｅ ｍ／ 目 录下 的 配 置 文 件 是 否 为 被 勒 索 应 用 重 写 过 的 ， 是进 行设


备 恢复 的 关 键 

。

为 了 解决 上 述 问 题 ， 需 要 对设 备 上 的 进 程 与 Ｉ／ Ｏ 操作 日 志 进行 监 控 。
若在 监 控 名


单 中 的 应 用 进 程 处 于运 行状 态 ， 并且 ， 在 Ｉ／ Ｏ 日 志 中 发现 ／ ｄ ａｔ ａ／ ｓ ｙ ｓ ｔｅ ｍ／ 目 录 下 有对 ． ｋｅ ｙ



文件进行 的 读 写 相 关 操 作 ， 则 该设 备 大 概率 已 被 勒 索 应 用 感 染 。 此时 ， 需 要 使 用 设备


的 读写权 限与 ＲＯ Ｏ Ｔ 权限 ， 对 ／ｄ ａｔ ａ／ ｓ
ｙｓ ｅ
ｔ ｍ／ 目 录下 的 ． ｋｅ ｙ 文 件进行 删 除 ， 从而对加密


设 备进行恢复 

。

３ ．
恢复 被 加 密 的 文 件 。 通 过对 ａｍｄ 数 据集 、 ｄ ｒｅ ｂ ｉ ｎ 数据 集 中 的 文件 加 密 型勒


索 应 用 进 行 人 工 分析 ， 发 现大 部 分勒 索 应 用 釆 用 了 私 钥 加 密 的 方式 ，
进行 加 密 操 作 

。

另外 由 于 开 发 者 很 难 针 对 不 同 的 受 感染 用 户 生 成 不 同 的 私 钥 即 通常 同 个文件


一

，
，

加 密 类勒 索 应 用 是 基于
一

个密钥 的 ，
而 不 是 单 独 进行 加 密 解 密 的 密 钥 的 生 成 。 因此 

，

如 何 获 得 勒 索 应 用 进行 文 件 加 密 时 的 私 钥 ， 是 进行 文 件恢复 的 关 键 

。

本 章 选 择借 助 在 移 动 端 基 于 Ｘｐ ｏ ｓ ｅ ｄ ＾ 的 Ｘｐ ｏ ｓ ｅ ｄ  Ｉｎ ｓ ｔ ａｌ ｌ ｅｒ 插件 ， 在勒 索 应 用 在



６３


北京 邮 电 大学工学 博 士学 位论 文 



动 态 运 行 过程 中 执行 文 件 加 密 时进行私 钥 的 获 取 。
首先 ， 为 了 避免 产 生 过多 冗余 的


应 用 运行 日 志 ， 占用 手机 的 存储 空 间 ， 节省 运 行 时 间 ， 本 章 对插 件进行 了 重 写 ， 

使
它 ＨＯＯＫ 的 ＡＰ 仅 针 对 于 加 密 类 Ｉ ＡＰ Ｉ
并 以文 件名 ．
ｌ ｏｇ 的 形式 ， 存 储在 ／ｓ ｄ ｃ ａｒ ｄ／ 目 录下 

。

由 于 目 前 大 部分加 密类勒 索 应用 釆 用 了  ＡＥ Ｓ 与 ＤＥＳ 等 安 卓 官方 提 供 的 加 密 方 式 ， 


因
此 ，
本 章暂 时 只 针 对 使 用 安 卓 官方提供 的 加 密 算 法 进行 文 件 加 密 的 勒 索 应 用 进行 文


件恢 复 ； 之后 ，
通 过 对勒 索 应 用 相 应 的 动 态 运行 日 志 的 检索 ， 获得加 密 密钥 ；
最后 

，

根据 获 得 的 密钥 对 加 密 文 件 进行解密 操 作 ， 完 成对加 密 文件的恢复 


。

５ ３
．
方案设计



本节将对 Ｋ Ｒ ＲＥ Ｃ ＯＶ Ｅ Ｒ 的 方 案 设计进行介绍 。 ＫＲ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 致力 于 在 安 卓 移 动


端勒 索 应 用 的 勒 索行为 被触 发 后 ，
对被 感染 的 移 动 设 备 ，
进 行 设 备 劫 持 恢 复 以 及 对被


勒 索 应 用 加 密 过 的 文 件 进行 文 件 恢复 。 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 的 工 作流程如 图 ５
－

１
所示 

。

＊
 

＾

如密ａｐ ｉ   ｜
、

２Ｘｐ ｏ ｓ ｅｄ



ｐ２ ｏ
ｔ
―

ｐ
－

千 
密钥 邡密后
— 朴 — 十  ■
［

  ｒ Ｐ ４  Ｐ ５  Ｐ ６  Ｃ ４  Ｃ ５  Ｃ ６  －



＋
丨

文装 細 酿 国
Ｉ

一
■ ｒ ｒ  Ｓ
Ｐ７ １ ｐｓ １
Ｐ９ １  Ｉ ｌ 

丨

应 周 程序 监 听 恢 复




▲


１

文 件 恢复  ７ ＝
哟 系 统 广播 ：

 ▲
？：

 Ｉ 沙箱 曰 志



ａｎｄ ｒ ｏ ｄ ｎｔｅｎ ａｃ ；

ｏｎ ＰＡ Ｃ ＫＡＧ ｃ ＲＥ Ｍ〇 Ｖ ＆Ｄ  筇 玄方 泫 丄 密铥  １
文Ｍ径  ｉ


ｉ
＝
ｉ ．
ｔ ．





 ４

 方 法 ２   密铝 ２   文 样路 径  Ｖ
｜


 ２
ａ Ｔｄ ｒ ｏ ｄ
ｉ
．
ｎ ｔ ｅ ｒ ｔ ａ ｃｔ
＝
．
＝

ｏｎ Ｐ Ａ Ｃ ＾Ｇ Ｅ
．
． Ｒ Ｅ Ｐ ＬＡ Ｃ Ｅ Ｃ ｊ ｜

ａａｄ ｒ Ｇ ｄ
ｉ
．
ｒ ｔ ｅｎ Ｌ ａ ｃ ｔ ：
ｏ ｎ Ｆ Ａ Ｃ Ｋ ＡＧ Ｅ Ａ Ｄ Ｄ Ｅ Ｄ
．

 ＿



一

设 备 恢复 系 统 密码 文 件
 ｜

／ ｄ ａ ｉ ａ ／ ｓ ｙ ｓ ｔ ｅ ｍ ／＾ ｅ ａ ｉ ｕ ｅ ｒ ｋｅ
ｙ  ？Ｍ 除


初 始 化
＇

／ ｃａ ｔａ／ ｓ
ｙｓ ｉ ｅ ｒａ ｐ ａ ｓｓｗｏ
／
ｒ ｄ ｋ ｅｙ
〇


ｖ




＾
气 ；

＾
■

＜ Ｐａ ｃ ｋ Ｄ ｒｏ ｄ  白 ｉ 单 ａ 
ｉ





Ｇ
－

终 止 进 程 运行进 程


．

－
雜 应 雜成
？
系 班Ｓ 舜 程 隹 ２  Ｂ Ｗ ＡＮ ？
１ Ｃ Ｃ Ｔ ＇  ３Ｈ ３ Ｔ Ｔ Ｊ ？ｆ

良 应 角 程序  ｋｅ 
？
８ ９ ｒ ｎ ＾ ｌ ｎ ｓ ｎ ａ＾ ｅ  ４ ６ ． ６ ３ ７ ： ６ １ ： ３ １


？  ，  ，

？  ． ．
．   １ ４ ３  Ｗ ｌｎｔ
ｆ ｏｗＳ ｅ ｒｖ ｇ ｒ  ２ ９ ． ５  Ｂ６ ：
２Ｓ ： ３９
〇 终土

 

＾
 Ｕ ｃｙＣ ２ Ｃ ｎ
１ ３ Ｓ ｓ
ｙ ｓ ｐｏ ｉ ． ６ ｉ ： ：
Ｂ ｌ


＾

否






Ｋ Ｒ Ｒ ｅｃ ｏｖｅ ｒ  服 务 进 程池 一 

１

＊
 全 周 定时 蓀 — 后 台 羰 务器

 Ｌ  」
麵桕
：  Ｉ
”＞ 钟


 

ｒ

图 ５
－

１  Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 工 作 流程示 意 图



Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 在设计实 现上 分 为 了 初 始 化 、 监控 触 发 以 及 恢复 三个模 块 。 初始


化模块通 过对 系 统 应 用 以 及 系 统 预 装 应 用 包 名 的 采 集 ， 完 成对 白 名 单与 监控名 单 的


初 始 化操 作 ；
ＫＲ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 通过 Ｒ Ｐ ａ ｃ ｋＤ ｒ ｏ
－

ｉ ｄ 来 初始化监控列 表 。 Ｒ Ｐ ａ ｃ ｋＤ ｒ ｏ
－

ｉ ｄ 是


一

个 针 对安 卓 应 用 程 序 的 恶 意 应 用 检 测 引 擎 如果 个应 用 程序 被 判 断为 恶意 应 用 

它
一

。 ．

６４



第五章 Ｋ Ｒ Ｒ ＥＣ Ｏ Ｖ Ｅ Ｒ ：

勒索实施后资源 自 恢复 技 术研究



的 包名 将被添加 到 监控列 表 中 。 监控触 发模块通 过监控 应 用 程序 的 状态和 加 密方法



的 信息 ， 更 新监控列 表 ， 定 位加 密 文件 ；
恢 复 模块 通 过 对 应 用 进程 的 控 制 与 加 密 方 法


的 监 控 进 行 设 备 与 加 密 文 件 的 恢复 

。

５ ３ １
． ．
设备恢 复 算 法



设备恢复 是恢 复 的 重 要 组 成 部 分 。
设 备恢复 算 法 为 算 法 ５ ２
．
。
表 示 监控 列 表 

，

表示 应 用 程 序 是否 处于 活 动 状态 的 标记 ， 算法 中 的 ｐｎａｍｅ 表示 应 用 程序 的 包


名 ，
Ｍｏ ｎ ｉ ｔ ｏｒ 表示 前述 的 可 监 听进程和 其他方法 的 部分 。
为 了 便于 解 释 ， 密码 的 存储


”

表示
“

路 径将 用  ／ ｄ ａｔ ａ／ ｓ
ｙ ｓ ｔ ｅ ｍ ／ ｒｋ ｅ ｙ  

。

Ａ ｌ
ｇｏ ｒｉｔｈ ｍ ５ ， １ ：
设 备 恢复 算 法 



１  Ｆ ｕｎ ｃ ｔ ｉ ｏ ｎ  Ｄ ｅ ｖ ｉ ｃ ｅ ｓ  Ｒ ｅ ｃ ｏ ｖ ｅ ｒ 

；

２  ｆｏ ｒ  ｉ  ＾  Ｏ ｔ ｏ ｌ ｅ ｎ ｍ ｌ ｉ ｓｔ ｄｏ


（ ）
＿

３ ｓ ｕｓ ＿
ｒ ｕｎ ， 
ｌ ｏ ｇ  ＾ｒ  Ｍ ｏ ｎｉ ｔ ｏ ｒ ｃ ｒ ｙｐ ｔ ｏ  ＡＰ Ｉｓ ）


；

４  ｉ ｆ  ｓ ｕ ｓ ｊｒ ｕ ｎ  ＝  １  ｔ ｈ ｅ ｎ



 ｐｎ ａ ｍ ｅ
■

５ ＜

６ ｋ ｉ ｌ ｌ ｔ ｈ ｅ ｐ ｒ ｏ ｃｅ ｓ ｓ  ｏ ｆ  ｐ ｎ ａ ｍ ｅ
 

＇

７  ｅｎｄ



８ ｓｗ ｉ ｔｃ ｈ ｐａ ｓ ｓ ｗ ｏ ｒ ｄ

 ｔ
ｙｐ ｅ 

；

９  ｃ ａ ｓ ｅ  ｉ ｎｐ ｕ ｔ



１０  ｒ ｅ ｍ ｏ ｖ ｅ  ／ ｄ ａ ｔ ａ ／ ｓ ｙ ｓ ｔ ｅ ｍ ／ｐ ａ ｓ ｓ ｗ ｏ ｒ ｄ ｋ ｅ ｙ ．


；

１ １  ｃ ａ ｓ ｅ  ｇ ｒ ａｐ ｈ



１ ２  ｒ ｅ ｍ ｏｖ ｅ／ ｄａｔ ａ ／ ｓ ｙ ｓ ｔ ｅ ｍ ／ ｇ ｅ ｓ ｔ ｕｒ ｅ ｋ ｅ ｙ ．



＼

１３ ｅｎｄ



１４  Ｅ ｎ ｄ  ｆｕｎ ｃ ｔ ｉ ｏ ｎ



接收到 Ｍｏｎ ｉ ｔ ｏｒ 方 法 的 结 果 后 设 备 恢复 将被 激 活 设 备 运 行 后 ，
。
，
Ｋ ＲＲ Ｅ Ｃ ＯＶ Ｅ Ｒ 

会
自 动启 动 。 监控触 发部分 随 时更新监控表 。
如 果 当 前监控列 表为 空 ， 则 Ｋ Ｒ ＲＥ Ｃ Ｏ Ｖ Ｅ Ｒ



将继续 监 控设备上 的 应 用 状 态 。
如 果监控列 表不 是 空 的 ，
则 Ｋ Ｒ ＲＥ Ｃ Ｏ Ｖ Ｅ Ｒ 将 使用


Ｍｏｎ 方法监控列 表 中 的 每个应 用 程序 并 将进程状态 信息 返 回 给变量 

如
？

ｉ ｔ ｏｒ 。 抓 。

果 被 监控 的 应 用 程序 正 在运行 ，
Ｋ ＲＲ Ｅ Ｃ Ｏ Ｖ Ｅ Ｒ 将 终 止 该 进程 ， 并 根据 不 同 的 劫 持 策


略恢复 设备 。 ＫＲ ＲＥ Ｃ ＯＶ Ｅ Ｒ 会删 除密 码 文件 ， 恢复被 劫 持 的设备 

。

５ ３ ２
． ．
文件恢复算法



加 密 文 件 恢复 部分 是 恢 复 部 分 的 另 个 关 键 部 分 加 密 文 件恢复算 法 为 算法
一

。 ５ ３
．


。

表 示 监控列 表 ， 表示 应 用 程 序 是否 处于 活 动状 态 的 标记 算法 中 的 ， ｐ ｎ ａｍ ｅ



６５


北 京 邮 电 大学 工 学 博 士 学 位 论 文 



表示 应用 程序 的 包名 ，
Ｍ ｏｎ ｔ
ｏｒ ｉ
表 示 上 述 可 以 监 控 进程 和 其 他 方 法 的 方 法 

。

ＫＲ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 将遍 历 监 控 列 表 监 控 应 用 程 序 是 否 使 用 了 加 密 方 法 变 量 ，
。 ５似削



”
表 示 应 用 程 序 正 在运行 表示 应 用
“

表 示 应 用 程序 的 进 程 是 否 处于 活 动 状 态 。 １
， 


程序 未运 行 。 同时 ，
ＫＲＲＥ Ｃ Ｏ ＶＥ Ｒ 将操 作 日 志 分配给变量 日 志 。 之后 ，
Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ



将通 过 Ｓ Ｕ Ｓ ｒ ｕ ｆｌ 和 日 志 来 判 断所 监控 的 应 用 程 序 是否 正 在 运 行 ， 以 及 它 是否 加 密 了 文


件 。
如 果是 ，
则 Ｋ ＲＲ Ｅ Ｃ ＯＶ Ｅ Ｒ 会 获取 加 密 密 钥 ， 并 通 过 分 析操 作 日 志 找 到 被加 密 的


文件 。 然后 ，
它 将 用 密 钥 解 密被加 密 的 文 件 。





Ａ ｌ
ｇ ｏｒ
ｉ ｔｈ ｍ  ５ ２ ． ：
文 件 恢复 算法 



１ Ｆ ｕ ｎ ｃ ｔｉ ｏ ｎ Ｆ ｉ ｌ ｅ ｓ  Ｒ ｅ ｃ ｏ ｖ ｅ ｒ 

；

２  ｆｏ ｒ  ｉ  ＜
－

０ ｔ ｏ ｌ ｅｎ
（
ｍ ＿
ｌ ｉ ｓｔ
）
ｄｏ



３  ｓ ｕ ｓ ｊｒ ｕ ｎ ｌ ｏｇ  Ｍｏｍ ｔｏ ｒ ｃｒ ｙｐ ｔ ｏ  Ａ Ｐ Ｉ ｓ 

＼
＾  ）

４  ｉ ｆ ｓ ｕ ｓ ｊｒ ｕｎ  ＝  １  ａ ｎ ｄ  ｃｒ ｙｐ ｔ ｏ 
 Ａ ＰＩ ｉ ｎ ｆ ｏ  ｉ ｎ  ｌ ｏｇ  ｔｈ ｅ ｎ



５  ｋ ｅ ｙ ｉ —

 ｃｒ
ｙｐ ｔ  ｋ ｅ ｙ  ｉ ｎ  ｌ ｏ ｇ 

；

６  ｌ ｏ ｃ ａ ｔ ｅ  ｅ ｎ ｃｒ ｙｐ ｔ ｅ ｄ  ｆ ｉ ｌ ｅ ｓ 

；

ｉ  ｄ ｅ ｃ ｒ ｙｐ ｔ ｆ ｉ ｌ ｅｓ 

；

８  ｅｎｄ



９ｅｎ 

ｄ

ｉｏ  Ｅ ｎｄ  ｆｕｎ ｃ ｔ
ｉｏｎ



５ ３ ３
． ．
监 控算 法



监控 触 发模块 通 过监 控 应 用 程 序 的 实 时状 态 变 化 、 进程变化和 目 标方 法 的 变 化


来 决 定 是 否 激 活 恢 复 部分 。
算法 ５ ． １
展示 了  Ｋ Ｒ Ｒ ＥＣ ＯＶ ＥＲ 的 监控触 发 部分是 如 何 工



作的 算法 中 的 。
ｐ ｎ ａ ｍｅ 表 示 应 用 程序 的 包名 ， ｐｒ ｏｃ ｅ ｓ ｓ 表 示 应 用 程 序 的 进程 ，
ｓ ｕ ｓ ｒ ｕｎ 

表
示 应 用 程序 是否 处 于 活 动 状 态 的 标 记 ， 表示监控列 表 ， 叫 表示 白 名 单 ，
ＨＯ Ｏ Ｋ



ｉ ｎ ｆｏ 表 示 被 监 控方 法 的 日 志 

。

Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 初 始化应 用 的 运行标签 、
被 监 控 应 用 的 进程 Ｉ Ｄ 和 被 监控方 法 的 操


作 日 志 。
如果 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 监控 到 应 用 程 序 的 卸 载 信息 ，
且 应 用 程 序 的 包 名 称在 白



名 单 或 监 控列 表 中 ，
则 删 除 应 用 程 序 的 包名 称 。 如果 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 监视到 应 用 程序


的安装 或 更新信息 ，
它 将 把 应 用 程 序 的 包 名 添 加 到 监 控列 表 中 并 激 活 应 用 程 序 。 

如
果 应 用 程 序 是勒 索 应 用 ，
则 Ｋ Ｒ Ｒ ＥＣ ＯＶ Ｅ Ｒ 将 恢 复 设 备 或 加 密 文 件 。
如果应用 程序 不


是勒索应 用 ， 则 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 将其 包 名 从 监 控 列 表移 至 白 名 单 。 Ｋ ＲＲ Ｅ Ｃ ＯＶ Ｅ Ｒ 将遍


历 监 控列 表 ， 以 查 找 目 标 应 用 程序 是 否 在 监 控 列 表 中 并 且 是否 正 在 运 行 。
如果是 ，


则
”
将 运 行状 态 标 签 更 改 为 挂 钩 加 密 方法 并 将操 作 志 分配 给
“
ＫＲ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ １
， ，
日 

日

志 变量 

。

６６



第五章 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ ：

勒 索 实 施 后资 源 自 恢复 技 术研 究



Ａ ｌ
ｇｏｒ
ｉｔｈｍ  ５ ３ ． ：
监 控算 法 



ｉ ｎｐ ｕｔ ：
ｐ
ｎ ａ ｍｅ ，  ｍｅ ｔｈ ｏ ｄ



１ｉ ｎｉ ｔ ｉ ａ ｌｉ ｚ ａｔ ｉ ｏ ｎ 

；

２ Ｆ ｕｎ ｃ ｔ ｏｎ ｉ  Ｍｏｎ ｉｔ ｏｒ
（ ｐ ｎ ａｍ ｅ ｍ ｅ ｔ ／ ｉ ｏ ｄ ）
，


；

３ｓ ｕ ｓ ｊｒ ｕ ｎ  ＾ｒ ０
－



；

ｐｒ ｏ ｃｅ ｓ ｓ ｆ ｐ ｒ ｏ ｃ ｅ ｓ ｓ  ｏ ｆ ｐｎ ａ ｍ ｅ
－

４
－



＼
 

， ” ，

ｓ ｌ ｏｇ  — 

；

６  ｉｆ  ｕ ｎ ｉ ｎ ｓ ｔ ａ ｌ ｌ ａｐｐ  ｔ ｈ ｅ ｎ



７  ｉ ｔ ｐｎ ａ ｍ ｅ  ｉ ｎ  ｗ

一
ｌ ｉ ｓ ｔ ｏｒ ｐｎ ａ ｍ ｅ ｉ ｎ ｍ 一
ｌ ｉ ｓ ｔ  ｔｈ ｅ ｎ



８  ｒ ｅ ｍ ｏｖ ｅ ｐ ｎ ａ ｍ ｅ  ｉ ｎ ｗ 
 ＿
ｌ ｉ ｓ ｔ  ｏｒ  ｍ 一
ｌ ｉ ｓｔ



９  ｅ ｎｄ



１０  ｅｎｄ



１１  ｉ ｆ ｎ ｅ ｗ  ｉ ｎ ｓ ｔ ａ ｌ ｌ  ａｐｐ  ｏ ｒ  ｕｐ ｄａ ｔ ｅ  ａｐｐ  ｔｈ ｅ ｎ
 


１２  ａ ｄｄ ｐｎ ａ ｍ ｅｉ ｎ

 

１３  ａ ｃｔ ｉ ｖ ａ ｔ ｅ  ａｐｐ 

；

１４  ｉ ｆ  ａｐ
ｐ 
ｉ ｓ  ｒ ａ ｎ ｓ ｏ ｍ  ｔｈ ｅ ｎ



１５  ｒ ｅ ｃｏｖ ｅ ｒ ｄｅ ｖ ｉ ｃｅ



１ ６  ｅｌ ｓ ｅ



１７  ｒ ｅ ｍ ｏ ｖ ｅ ｐｎ ａ ｍ ｅ  ｉ ｎ  ｍ  —
ｌ ｉ ｓｔ ＼
ａ ｄｄ ｐｎ ａｍ ｅｉ ｎ ｗ

＿
ｌ ｉ ｓｔ



ｉｓ  ｅ ｎｄ



１９ ｅｎｄ



２〇  ｉ ｆ
（ ｐｎ ａｍ ｅ  ｉ ｎ ｍ ＿
ｌ ｉ ｓｔａ ｎ ｄ ｐ ｒ ｏ ｖ ｅ ｓ ｓ  ｉ ｓ  ａ ｃｔ ｉ ｖ ｅ ）
ｔ ｈｅｎ



２１ ｓ ｕ ｓ ｊｒ ｕｎ  １ 

；

２２  ｈ ｏｏ ｋ  ｍ ｅｔ ｈ ｏｄ 

；

 ｏｇ  —  ｈ ｏ ｏ ｋ  ｉ ｎ ｆ 〇
．

２３ ｌ


，

２４  ｅ ｎ 

ｄ

２ ５  ｒｅ ｔ ｕ ｒ ｎ  ｓ ｕ ｓ ｊｒ ｕ ｎ ＾ 
ｌ ｏｇ



５ ４
．
实验评估



本节 对 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 的 有 效 性进 行 评 估 。
首 先介 绍 数 据 集 的 组 成 ，
然 后设计 四


个实 验来 测 试 Ｋ ＲＲ Ｅ Ｃ ＯＶ ＥＲ 。
对于 每 个 实 验 ， 都 会 先提 出
一

个问题 ，
然 后描述 实 验


过程 和 结 果 

。

６７


北 京 邮 电 大 学工学 博 士学 位论 文 



５ ４ １
． ．


实 验数据

实 验 选 用 的 数 据集 来 源 于 Ｖｉ ｒ ｕ ｓ Ｔｏ ｔ ａ ｌ 以及 ＡＭＤ 公 开 数据集 中 的 勒 索 应 用 。 测试


数 据集 的 组 成 与 各 组 样 本 具 有 的 勒 索 行 为 如 表 ５
－

１
所示 。
为 了 方 便进 行 验 证 ， 实验按


照 勒索 应 用 加 密对象 的 不 同 ，
人 工 将勒 索 应 用 按 照 勒 索 类 型 分 为 了 设 备 劫 持 类勒 索


和 文 件 加 密类勒 索 两 组 。 其中 ， 文 件 加 密 类 勒索 应 用 样 本 数 量 为 １ ２６ ， 其中 ， 有 １ ８ 

个
样 本 同 时 具 备 屏 幕 资 源 抢夺行 为 与 文 件 加 密 行 为 。 设 备 劫 持类 勒 索 应 用 数 量 为 ５ ００ 

。

在 设备劫 持类勒 索 应 用 中 ， 设备 加 密 类勒 索 应 用 的 数量 为 ４７ ５ ，
屏 幕 资 源 抢 夺类勒 索


应 用 的 数量 为 ２５ 

。

表 ５
－

１ 测 试数据 集 组 成 表



Ｎ ｕｍ ｂｅ 设备 加密 劫持 屏幕资 源劫持 文 件 加密


■

ｉ
（ ）

数据 集 １  ４７ ５  ／



数 据集 ２ ２ ５  ／



数据集 ３ １ ０ ８  ／



数据集 ４  １ ８  ／ ／



５ ４ ２
． ．
实 验 分析



为 了 更好 的 评价 Ｋ Ｒ ＲＥ Ｃ ＯＶ Ｅ Ｒ ，
本节设计 了 
４ 个实验 问 题 。
对于每 个 问 题 ， 

都
会 先 设计
一

个实 验 ， 并 给 出 实 验结 果 。 然 后 对 实 验做 一

个简 短 的 总 结 

。

问题 １ ：
 Ｋ ＲＲ Ｅ Ｃ ＯＶ Ｅ Ｒ 能否 自 动 恢 复被 勒 索应 用 劫 持 的 设 备 ？
问题 ２ ：
 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 能 自 动 解 密 被勒 索 应 用 加 密 的 文 件 吗 

？

问题 ３ ：
Ｋ ＲＲ Ｅ Ｃ ＯＶ Ｅ Ｒ 能 同 时恢复 被加 密 的 设 备 和 被加 密 的 文件 吗 

？

问题 ４ ：
 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 的 运 行 效 率 是 否 可 以 接 受 ？

５ ４ ２ １
． ． ．
回答 １ ：  ＫＲ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 能否 自 动 恢复 被 勒 索 应 用 劫 持 的 设 备 

？

本 实 验 在 安 卓 设备 上 安 装 并 触 发 了 
４７５ 个 加 密设备 的 勒 索 应 用 和 ２５ 个抢夺屏幕


资源 的勒索应用 ， 并 通过 Ｋ Ｒ Ｒ ＥＣ Ｏ Ｖ ＥＲ 恢复 了 被加 密 的设备 。
为 了 避 免勒 索 应 用 间


的 相 互影 响 ， 在 进行 测 试 时 ， 前
一

个勒索 应 用 测 试结 束 后 ， 研 究 人 员 将 其 进行 卸 载 

，

之 后 再进行 下 一

个勒 索 应 用 的 安 装 测 试 。
测 试使用 的 ４７ ５ 个设备加 密类勒索 应 用 在


被触 发 后 ，
Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ ＥＲ 均 能 够 自 动 解 除设 备 的 密 码 ， 恢 复 设 备 正 常 使 用 Ｅ 测 试使


用的 ２５ 个 屏 幕 资 源 抢夺类 勒 索 应 用 在 被触 发 后 ，
Ｋ ＲＲＥ Ｃ ＯＶ Ｅ Ｒ 均能 自 动解 除 勒 索 应


用 对 屏幕 资 源 的 抢夺 ， 使设备恢复 到 正 常 使 用 的 状 态 

。

６８



第五章 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ ：

勒索实 施 后资 源 自 恢复技 术研究






Ｉ

＾ ■ ？Ｔ ＾ ａ



■Ｈ ＨＷ ｉ


（
ａ）  （ ｂ ）

图 ５
－

２ 设 备劫持恢 复 实 验 效 果



以设备加 密型勒 索 应用 ５ ６ ６ ９ ｆ７ ８ ４ ７ ４ ４ ８ ａ ａ ９ ２ １ ４ ｂ ４ ６ ５ ｆ９ ４ ｅ ｂ ３ ｅ ４ ５ ６  （ Ｍ Ｄ ５ ） 为例 ， 在图


５
－

２ 中 ？
（
ａ） 为 应 用 被 触 发 后 对 设 备进行 加 密 勒 索 ， （
ｂ） 为 ＫＲ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 对设备 进 行 恢


复后 。 可以看出 ， 此 时设 备 的 加 密 密 码 已 被 解 除 ， 设备 能 够 正 常 使 用 

。

５Ａ２ ２ ．
回答 ２ ： ＫＲＲ Ｅ Ｃ Ｏ Ｖ Ｅ Ｒ 能 自 动解密被勒 索应 用 加 密 的 文件吗 

？

实验将 １ ０８ 个 仅具有文件加密行为 的勒索 应用 （ 使用 官方加 密 ＡＰ Ｉ 且非动态加



密 下 同 在安卓真机上进行安装 测 试 和之前 样 前 个勒 索 应 用 测 试结束 后
一 一

。
， ） ， 

，

研 究 人 员 将 其 进行 卸 载 之 后 再进 行 下 个勒 索 应 用 的 安装 测 试 同时 为 了 方便测


一

． 。
，

”
测试使用 的 个文 件加 密类


“

试 ， 研 究 人 员 预 先 在 测 试 机 中 存放 了  ｔｅ ｓ ｔ ｔｘ ｔ 文件 。 １ ０８

勒索应 用 在被触 发 后 ，
Ｋ Ｒ ＲＥ Ｃ Ｏ ＶＥ Ｒ 均 能够恢 复加 密 文 件 使 其 正 常打开 

。

以 文 件加 密 型勒 索 应用 ｆ３ ａ ７ ９ ９ ５ ３ ｃ ｃ ２ ｅ ３ ｂ ａ ｂ ｂ ｃ ８ ７ ｆ ｆ４ ４ ｃ ２ ｂ ｃ ７ ０ ３ １ （ ＭＤ ５ ） 为例 。
为 了方


便测试 ， 实验使 用 ｔ ｅｓ ｕｘ ｔ 作为 目 标文 件 。 图 ５
－

３ 显 示 了 测 试 使 用 的 原始文 件被打开后


在勒 索 应用 被激活 后
”

如图
“

的 语句 为 Ｔ ｈ ｅｔｘｔ ｆ
ｉ  ｌ ｅｉ ｓｕ ｓ ｅ ｄｔ ｏｔｅ ｓｔｒａｎ ｓ ｏ ｍ ｗ ａｒ ｅ ｓ 。
，
５
＿

４ 

所
示 ．

文 件变 成 ｔ ｅｓ ｔ ． ｔ ｘ ｔ ｅ ｎｃ．
。 文 件 无法被正 常打开 ， 内 容 已 经变成乱码 。
在 ＫＲ ＲＥ Ｃ Ｏ Ｖ Ｅ Ｒ



解密 文件后 ， 如图 ５
－

５ 所示 ：
加密文件 ｔ ｅ ｓｔ ． ｔ ｘ ｔ ｅ ｎｃ．
已 恢复 为 ｔ ｅｓｔ ． ｔ ｘｔ 。 此 时文件 可 以正



常打开 文件 内 容与 原始 文件 致
一



。
，

实验 随机抽 取 了 测 试样本 中 ５０ ％ 的 数据 ， 对其 进 行 反 编 译 ．
人 工 进行 代 码 查 看 

。

发 现这 些勒 索 样 本 确 实 使 用 了 官方加 密 ＡＰＩ 且 非动 态加 密 的方式 ， 对 目 标文 件进行



加密 

。

６９


北 京 邮 电 大 学 工 学 博 士学 位论 文 



Ａ ＊ ＊５


Ｖ
ｉ １

 ｍ 
Ｔ ＳＭ８  ６ Ｓ Ｊ  Ｊ Ｖ Ｔｉ ＧＳ ３
？
＾ ．
ｆ
，

Ａｎ ｄ ｒｃ ｄ
 ＾
？

 ＾ Ｓ ＾ｉｋ
ｉ
；
ｌ
： ｔ ５ 
． Ｓ ＳＳ ３＊ ４  ｔｒ
ｆ －

ｆ ｗ
－ 

－

 ｊ


￣ ＊


￣
ＤＣ Ｍ
■

Ｉ 

ｌ？ ｉ
ｓｔ  Ｐｉ Ｒ  Ｐ ｏｃ ｃａ ｓ ｉ ｔ 

ｓ

Ｋ 
＇

Ｃ ｗａ ｗ
 ５ ｔ


－

Ｋｏｖ ｅ ｓ
．
？ ＾ ＊
Ｓ ＊
ｒ
＞ 
． ｉ ５

Ｊ 

？ ｉ ＞ ｔ ： ｆ ｉ ｃａ ｔ ； ｏｒ ｓ ．

 一   



Ｐ ｒ ｔ ｕｒ抒
 在Ｕ Ｐ ？ 蒙 Ｓ 件 之 儺  ＊ 今 灌 ＊ Ｘ 锌 的 Ｓ ？ 名 Ｒ Ｂ ５ Ｅ ｔ Ｓ ？
５ ｌ ＊
；
Ｊ

＂
，
 １  ．

 

‘

Ｐ ｏｄ ＾ 糾 扣 文 件 ｓ 示 约 内 Ｓ Ｓ Ｕ 文 件 用７ ？ 碟 《 ？ 件

ｃ ｔ ＊ ！


，

，
８ ｉ ｎｇ ｔ 〇ｔ ｅ ？ ：


￣
Ｒ ｎ ｇｔｏｎ ｅｓ

 ｉ

ｊ 
Ｘ ＊Ｓ Ｘ  ｔ ｘ ｔ 
１  ＾ ｎ？ ｔ
ｆ ＜
ｒ Ｋ Ｓ
：

ｗｗ
＇ 

＊

ｊ ｏｏ ｔ Ｃｙｅ ｍ ｉ  ｉ ｃ ＊Ｓ６ ： ａ ｄｃ ａｉ ｄ  ５  ｃ ａ ｌ  ｔ ｅ ｓ ｔ ｔ ｘ



ｍ
７ ＾ｍｆ ： ｉ ｅ ｉ ｓ  ｕ ｓ ＞ ｉ ｄ  ｙｐ 
ｔ ？ Ｔ
 ｔＢ 
ｓ ｙ ｓｔ ｅ

ｉ ？ｎ Ｓ ＜ ＊ ？ａ ｒ ｃ ｒ ｏ ｏ ｔｅ Ｓ ｅ ｎ ？ ：
－

ｉ
ｃ Ｔ Ｓ６ ：  ｉ  ｃ
ｓ＜ ｃａｉ ｒ ？
 ？ ；
枯 作 ｗ ｍＫ  知阶

ｉｔ
ｅ
ｔ ｂｓ



？
＊

？ ？
＝

ｒ ？ ３ｉ３  ： ： Ａ ／ ｒ ｗ ｘ

ｎ？ Ｔｅｎ ｃｅｎ 

ｔ

ｇ 

ｉＶ 
ｌ ｔ ｅｓ ｔ  ｔ ｘｔ



ｕ
［ －

＜ｌ ？ Ｎ ｙ  ？
—
＜
？
＞ 

－
／ ， 

ｇ ｊ ｊ

ｊ Ｊ Ｈ 
？ 站 ； ３ ｎ ａ ｓ ； ４？  ■
？
？
ｗ ｍ ＇
．

‘
■
！ ＞ ！ Ｗ 
■Ｐ
明 饨
響

 ２３ ９６ ｉｔ  ｗｒ ｔ ｉ
ｉ


…

图 ５
－

３ 原始 文件



１Ｍ ｍｍＨ Ｓ


ｉ ｓ ａｒａｓ
 ｉ

｜｜ ｜
ｌ

＾Ｂ ｐＭＢ １ ｌ ｌ
１
ｉ ｌ

ｐ ｉｌＳｌ ＢＨ ｌ

Ｐ Ｍ Ａ ｓ ａｒｏ ｉ ｄ

｜

ｆ ？ Ｍ３ Ｓ 系 Ｕ ？ ＆８ 考 專 

〇

；

Ｋ Ｖｉ
 ！
＾ ｊ 
！ Ｓ ｉ ／ｊ  ｉ
Ｓ 〇？ ２
：
ｎ 
－ ａ
Ｊ Ｊ Ｈ 
＜ ？
？



－

Ｌ ＯＳＴ ． Ｄ Ｉ Ｒ  ＊ 一 １



ｕｓｖ ｔ Ｍ  ｓ ＾ｍ Ｐｏｄ ｃａｓ 

ｔ 

ｓ

■ Ｃ — 
肪拂 ＊細 》 懷 文咖 臟生 
奴 洗＾ 签 发 立 ｃ
ｆ 文 柯 示
ｎ
＇ － １ Ｍ － ￡ －

？ 也
，

了 交 ． ｕ ？
－

ｒ ａ ？Ｋ
了 

Ｉ



酸

▲
的内 ￥ 为￡ 转 ■
该文Ｐ Ｅ？Ｓ 案 ？
茨ｇ  ＾＾ ｆｔ ＱＱＢ ｆ Ｏ ｗ ｓ ｅｒ



Ｐ ＾？ ａｓ ｓ －

  Ｍ ｔ
ｐ
３ ？ ａ ＾ ｖ
？ ．
． ｖ ＝


？

？ ａａ４ ｂ〇 ３ ｌ〇 ｆ
＿
ｃ ｏ ｃ ｌ
－

－
９ｔ ｎ ３ ｉ ｃ  ｋｆｒｖｃ ｏ ｖ ｒ ： ．
 ｉ ？ｒ  Ｍｍ Ｒ 
ｉ

ｎｇ ｔ ｏ ｎ ｅｓ



ｒ
？ ？ ｏｃ ｋｅ ｒ 〇ｓ   ｆ ｗ ｗ＊
：

＾ ｉ Ｊ ？
ｓｎ ｆ ｘ Ｌｏ ｅ
＞
ｒ
ａ ＜ ｉ
＞ ［
＊
ｒ ｉ ；  ￡ ｉ ）
］ ：
 ３ ｉ ＞ ；  ：

Ｉ ｒ ｏ ＆ ｍ ？ｃｅ ｒ ｉ ｒ ； Ｓ６  ｓ ａ ｃ ａｒ？ 
ａ  ｃ ａ ｔ  ｔ ｃ ｓ ｔ ．  ： ｘ
＊

 ｃ ｎｃ 
ｒ－ ａ “ 

」

ｇ ＾ｒ ｏ
＂

ｅｇ ｎｗ
ｆ ＊
 化 Ｓ
￣

？ ？ ７ ｖ ＜ Ｉ ｉ ＆ ｉＴ ａＳ ｆ
ｃ ｓ ｄ： ａ ｒｄ 
ｇ？
？ ：  － ｃ 

＾ 
ｒ： ｔ ＞ｉ  ｉ ＾ ： ｉ ：  ：
ｖ ？ｘ ； ｗｔ



Ｔ ｅ ｎ ｃ ｅ ｎ ｔ

ｒｖ  ｔ ｅｓｔ  ｔｘｔ  ｅｎ ｃ



Ｓ ｉ？
 ａ
？ ？ ７ ￣ ＾ｅ
￣ 

—

ｉ
ｆ Ｓ ｌ
 ！ ？ ｒ ？ Ｈ９ 
－

 ｔ

ｊ Ｊ 

磁 ； —
 ］
５ Ｔ
＿ 
ＴＷ Ｂ Ｐ  Ｉ
ＨＰ


＾
 ｜ 

ｆ
图 ５ ４ 文件加 密



Ｊｆ ＾ ｗ ｃ ＊ｒｃ  ｓ 
－

ｒ ｏｏ ＇
Ｔ ｌ ｃ ．
ｊ Ｓ ｉ ：
＊ ？ Ｓ ； 

＊

Ａ ？４ｎ＊ ｉ ｄ
 Ｈ３  

？

ｉ
？ ｅ
？
？
ｉ
？ ｆ ＞
／ ｉ ＾ ａ ｒ ！
Ｋ ｉ

ｗ ｎ ｊ


－

 ＇
￣ ￣ 

１

Ｄｏｓ ｓｌ ．
＇
ｕｄ

ＬＯＳＴ ． Ｄ Ｉ Ｒ  Ｐ ｏｄ ｃａ ｓ ｔ 

ｓ

Ｐ Ｋ Ｘ  ｎ ｗｓ ｘ
＇

Ｕｒ  ｔ
１
Ｌ ｉ
－
－
ｔ  ｉ ｉ 
Ｐ ￡ 
＾ 


ｉ
．

，  ＿

＾ 
；  Ｖ  ＫＫＫ ？ 〇 ＼ ｘ ｔ
解 密 文 件后 ．
取 始 内 客可 以




—

Ｐ ｏｄ ｃ ｔ Ｓ ｌ Ｋ 
Ｈ


明

Ｓ ｉ ｏｐｉ ｃ ｎｐ ＊  Ｒ ｎ ｇｔ ｏｎｅｓ

 ｉ

＾
Ｓ
＇

ｋｒｒ ｅｃｏ ｖｅ ｒ ｏｇ  ａ 
－

ｓ ａｎｄ ｈｃ ｘｉ ｏ －
ｅ ＾ ｏｋ ｏ
＾ ｔ ｎ ｉ ｒｃ 
．
 ｌ Ｆ （
ｔ ｔ ｉ ｓ ｒ
ｒ ｉ ｅ ． ． ＜ ：
？ 〇 

ｓ ，
＇

． ｒ ． （ ｌ ＞ ｉ ｏ ＞ｊ  ｎ ｓ  ｒ ｙ ， ｉ  ５ １ ？
＇

１ ＊ １ 〇 ＾ ＾ １ ．  ｌ 〇Ｋ



ｔ ｅ？ ．  ｔ ｉ ｔ
 ＿ Ｉ 
鱗ｍ



ｊ  ＜ ｘ ＞ ＾ Ｋ
＊
－

ｉ ？ ．
ｔ ＾ 
？

ｓ ｉ ！ ｃ ？ｒ ｄ  ｓ  ｃａ ｌ  ｉ ｗ ｔ ． ｌ ，

ｒ ？ － —



ｒ
 〇＾   ５
－ － ＇
 ？ － ＊

Ｔｈ  ｒ ｒ ｏ ＞ ｒ ｒ
－

  ａ ｒ ｆ
－ ＝

ｆ
Ｊ
ｊ
ｅ
＞
ｉ
Ｔ ｌ ．
＞ ：
ｒ
： ？ ｉ 
ｒ

ｔ ＆ Ｓ



＊ ！ ＞
 ＞
■  ｒ ？ ｎ 

Ｔ ｅｎ ｃｅｎ 

ｔ

＂＂＂



＆ —

ｔ ｅｓ

５ ！
ｉ
，

？
 ｔ ｘｔ

？ ＊ ＜
＾ ｉ ｔ ＭＫ


ｉ
 Ｓ
！
 ？  ｉ

ｆ ｜

＾ ｒ ｓ
ｆ 
５ ２ ？ ｉ 
：  Ｕ ＮＴ Ｃ  ； ＞

Ｔ ＷＲ 

Ｐ
動 

图 ５
－

５ 文件解 密



７０



第五章 Ｋ ＲＲ Ｅ Ｃ Ｏ Ｖ Ｅ Ｒ ：

勒索实 施后资源 自 恢复 技术研究




５ ４ ２ ３
． ． ．
回答 ３ ：
 Ｋ Ｒ ＲＥ Ｃ ＯＶ Ｅ Ｒ 能 同 时恢 复 被 加 密 的 设 备和 被 加 密 的 文 件 吗 

？

本 实 验 在 安 卓 真 机 上 安 装 并 触 发 了 １ ８ 个具有 屏幕 资 源抢 夺行为 和 文 件 加 密 行 为


的勒索应用 。 然 后 研究 人 员 使 用 ＫＲ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 恢复被 加 密 设备和 被加 密 文 件 。 和之


前 样 在进行测 试 时 前 个勒 索 应 用 测 试结束 后 研究 人 员 将 其 进行卸 载 

之
一 一

，
， ， ，

后 再进 行 下
一

个勒 索 应 用 的 安 装 测 试 。
测 试使 用 的 １ ８ 个混 合型勒 索 应 用 在被触 发 后 

，

均能被 Ｋ Ｒ ＲＥ Ｃ ＯＶ Ｅ Ｒ 进 行恢 复 

。

？ ＿ “ｖ Ｔ —ｉ
ｉ ｉ
ｆ ＿Ｙ Ｈ

 
丨  ｒ

ｍ ｃ ｖｙｆｓｉ ｓ ＾＊ Ｏ ＴＨ Ｂ  ＊  

９

ｇ
ｉｆ
５ ．

１ Ｈ ａｉ ｆ
ｔ
ｉ ｒ ｗ ｔｅ
界敗湖



Ｃ ３ ？ ｏ ｏ ６ ｗｙ ＊ ８ａ？ｅｓ ＊ ＞

＊ｉ

２ ． 
ＶｉＺ Ｍ ｆ ｓ ｒｚ 
ｉ
ｆ  ｎ ｗａ ｍ ａ ｗ ｗ  Ｖ ＳＡＩ
 －



屬
ｃ ｐｎ ｗ ｉ Ｍ ｉ Ｆ ｒ

■腦 ＇

 ｉ＞



（
ａ）  （
ｂ ）

图 ５
－

６ 设 备劫持恢 复



 ＃入
＇

 ｓ ｒ＞
＇
： ｃ ＞
〇 Ｔ § ？
ｐ ｎ ｓ Ｔ ｉ ｃ ｘ Ｓ？ ＞
ａ ｒｔ５  ￣
 ｉ ｓ


、

Ｋ ｉＭ
 Ｓｙ ？

Ｃ
ｐ ４ ＜  ｖ
．
Ｔ  ？

｜
，
 ＾ ０３   ５ 
＜ １

 ？ ｒ
； ． ． 

Ｕ ｂＴ

？ ￣ ￣ １



．
 Ｄ Ｉ Ｒ
ｊ 


Ｐ ｏｄｃａ

ＢＳ ｆ
ｓｉ ｓ


八
－
？ 索 软雜 －
两 淑文 邮后组 名 发生 了 在ｎ ？ｆ ．

ａ 

■
＇ ｉ ｉ
＇ ｃ

ｐ ：
： ．
 Ｈ 对 故 容 也发 生 了 狄  ｃＭ ｕ ｒ ｒ ｍ 文 锋 ￡ 示

 ？ ｔ ．

＿ ４
紇＊容为 Ｓ 文 件 已 孩 私 索 玟 件如 ｇ ＱＱＢ ｒ ｏｗ ｓｅ 

ｒ

■ ： 匕
明 ＇
， ？
＊ ，



一
Ｒ ；

ｓ ＆ｎ ｄ ｂｃ ｓＬ 〇ｆ ：
＿
ｃ 〇 ！ Ｅ ． ｉ ） ｕｐ ｔ ｒ
． ｉ ｒｃ － ｆ ｊ ｒｅ ｃｏ ｖ ｅｒ ．
 ｌ ｏｇ  Ｒ ｎ ｉ

ｇ ｏ
ｔ ｎｅｓ



ｓ ａ ｎ ｄ ｂｃ ｘＬｏ ｊ  ｃ ｃ ？ ．  ｓ ｉ ｍｐ ｌ ｅ ｌ ｏｃ ｋ － ｒ ； ．  ＾ ｏ ｙ  ：

０ ｜
ｕ ＾ｈ 
＞
＞
 ７   ｒ
＾ ａ ．


－

｜ １ ＝ 心 １  １ ｂ？ 
ｓ ｙｓｔｅ ｍ



Ｗ Ｓａｉ

 ｓ ｄｃ Ｓｃ ｘｔ Ｉ 

ｒ ｏｏ ｔ ＾ ｇｅ ｎｅｒｉ ｃ ＾ｙ ｅ ： ａｒｄ  ａ ｔ ｔ ｅ ｓ ｔ ．  ｔ ．
ｅｎ ｃ
ｊ

； ？？？ ＼ ？ ｖ  ￡＜ ？＃ ＠＠ ｒｙ ｒｏｏ ｔ ｅ ｎ ｅｒ
ｇ８ｆ ｉ ｃ ＿
ｓ ６ Ｓ ： ｓｄ ｃ ａｒ ｄ  ￡
 饑ｔ
ｅ＾ｂ 

ｓ

Ｖ  ５ ｉ
０６ ＾ ｒ ５￡  Ｋｉ －

ｔ Ｋ ｘ


－

Ｔｅ ｎ ｃ ｅ ｎｔ



ｆｉｔ  ｔ ｅ ｓｔ ｔｘ ｔ  ｅｎ ｃ



  — 找巧
－

Ｉ Ｉ
巧 丨
ｄ ３９  Ｖ ｆ
ｃ Ｕ Ｅ Ｊ Ｋ  ：
你 ；
Ｖ ｉ


—

ｊ ５ Ｓ ．
？
Ｅ
？  ５ ？ Ｓ＆ ３ Ｊ ／ ＜ ４  （ ？ ｙ ；
？ ｗｘ


－

了騰


＿ －
－

 ｖ Ｍ Ｋ 
－

 ２５ ：
５５放 （ ＷＷ ？ ＞


－



—

图 ５
－

７ 被加 密的 文件



７ 

１
北京 邮 电 大 学工学博士学位论 文 







＾
〇

－

Ｍ Ｓ Ｂ＾ ｍ
＜

ｎＧ Ｂ Ｓｊ
１ １

ｇ４ ａ ｇ １ １  
ｒ ／ 

ｗ
ｊ


．
 ．

叱说
 ＾ １
１
？ ９ Ｑ３３ １ ３＊  ＆  ｒ 

ｋ
Ｄ ｏ ｗｎ ｌ ｏａ ｄ



ＬＯ ＳＴ ．  Ｄ Ｉ Ｐ  Ｐ ｏｄ ｃ ａ ｓ ｔ ｓ



＂
＇  

＇

■  Ｓ＾ ｆ ｉ ｃａ ｘ ｉ ｏｎ ｓ
敗此 ■
？

解 密 文 件后 ．
原始 内 容咖
■  Ｐ ｉ ｃ ｔ ｕｒ ｅ ｓ  １示在文件中 ｅ  纖醮 ｏｗｓ ｅ
ＱＱ Ｂｒ 

ｒ

■ ／ 画
… 祕齡 離擎


 Ｐ ｏｄ ｃａｓ ｔ ｓ

■ 
Ｒ ｉ ｎ ｇ ｔ ｏｎｅ ｓ  ’ Ｒ ｎ ｉ

ｇ
ｔ ｏｎｅｓ



ｓ ａ ｎ ｄｂｏ ｘ Ｌ ｎ ｇ ｃ ｏ？ ４ ） ？
ｎ
＊ Ｔ ｎ３ ｉ  ｒ  ｋ ｒｒ ｅ ｃ ｏ ｖ ＜
？
ｒ ．
 ｌ ｏ ｇ
 Ｈ  ｎｏ
＇

ｒ 

ｗ

ｓ ａｎ ｄ ｂ ｏ ｘＬ ｏ ｇ  ｏＯｂ ．  ｓ ｉ ａｐ ｉ ｅ ｉ ｏｃ ｋｅｒ ．  ｌ ｏｇ



■ｊ ＾ｒ ｕ Ｔｊ  ａｇ ｓｙ ｓ ｔ ｅｍ


｜
Ｂ
￣

＝
 ｗ ｖｆｗｘ
 Ｓ ５
＂

ａｒｄ  ａ 
ｓ

 ｒ ｏｏ
３
ｔ ＾ｇ ｐ ｒ ｅ ．
ｉ ： ｃ ｘ Ｓ６ ／ ｓ ｄ ｃ ｃ ａ ｔ ｔ ｅｓ ｔ ｔ ｘ ｔ

＾
： ．

Ｔｈ
＾
 ＇
ｆ ｉ ｅ  ｃ
ｕ ｓ ｅ ｄ ｔ ｏ  ｃ ｓ  ａ ｎ ｓ ｎ ｒｓ
－

ｏ ｒ ｏｆ ５ｇ ｅ ｎ ｎ ｃ ＼ ８６ ｓ ｄｃ ｎ ｒ ｉ
．
 －


ｔ ｒ ｌ
ｉ
ｔ ｒ ｅ
ｊ ｓ
ｉ  ｒ ｔ
？ 

ｔ ｂｓ



ＨＵ ｒｔ ｆ ｘ ｓ ｖ ｔ ＊


—

Ｔ ｅ ｎ ｃ ｅ ｎ ｔ

ｅ
ｔ
Ｐ
ｓ ｔ ｔｘｔ



Ｉ ｌ

＾
—

 ＝ Ｓ ９ ３４ ２ ｉ ２ｆ ５？ ａ＜  ｒ ＜ ？


—

： 
＼
７ Ｉ 
｝ ：  ？ ｒ
．

｜


ｊ  Ｉ

７？  ９  Ｕ  ｒｆ ： ｙ ． ｉ ｒ ｎ 

ｘ

Ｐ＾ ｔｗ ｒ ｐ
 ＾ｐ 

ｒ

图 ５
－

８ 文忤解密



以 混 合 型 勒 索 应 用 １ ５ ４ｅ ａ ｂ ９ ５ ｄ ｂ ｂ ２ ｃ ８ １ ３ ４４ ６ １ ９ ９ ６ｂ ｌ ４ ］ ５ ８ ｂｃ ａ （ ＭＤ５ ） 为例 在图 ， 
５
－

６ 中 

，

（
ａ） 为勒索 应 用 被触 发 后 的设备 界面 。
勒索 应 用 抢 夺 了 屏幕 资 源 ， 阻 碍 使 用 该设 备 的


用户 ， 并索要 赎金 。 （
ｂ） 为 ＫＲ ＲＥ Ｃ ＯＶ Ｅ Ｒ 释放被抢 夺 资 源 后 的 设备 界 面 。 图 ５
－

７ 

显

示在勒索 应用 被触 发 后文 件 ｔ ｅｓ ｔ ． ｔ ｘｔ 被加 密为 文 件 ｅｓｔ
ｔ ． ｔ ｘｔ ｅｎ ｃ ．

，
且 无法打开 。
图 ５
－

８ 

是
ＫＲ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 对 被 加 密 文 件 解 密 后 的 文 件 状态 。 可 以 看 到 被 加 密 的 文件 已 经恢复 到


文 件 能 够 正 常打 开 文 件 内 容与 原始文件 致
一

ｔ ｅｓ ｔ ． ｔ ｘｔ 。
，


。

５ ４ ２ ４
． ． ．
回答 ４ ：
ＫＲＲ Ｅ Ｃ Ｏ Ｖ Ｅ Ｒ 的 运行效率是否 可 以接 受 

？

ＫＲ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 的大小为 ４ ９ＭＢ ．

， 在 １ ２Ｇ 内存 、 Ｃ ＰＵ 型号 为 ＭＳＭ８９７４ ， 电池容


量 ３９３ １ Ａｍｈ ．
安卓 ４ ４ ．
版 本 的 测 试机上运行 。
为 了 测 试 文 件 解 密 的 运行效率 ，
本章


在 测 试 设 备 上 随 机 生 成 了 ２ ０ ０ 个 大 小 不 同 的 文 件 ， 并触发 了勒索应用 。 然 后使用


Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 对 文 件进行解 密 ，
记录不 同 文件 的解密 时 间 

。

图 ５
－

９ 显示 了 不 同 大 小 文 件对解 密 时 间 的 影 响 。 从图 ５
－

９ 可 以看 出 ，
文件越大 ， 

解
密 所 需 的 时 间 就越 长 每增 加 。 １ ＭＢ 大小 解密 时 间 需要增 加 近 ，
２０ 秒 设备 中 私 有 文 件
。


的 大 小平 均 为 ５ ＭＢ 。 与 勒索应 用 造成 的 经 济损 失 相 比 ， 我们认为 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 的解


密 时 间 是可 以接受 的 为 了 测 试 ；
Ｋ Ｒ ＲＥ Ｃ Ｏ Ｖ Ｅ Ｒ 的 能 量 消 耗 实验 记录 了 ， 
ＫＲ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ



在运行 时 的 Ｃ ＰＵ 占用 、
内 存 占 用 和 电 量 具 体 能耗见 图 。 ５
－

１ ０ 。
当 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 处 于 监


控状态 时 ，
Ｃ ＰＵ 占用 率为 ７ ％ ， 内 存 占 用 率为 ４ ０８ ． ％ ， 耗 电 量为 １ ． １ ％ 。 在 ＫＲ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ



解密文件时 ，
Ｃ ＰＵ 占 用 率为 ２５ ４ ％ ．

， 内存占用 率为 ４ ７８％ ．

， 耗 电 量为 １ ２ ２８． ％ 

。

ＫＲ Ｒ Ｅ Ｃ Ｏ Ｖ Ｅ Ｒ 的 运 行 效率 是 可 以 接 受 的 。 它 可 以在短时 间 内 以 很 少 的 能 耗恢复


被劫 持 的 设备和 被加 密 的 文 件 

。

７２



第五章 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ ：

勒索实施 后资源 自 恢复技 术研究




消耗时 间 （
ｍ ｓ ）

１ ２ ０ ００ ０
，



１ ０ ３４ ６ ２




＾
１ ００ ０００ ９ ２ ５ １
．
＾
，


＇

７８８６ ２



＾
８０ ０００
＾

６ ６８
－


＂
＾
６０ ００ ０ ５ ２ ４９
．
Ｋ
４１ ６ ３４ 

，


４〇 〇Ｕ〇
，



’
２６
，５
２０ ００ ０
．  １ ５７０ ８



２２３５



文 件大小＿



图 ５ ９ 解密时间 与 文件大小 关 系




－
Ｃ ＰＵ ？ 内 存 电 量


消耗占比 》


３０
ＣＰＵ



２ ５ ．


４

■Ｉ


１ ５  电量


１ ２ ． ２８



１ ０ ■


－  ：

ｉ
：

：
ｉｉ ｉ ｖ 

：

运 行 时 间 文 件 加 密



图 ５ １ ０  ＫＲＲ Ｅ Ｃ ＯＶ Ｅ Ｒ 资源 消 耗示 意 图



５ ５
．
本章小结



本 节 提 出 了 针 对 感染 设 备 劫 持 型 勒 索 应 用 的 勒 索 设 备 恢复 方 案 ．

以 及 对感染 文


件加 密 型勒 索应 用 的 加 密 文件恢复方 案 。 本 章设 计 了  ＫＲＲＥ Ｃ Ｏ Ｖ Ｅ Ｒ  ，
—

个搭载 在安


卓 移 动 端 的 勒 索 设 备 及 加 密 文 件 恢复 应 用 。 ＫＲ Ｒ Ｅ Ｃ Ｏ Ｖ Ｅ Ｒ 能够在 用 户 的 设备感染勒


索应用 后 ， 在不借助 ＵＳ Ｂ 连接 电 脑进行设备 与 文 件恢复 的 情 况 下 ， 自 动 进行移动设


备 与 加 密 文 件 的 恢复 。
有 效避 免 了 因 为 勒 索 应 用 屏 蔽 了 设 备 的 ＵＳ Ｂ 调 试接 口 ， 迫使


用 户 不 得 不 在 终 端 进行 操 作复杂 、
专 业性较 强 的 设备资源恢复 的 情 况 。
据研究人 员 所


知 这是第 个 实 现 了 对 被勒 索 设 备 和 被 加 密 文 件 进行 自 动 恢复 的 应 用
一



。
，

７３


北 京 邮 电 大学 工 学 博 士 学 位 论 文 



７４



第 六章 Ｋ Ｒ ＰＲ ＯＶ Ｅ ：
攻击者 视 角 的 新 型勒 索 技 术



第六章 ＫＲ Ｐ ＲＯＶ Ｅ ：

攻 击 者视 角 的 新 型 勒 索 技 术



安 卓 端勒 索 应 用 发 展变 化快 、
勒索 应 用 繁 衍 快 、 变种 多 ， 但 面 对快 速 变 种 的 勒 索


应用 ， 当 前对 于 新 型 勒 索 技术 的 发 展 与 验 证 研 究 却 十 分 有 限 。 为 了 主动 发 现勒 索 应 用


在进化 中 的 潜 在 威 胁 本章 详 细 地 对 现 有 安 卓勒 索 应 用 的 勒索 技 术进 行 了 分析 提 出

 ， ，

了３ 种 新 型 勒 索 技 术 并 进 行 了 实 验 验 证 。
为 了 对勒 索 应 用 进 化 中 可 能 出 现 的 不 同 的


勒 索 行 为 进 行安 全 防 护 本章提 出 了 个 支 持 多 种 策 略 组 合 的 安 卓 端勒 索 行 为 验 证


一

框架 ，
并 针 对 各 种 策 略 组 合 得 到 的 勒索 行为 在 设 备 上 的 测 试结 果 给 出 了 防 御 建 议 

。

６ １ ．
引言



当 前勒 索 应 用 的 发展呈 现 出 了 技术 发 展 变 化快 、
勒 索 应 用 繁衍快 、 变种多 的特


＾
点 。
根据 《 ２０２ ０ 年 中 国 互联 网 网 络 安全 报 告 》 发 布 的 数据 显示 ，
２０２０ 年 全 年 传统


勒 索病毒 家族新变 种 、
新 的 勒 索病 毒 家族均 大 量 出 现 。 卡 巴 斯基 实 验室 同 年 发 布 的


数据 显 示 年第 季 度捕获到 了 种 新型 的 勒索 应用 变种 较 年第
９７ ］
［
２ ０２０ ２ ９ ００ ２０ １ ９ 

一

，  ，

四 季 度 种 类 增 加 了 １ ４％ ， 第 三季度捕获 到 的 勒索 应用 变 种 为 第 二季度 的 ３ ５．
倍 ， 种类


超过 了 
３ ２ ０００ 种 。 Ｔ ｈ ｒｅ ａ ｔ ｐ ｏ ｓ ｔ 在发布 的 《 ２０２ １
年 勒 索软 件 演 变 趋 势 报 告 》 中 也指 出



了 ， 勒 索 应 用 的 开 发 者 通 过 不 断 演 变 攻 击 技 术 与 攻击 战 略 ， 使 用 多 重 勒 索 攻击 的 技


术 ， 进 行 大 规模 勒 索 应 用 的 繁 衍 

。

勒 索 应 用 的 大 规 模 变 种 繁 衍 也 带 来 了 攻 击 事 件 的 大 规模 爆 发 。
据 Ｐ ｏ ｓ ｉ ｔ ｉ ｖ ｅ  Ｔｅ ｃ ｈ 

？

发 布 的 数据 显 示  ２ ０ ２ １  年 第 三 季 度 的 勒 索 攻 击 事件 比 例 占 同 期 所 有攻击


９９］
ｎｏ ｌ ｏｇｉ ｅ ｓ
【

 ，  

类型的 一

半 以上 ， 与 同 年 第 二 季度 相 比 ， 勒 索 应 用 的 攻 击 尝 试在数 量 上 提 高 了  １ ２％ 

。

面 对着 不 断快 速 发 展 繁 衍 的 勒 索 应 用 ， 需 要 安 全 人 员 能 够 针 对新 型 攻击 进 行 防


御 的快速响 应 否 则 ， ， 防 御 策 略 的 滞 后 以 及 攻 防 研 究 的 不 对 等 性将 会 导 致大 量 的 经 济


损 失 与 资 源损 失 。
据 Ｔｅ ｎ ａｂ ｌ ｅ 公 司 发 布 的 数据 ＿ ， ２０ ２ １ 年 由 于 勒 索 应 用 导 致 的 数据


泄露较 ２０２ ０ 年增长了 
７８ ％ ，
超过 ４００ 亿 条 隐私 数 据 遭 到 曝 光 。 然而 ，
面 对 快 速变 种


的 勒索 应 用 ， 当 前 对 于 新 型 勒 索 技 术 的 发 展 与 验证 研 究 却 十 分 有 限 

。

在 Ｉｏ Ｔ 领域 部 分 研 究 人 员 已 经 开 始 了 面 向 勒 索 应 用 可 能 应 用 技 术 的 研 究
，
。 Ｃａ ｌ ｖｉｎ



Ｂｒ
ｉ ｅｒｌ ｅ ｙ 等 人提 出 了 
６ 种 在 不 同 种 类 的 路 由 器 与 数 码 相 机设 备 上 勒 索 应 用 可 能 采 取 的


６ 种模式 。
由 于 安卓 系 统 勒 索 应 用 的 开 发相 较 于 路 由 器 系 统 能 够 有 更 多 的 方 式 ， 例如 

，

屏幕 资 源 的 劫 持 等 。 因此 ， 该 方 法 不 能 完 全适 用 于 安 卓 系 统 上 新 型 勒 索 技 术 的 研 究 

。

在 安 卓 领 域 仅 有 部 分 研究 人 员 对 勒 索 应 用 的 文 件 加 密 行 为 进行 研 究
，
。 研究 人 员


设 计 了 动 态 加 密 与 混 合加 密 相 结 合 的 勒 索 应 用 Ａ Ｅ Ｓ ｔ ｈｅｔ
ｉｃ 来测 试 目 前 的勒索应用


—

检 测 引 擎 检 测 文 件 加 密 行 为 的 有 效性 得出 了下 代 加 密勒 索 技 术 会朝 着动 态 加 密


一

７５


北 京 邮 电 大学 工 学 博 士 学 位 论 文 



或 混 合加 密等 技 术 的 发 展预测 

。

因此 ， 如 何 主 动 发 现勒 索 应 用 在 进化 中 更 多 的 潜 在 威胁 ， 并 针对 不 同 的 勒 索行 为


进行 安 全 防 护 是 应 对 勒 索 应 用 不 断 变 种 中 亟 待 解 决 的 问 题 。
为 了 主 动 发 现勒 索 应 用


在进 化 中 的 潜 在威 胁 本 章 在 详 细 地 对 现有 安 卓 勒 索 应 用 的 勒 索 技 术进行 分析 后 提

 ， ，

出 了３ 种 新 型 勒 索 技 术 并 进 行 了 实 验验 证 。
为 了 对勒 索 应 用 进 化 中 可 能 出 现 的 不 同



的 勒 索行 为 进 行安 全 防 护 本 章提 出 了 个支 持 多 种 策 略组 合 的 安卓 端勒 索 行 为 验


一

证框 架 ， 并 针对 各 种 策 略 组 合 得 到 的 勒 索 行 为 在 设 备 上 的 测 试 结 果 给 出 了 防 御 建 议 

。

本 章 的 主 要贡 献 如 下 

：

１ ．
详 细 分 析 了 勒 索技 术 的 发 展 。 对现有 的勒索 技术 ：

设 备 劫持 技 术 屏 幕 资 源 劫

 、

持技术 、
文件加密技 术 ；
辅助勒索 技 术 ：

按键屏蔽技术 、
信 息 窃 取 技 术在勒 索 应 用 中



的 应 用 与 进化进行 了 分析 。
同时 ，
本 章 分 析 了 安 卓 系 统 面 对 现 有勒 索 技 术 与 辅 助 勒 索


技 术 的 不 断 进化做 出 的 不 断更 新 

。

２ ．
提 出 了 攻 击 者视 角 下 ３ 种 在 安 卓 端 可 以 实 现 的 新 型 勒索 技 术 ， 并验证其 实现


的可能性 。 本 章提 出 了 新 型 勒 索 应 用 可 能 进 化 的 方 向 ， 并 提 出 了 基于 ＤＮ Ｓ 劫持的通


信劫 持 、 基 于 中 间 人 攻 击 的 数 据 劫 持 以 及基 于 ＤＮ Ｓ 隐 蔽 信道 的 数据 劫 持 三 种 在 安 卓


端 可 以 实 现 的 新 型 勒 索 技 术 实 验证 明 。
， 上述三 种 技 术 均 能 够 在 不 同 版 本 的 安卓 系 统


上实现 ， 验 证 了 上 述 新 型 勒 索 技 术 应 用 的 可 行性 

。

３ ．
提出 了 一

个 支持 多 种 策 略 组 合 的 安 卓 端 勒索行 为 验 证 框架 。
该框架 内 依据现


有 勒 索 技术 与 提 出 的 新 型 勒索 技 术 集成 了 四 个 功 能 模 块 与 个策 略 选 择 模 块 四个


一

。
，

功 能模块 内 部集 成 了 相 互独 立 的 、 不 同 的 勒索 技 术 手 段 。 策 略选 择模 块 支 持 用 户 对 功


能 模 块 提供 的 行 为 进行 组 合 ， 得 到 最终 的 勒 索 行 为 。 同时 ，
本 章 也 针对 各 种 策 略 组 合


得 到 的 勒 索行 为 在 设 备 上 的 测 试结 果 给 出 了 抗勒 索 应 用 的 安 卓 系 统 防 御 建 议 

。

６ ２ ．


勒 索 技术 发 展技术分析

６ ２ ． ． １ 设 备 劫 持技 术



年 第 个 能 够 重 置 设备 ＰＩ Ｎ 码 的勒 索 应用 Ｌ ｏ ｃ ｋｅｒＰ ｎ ％ 出现
１

２０ 月
１
５
一 —

１ ８ ，
ｉ 

。

它 使受害者 的 手机被锁住 ，
并 要 求受 害者 支付 ５ ００ 美 元 的 赎金 。
更可恶 的 是 ， 由于


Ｌ ｏ ｃ ｋｅ ｒＰ ｉ ｎ 是 用 随 机数 重 置 设 备 ＰＩＮ 码 ， 也 不 告 知 攻击 者 随 机 数 ， 所 以 即 使 是 攻击 者


也不知道重置后 的 ＰＩ Ｎ 码 。 这 意 味 着 即 使 受 害 者 交 了 赎 金 也 无法 解 锁 

。

年 被 发现 正 如 其 名 所示 Ｄ ｏ ｕｂ 同 时釆


２】

月 Ｄ ｏｕ ｂ ｅ Ｌ ｏ ｃ ｋｅ ｒ ｅ Ｌ ｏ ｃ ｋｅ ｒ
１ （ ）

２０ ０
［
１ ７ １ ｌ 。 ，
ｌ
，

用 重置 ＰＩＮ 码 和 加 密 文 件 两 种 方 式 向 受 害 者索 要 赎 金 它 也是第 个 同 时 釆 用 这两


一

种方式 的勒索应用 。 它伪装成 Ａ ｄｏ ｂ ｅ Ｆ  ｌ ａ ｓ ｈ  Ｐｌ ａ

ｙｅｒ 传播 。
一

旦启 动 ， 它 将请 求 激 活


获得 可 访 问 性权 限 后 它 会 使 用 这 些 权 限激


”
的 可访 问 性服务
“
Ｇ ｏｏ ｇ ｌ ｅＰｌ ａ
ｙ  Ｓ ｅｒ ｖ ｉ ｃ ｅ 。
，

活设 备管 理 员 权 限 ，
并 将 自 己 设 置 为 默认 的 主 应 用 程序 ，
而这 些均 未经 用 户 同 意 。


被

７６



第 六章 Ｋ Ｒ Ｐ Ｒ ＯＶ Ｅ ：
攻击 者 视 角 的 新 型 勒 索 技 术



“ ”
其 加 密 的 文 件扩 展 名 为 ． ｃｒ
ｙ ｅｙ ｅ ； 索 要 的 赎金 为 ０ ０１ ３ ．

个 比特 币 

。

表 ６ －

１
安 卓 版 本 与 设 备劫持 （
加密 ） 实现方 法



系 统 版 本 设备劫 持 （ 加密 ） 实现方法



Ａ ｎ ｄｒ ｏｉ ｄ４ 
－
 Ａ ｎ ｄ ｒｏｉ ｄＳ  Ｄ ｅ ｖ ｉ ｃ ｅ Ｐ ｏ Ｉ ｉ ｃｙ Ｍ ａ ｎ ａ ｇ ｅ ｒ ｒｅ ｓ ｅ ｔ Ｐ ａ ｓ ｓ ｗ ｏ ｒｄ



Ａ ｎ ｄｒｏ ｄ ６  ｉ
动 态授权 
Ｄ ｅｖ ｉ ｃ ｅ Ｐｏ ｌｉ ｃ
ｙ
Ｍ ａｎ ａ ｇ ｅ ｒ ． ｒｅ ｓ ｅ ｔ Ｐ ａ ｓ ｓ ｗ ｏ ｒｄ



Ｄｅｖ ｉ ｃ ｅＰ ｏ ｌ ｉ ｃ ｙ Ｍ ａ ｎ ａ ｇ ｅ ｎ ｒｅ ｓ ｅ ｔ Ｐ ａ ｓ ｓ ｗ ｏ ｒｄ 只 能 为 无 密 码 设备 设 置初 始


Ａ ｎ ｄ ｒｏｉ ｄ ７ 
－
 Ａ ｎ ｄ ｒｏ ｄ ｌ Ｏ

 ｉ

密码 而 不 能 重 置 或 清 除 已 有 的 设备密 码 ［
１ （） ３ ］

 



表 ６ －

１
中 展 示 了 安 卓 版 本 变 化 与 设备 却 持 （ 加密 ） 实 现 方法 变 化 。 从安 卓 ４ 版本


到 安卓 ５ 版本 勒 索 应 用 可 通 过 Ｄ ｅ ｖ
，
ｉ ｃ ｅＰ ｏ ｌ ｉ ｃ
ｙ
Ｍ ａ ｎ ａ ｇ ｅｒ ． ｒ ｅ ｓ ｅ ｔ Ｐ ａ ｓ ｓ ｗ ｏ ｒｄ
〇 这 一

方法 修改设


备密 码 ， 使受 害 者 无 法 解 锁 设 备 锁 屏 ，
达成设备 劫持 

。

到 了 安卓 ６ 版本 Ｄ ｅｖ ｃ ｅ Ｐｏ ｌｉ ｃｙ Ｍ ａ ｎ ａ ｇ ｅｒ ｅ ｓ ｅ ｔ Ｐ ａ ｓ ｓ ｗ ｏｒ ｄ （ ）
ｒ 这 方法 也 变成 了 需 要运


一

ｉ ．
，

行 时 动 态 申 请 获 得授 权 才 可 使 用 

。

安 卓 ７ 版 本 权 限 继 续 变 更 勒 索 应 用 无 法 再靠 Ｄ ｅ ｖ ， ，
ｉ ｃ ｅＰ ｏ ｉｉ ｃ
ｙ Ｍ ａｎ ａｇ ｅ ｒ ． ｒｅ ｓ ｅｔ Ｐ ａ ｓ ｓ ｗ ｏ ｒｄ 〇



随意 更改 设 备 密 码 ， 第 三方 应 用 开 发 者 只 能 使 用 Ｄ ｅｖ ｉ ｃ ｅ Ｐｏｌｉ ｃ
ｙ Ｍ ａｎ ａ ｇ ｅ ｒ
． ｒｅ ｓ ｅ ｔＰ ａ ｓ ｓ ｗ ｏ ｒ ｄ
（）



为 无 密 码 设 备 设置初 始 密 码 ，
而 不 能 重置 或 清 除 已 有 的 设备密 码 。 之后 ， 安卓 ９ 新增


的 Ｓ ｔ ｒ ｏ ｎ ｇ Ｂ ｏ ｘ  Ｋｅ 模块 进 步加 强 了 对密钥 的 保护 Ｓ ｔ ｒ ｏ ｎ ｇ Ｂ ｏ ｘ  Ｋｅ ｙ ｍ ａ ｓ ｔ ｅ ｒ 

不
１

ｙｍａ ｓ
１ ］ 一

ｔ ｅｒ 。

仅拥有独立 的 Ｃ ＰＵ 和 随 机 数 生 成器 ， 还 附 加 了 能 防 止软 件包篡 改 或 未 授 权 线 刷 应 用


的机制 当 系 统检 查 存 储其 中 的 密 钥 是 否 完 整 时 会在 ＴＵ 的
Ｃ 个 安 全 区 域 下 进行
一

。
， 

，

因 此 该 过 程 的 机 密 性 能 够 被 有 效 保护 。
为 了 提高 密 钥 加 密 时的 安全性 ， 安卓 ９ 釆用


了 ＡＳ Ｎ

． １
格式 来 编 码 密钥 ， 实 现 了 将 已 加 密 密钥 安 全 地 导 入 密 钥 库 。 由 于密钥 的 解


密 工 作 由 该模 块 在 密 钥 库 中 执 行 ， 因 此 攻 击 者 无 法 在 设 备 内 存 中 获取 到 密 钥 的 明 文 

。

同 时 安卓 ９ 还 増 加 了 对 使 用 客 户 端 密 钥 加 密 安卓 备 份 的 支 持 

。

６ ２ ２
． ．
屏 幕 资 源 劫 持技 术



第 个 屏 幕 劫 持 型勒 索 应 用 安卓 它将 自 己
０４ １
年 Ｄ ｅ ｆｅ ｎ ｄ ｅ Ｈ 出现 

１

２０ １ ３ ６ 月
一 一

， ，

伪 装 成 杀 毒 软 件 进行传播 ， 并 通 过 弹 窗 的 方式 阻止受 害者操 作 屏幕 


。

Ｍ
２０ １ ４ 年 ５ 月 ， 安 卓 Ｐｏ ｌｉｃ ｅ 家 族 出 现 安卓 。 Ｐｏ ｌ ｉ ｃｅ 家族 的 一

个著名 样 本 是 Ｋｏ ｌ ｅｒ
ｔ



，

它 伪装成成人应用 当 某些 国 家 的 安卓用 户访 问 些可疑 的 成人 网 站 时 就可 能 下



一

， ，

载到 个名 为 ａ ｎ ｉ ｍ ａ ｌ ｐ ｏ ｍ ａｐ ｋ 的 虚假成人应用 旦 该 应 用 被安 装 它 将 激活 Ｋｏ
一 一

．
。
，
ｌ ｅｒ 

，

Ｗ Ｑ７
并 显示 条 执法机构 消 息 指控用 户 观 看 色 情 内 容 并 要求 支付罚 款 有大约


一
［
１ Ｑ ］

，
。
，

４８ 个 色 情 网 站被 Ｋｏ ｌ ｅｒ 感染 。 此外 ， 在安 装 过 程 中 ， 设备 的 部分 信 息 会 被 收 集 并 发 送


到 Ｃ ＆Ｃ 服务器 ， 如 Ｉ ＭＥ Ｉ 号 。 之后 ， 它 会 锁 定设 备 ， 打开
一

个浏 览器页面 ， 在 主屏幕



７７


北 京 邮 电 大学 工 学 博 士学 位 论 文 



上持续 显示 个报告 声明 由 于 安全违规 所有 文 件都加 密 了 但事实 上这个 报 告是



一

。
， ，

假的 它 根本不加密 文件 ＿ ＿
也是第 个具备 我复 制 行为 的 安卓勒索 应


＿

Ｋｏ
一

．
。 ｌ ｅｒ 自

用 ，
它会 自 动 向 受 感染设 备 的 联 系 人 列 表 中 的每 个 人 发送包 含蠕 虫 下 载 链 接 的 消 息 

。

之后 ， 攻击者改 进 了  Ｋｏ ｌ ｅｒ ， 使 其 能 够 提 供 定 制 攻击 ， 并 能感染 移动 或 ＰＣ 用 户 。 

不
过 ，
２０ １ ４ 年 ７ 月 以后 ，
Ｋｏ ｌ ｅｒ 的 移动组 件被 关 闭 ？
其 Ｃ＆Ｃ 服 务 器 向 受感 染 的 设备 发


送卸 载 命令并 删 除 了 恶意 应 用 ， 但 ＰＣ 用 户 的 恶 意 组 件 仍 处于 活跃状态 ６ 月 份 

，

Ｊｉ ｓｕ ｔ
和 Ｓ ｖｐｅ ｎｇ 出 现 。 Ｓｖ
ｐｅ ｎｇ
Ｐ ｌ

也通 过持续 显 示 罚 款 信息 来 劫 持屏幕 ，
它 指控受 害者


访问 了 非法色情 内容 。
在其 发布 的
一

个月 内 ．

就感染 了 超过 ９０ 万 个设备 ［
１ １

火 Ｓ ｖ ｐｅｎｇ



利 用 驱动程序下载 、 恶意 电子 邮件附件 、 假 视 频 播放 器 、 Ａ ｄｏｂｅ Ｆ  ｌ ａｓｈ 的 更新 等 来 感



ｎｘ
染 移动 设备 被发现 它 伪 装 成 应 用 更新 包来 传播
ｎ ２
月 份 Ｌ ｏ ｃ ｋＤ ｒ ｏ
ｉ

〇 ｄ
］ ｉ

。 １ ｉ 

。
， ，

的 安全专 家发现
“

被 是 单词
４
年 Ｌ ｏ ｃ ｋｅｒ Ｔｒ ｅ ｎ ｄ Ｍ Ｆ Ｌ ｏ ｃ ｋｅ ｒ
１ １

２０ 月 Ｆ Ｆｒ ａ ｎ
１ ］

５ ５ ｃ ｒｏ


？

１ ｉ 。

？

   

”
这些 专 家 已 经 发 现 了 超过
“ ”
ｔ ｉ ｃ  和 Ｌ ｏ ｃ ｋｅ ｒ 的 组合 。 ７ ０ ０ ０ 种 
ＦＬ ｏ ｃ ｋ ｅ ｒ  的 变 体 ，
它的


制 作者
一

直在更新和 创 建新 的 变 体 ， 以 改 进它 的 程 序 和 躲避检 测 系 统 。 ＦＬ ｏ ｃ ｋ ｅ ｒ 的常


见 变 种 针 对移 动 设 备 和 智 能 电 视 。 例如 ，
变 体安卓 ． Ｌ ｏ ｃ ｋ ｄｒ ｏ ｉ ｄ ． Ｅ 能够 锁 定安卓智 能 电


ｍ
视 感染 个设备 分钟 后开 始运行它 的 程 序 它会启动 后台 服务 

请
ｕ
Ｆ Ｌ ｏ ｃ ｋｅ ｒ ０
一

。 ３
， ，

求 设 备管理 员 权 限 。
如 果 用 户 拒绝 了 它 的请 求 ，
它 将立 即 冻 结屏幕 ， 并显示
一

个假的


系统更新 。 此外 ，
ＦＬ ｏ ｃ ｋ ｅ ｒ 在后 台运行并与 Ｃ＆Ｃ 服务器通信 ，
Ｃ＆Ｃ 服务器将提 供


一

个带有 ＨＴ ＭＬ 文件和 Ｊａ ｖ ａ Ｓ ｃｒ
ｉ ｐ
ｔ
接 口 的 新有 效 载 荷 。 Ｈ Ｔ ＭＬ 页面能够初 始化 ＡＰ Ｋ ，


并
通过使用 Ｊ ａ ｖ ａ Ｓ ｃｒ
ｉ ｐｔ 接 口 对用 户拍照 。 这些 照 片 将 会 显 示 在赎 金 页 面上 。 此外 ，
Ｃ＆Ｃ



服务器还 收集设备 信息 ， 如 电 话号码 、

位置和联系 人 ，
并 使 用 硬编 码 的 ＡＥ Ｓ 密钥进


＿
行加 密 

。

２０ ７ 年 月 在 Ｇｏ ｏｇ ｅＰｌ ａ ｙ 商店 中 发 现 了 个能 够 锁 定 用 户 设备 的 远程控制 后


一

１ １ ｌ
：

门 木马 ，
它伪装成 一

个名 为 Ｅ ｎｅｒｇ ｙ Ｒ ｅ ｓ ｃ ｕ ｅ 的 节能 应 用 程序 ，
这个恶意软 件被称为


Ｃ ｈ ａｒｇ ｅ＃ ＇ 它 可 以 获取联 系 人和 安装 的 应 用 程序 列 表 Ｃ ｈ ａｒｇ ｅ ｒ 根 据攻击 者 命 令 能


１

锁 定 或 解 锁被 感染 设备 ，
索要 ０ ２ ．

比 特 币 的 赎金 。 它 还 可 以 从 受 感染 的 设备 提取 和 发


送短信 ，
包括收 件箱 ，
已 发送 文 件夹 和 草稿 文 件夹 。 Ｃ ｈ ａｒｇ ｅ ｒ 是第
一

个能通过 Ｇｏｏｇ ｌ 

ｅ

Ｐ ｌ ａｙ 安全 检 查 的 屏幕 劫持型勒索 应 用 

。

年 款名 为 的勒索应用 被 发现 将 己伪
８

月 Ｃｏｖ ｄ Ｌｏｃｋ Ｃ ｏｖ ｄＬｏｃ ｋ 


１ １

２０２０
一

３
１ ］

？ ｉ 。 ｉ
自

装 成名 为 Ｃ ＯＶＩ Ｄ １ ９Ｔ Ｒ Ａ Ｃ ＫＥ Ｒ 的 自 称能 实 时追踪新 冠疫情爆 发情况 的 应 用 。

安装 以


后 它 会请求 锁屏权 限 旦获得 就会 直弹 窗 阻 碍正 常 使 用 并索要赎金
一 一



。
． ．
，
，

表 ６
－

２ 中 展 示 了 安卓 版 本变 化 与 屏幕 资 源劫 持 实 现方法 变 化 。
在安卓 ４ 版本 ．



勒
索应用 申 请 
Ｓ Ｙ Ｓ Ｔ ＥＭ ＿
Ａ Ｌ Ｅ ＲＴ Ｗ ＮＤ Ｏ Ｗ ＿
Ｉ
 这 一

权 限成功 后 ，
Ｔ Ｙ ＰＥ ＿
Ｓ Ｙ Ｓ ＴＥＭ ＿
Ａ Ｌ Ｅ ＲＴ 

、

Ｔ Ｙ ＰＥ ＿
Ｓ Ｙ Ｓ ＴＥ Ｍ Ｅ Ｒ Ｒ Ｏ Ｒ ＿
等 高级 别 窗 口 可 以将其 窗 口 置顶 。 另外 ．

勒 索 应 用 还 可通 过


ｇｅｔ
Ｒ ｕｎｎ ｉ ｎ ｇ Ｔａ ｓ ｋ ｓ 、
ｇｅ
ｔ Ｒｕｎｎ ｉ ｎ
ｇＡｐｐ
Ｐｒｏ ｃ ｅ ｓ ｓ ｅ ｓ 、
ｇｅｔ
Ａ ｐ ｐ Ｔａ ｓ ｋ ｓ  三 种 方 法 完 成弹窗 

。

到 了 安卓 ５ 版本 ．
窗 口 顶置仍 能通过 申 请 Ｓ Ｙ Ｓ Ｔ Ｅ Ｍ Ａ Ｌ Ｅ ＲＴ Ｗ Ｎ Ｄ Ｏ Ｗ
＿ ＿
Ｉ
权 限达



７ ８



第 六章 Ｋ Ｒ ＰＲＯＶ Ｅ ：

攻击者 视 角 的 新 型勒索 技 术



表 ６
－

２ 安卓版 本与 屏 幕资 源 劫持 实 现 方 法



系 统 版本 屏幕资 源劫持
 



窗 
口 顶置 ：

申请 
Ｓ Ｙ Ｓ ＴＥＭ ＿
Ａ ＬＥ ＲＴ Ｗ Ｉ ＮＤ Ｏ Ｗ ＿
 权限 

；

Ａ ｎｄ ｒｏ ｉ ｄ４



弹窗 ：

使用 ｇ
ｅｔ Ｒ ｕ ｎｎ ｉ ｎ ｇ Ｔａ ｓ ｋ ｓ ，
 ｇ ｅ ｔ Ｒ ｕ ｎｎ ｉ ｎ ｇ Ａ ｐｐ Ｐ ｒ ｏ ｃ ｅ ｓ ｓ ｅ ｓ



窗 口 顶置 ：

申请 
Ｓ Ｙ Ｓ ＴＥ Ｍ ＿
Ａ ＬＥＲＴ Ｗ Ｉ Ｎ Ｄ ＯＷ ＿
 权限 

；

Ａ ｎ ｄｒｏ ｉ ｄ５



弹窗 ：

通过 
Ａ ｃ ｃｅ ｓ ｓ ｉ ｂ ｉ ｌｉ ｔｙ



Ａ ｎ ｄｒｏ ｉ ｄ６ 
－
 Ａ ｎ ｄ ｒｏ ｄ７  窗 口 ｉ
顶置 ：

动态授权 
Ｓ Ｙ Ｓ ＴＥ Ｍ Ａ Ｌ Ｅ ＲＴ Ｗ Ｉ ＮＤ ＯＷ
＿

 ＿

Ａ ｎｄ ｒ ｏ ｄ Ｓ ｉ 
－
 Ａ ｎｄ ｒ ｏ ｉ ｄ ｌＯ 窗 口 顶 置 
：

使用  ＴＹ ＰＥ Ａ Ｐ ＰＬ Ｉ Ｃ ＡＴ Ｉ Ｏ Ｎ ＯＶ ＥＲ Ｌ ＡＹ
＿ ＿
 窗口



成 但 ｇｅ
， 
ｔ Ｒ ｕ ｎｎ ｉ ｎ ｇ Ｔａ ｓ ｋ ｓ  被弃 用 ， ｇｅｔ
Ｒ ｕｎｎ ｉ ｎ ｇ Ａｐｐ Ｐ ｒ ｏ ｃ ｅ ｓ ｓ ｅ ｓ  和  ｇｅ
ｔ Ａ ｐｐ Ｔａ ｓ ｋ ｓ  的 使用 受到 限


制 ，
一

定 程 度 上 抑 制 了 部分 勒索 应 用 的 出 现 。 但是 Ａ ｃ ｃｅ ｓ ｓ ｉ ｂ ｉ ｌ ｉｔ ｙ 替代 ｇ ｅ ｔ Ｒ ｕ ｎ ｎ ｉ ｎ ｇ Ｔａ ｓ ｋ ｓ



接 口 被 用 作 劫 持 诈骗 类 木 马 的 行 为 越 来 越 多 。
安卓 Ａｃ ｃｅ ｓ ｓ ｉ ｂ ｉ ｌ ｉ ｔｙ 也 被称 为 无 障 碍 辅 助


功能 ， 其 初 衷 是为 了 辅 助残 障 人士 。
部 分 安卓 用 户 因 为 年 龄 或 身 体 的 原 因 ，
无法与 安


卓 设 备 充 分 的 进行 交 互 ， 例 如 无法 看 到 完 整 的 屏幕 、 难 以 使 用 触屏 、
听 不 清 语音 等 

。

为 了 解决 上 述 问 题 ， ｇ ｏ ｏ ｇ ｌｅ 提供 了 
Ａ ｃ ｃｅｓ ｓ ｉ ｂ ｉ ｌ ｉｔ ｙ 功 能 和 服 务 帮 助 这类 用 户 能 够 更加 方


便 地 操作 设 备 。 Ａｃ ｃ ｅ ｓ ｓ ｉ ｂｉ ｌｉｔ
ｙ 的免 ＲＯ ＯＴ 自 动 安 装 被攻击者 利 用 ， 勒 索 应 用 无 需征 求


用 户 同意即可 自 动 完成安装 

。

安卓 到 安卓 版本 Ｓ Ｙ Ｓ ＴＥ Ｍ Ａ Ｌ Ｅ ＲＴ Ｗ Ｉ Ｎ Ｄ ＯＷ 权 限 开 始被 列 为 种 危 险程


一

６ ７ ，
＿ ＿

度 较 高 的 权 限 而 被 特殊 处 理 ， 开 发者必须在 使 用 前动 态获 得用 户 授权 

。

安卓 开始 Ｓ Ｙ Ｓ ＴＥ Ｍ Ａ Ｌ Ｅ ＲＴ Ｗ Ｉ ＮＤ ＯＷ 权限的 使用 进 步 受 限 对于 第 三方


一

自 ８ ， ＿ ＿
，

应 用 程 序 而 言 该 权 限保护 下 的 ，
Ｔ Ｙ ＰＥ ＿
Ｓ Ｙ Ｓ ＴＥＭ ＿
Ａ ＬＥ ＲＴ Ｔ Ｙ Ｐ Ｅ 、 ＿
Ｓ Ｙ Ｓ Ｔ Ｅ Ｍ Ｏ Ｖ Ｅ ＲＬ ＡＹ ＿


、

Ｔ Ｙ ＰＥ ＿
Ｓ Ｙ Ｓ ＴＥ Ｍ ＿
Ｅ＿ Ｒ 等 几类勒 索 应 用 常 用 窗 口 完 全被 禁用 。
即 使获得 了 用 户动态


授权 ， 使 用 这 几种 窗 口 也 会 触 发 窗 口 类 型 错误 。 Ｔ Ｙ ＰＥ Ａ Ｐ Ｐ Ｌ Ｉ Ｃ ＡＴ Ｉ Ｏ Ｎ Ｏ Ｖ Ｅ Ｒ Ｌ ＡＹ
＿
＿


新
窗 口 类 型 开 始被勒 索 应 用 运 用 ，
虽 然 这类 型 窗 口 能 覆盖其 他 第 三 方 应 用 的 窗 口 ， 但却


会 始 终 位 于 系 统状 态栏 与 输 入 法 窗 口 之 下 ， 抢 夺 屏幕 资 源 的 效 果 有 所减 弱 

。

６ ２ ３
． ．
文件 加 密技术



年 月 Ｓ ｉ ｍｐｌｏｃ ｋｅｒ 被发现 其被认 为 是 第 种 针 对安 卓 设 备 的 文 件 加 密



一

２０ １ ４ ５ ， ，

型勒 索 应 用 。 Ｓ ｉ ｍ ｐ ｌ ｏ ｃ ｋｅ ｒ 使用 ２５ ６ 位 ＡＥ Ｓ 密 钥 对称 加 密 对 用 户 设备 上 的 文 件进行
（ 
 ）

加密 。
该 密 钥 包 含在应 用 代 码 中 ，
意 味着它不 需要 与 Ｃ ＆Ｃ 服 务 器 通 信来 完 成 其 加 密


过程 。 攻 击 者 可 以 通 过短 信 发 送 命 令 ，
比如 加 密 解密用 户 的 文件 ／ 。 此外 ， 在较早 的


安卓操作 系 统版本 中 ， 图 像 和 流 媒 体 等 文 件都存 储 在 不 受 保 护 的 外 部 ＳＤ 存 储卡 上 

，

因此 ， 像 Ｓ ｉ ｍ ｐ ｌ ｏ ｃ ｋｅ ｒ 这 样 的 勒 索 应 用 可 以 访 问 存储在存 储 卡 中 的 文 件 ， 并对它 们 进



７９


北 京 邮 电 大学 工 学 博 士 学 位 论 文 



Ｍ
行 加密 和 被发现 家族 的 些样本 旦 运行 就会


１ １ ９］
月 Ｐｌ ｅ ｔ ｏ ｒ Ｓ ｍ ａｌ ｌ Ｓ ｍ ａｌ ｌ
一 一

６
［

。 。
， ，

请 求 设备 管 理 员 权 限 ， 以 防 止 被删 除 。
紧接 着 ’
它 们 会 显示 一

条要 求 赎金 的 信息 ， 

在
屏 幕 上 覆 盖所有 其 他 窗 口 ， 使 得该 设备 无 法 使 用 。 在 劫 持屏幕 后 ，
它 还 会 继 续对 用 户


存 储 卡 中 的 文 件进行 加 密 

。

＿
２０ 年 月 Ｆｕ ｓ ｏ ｂ 被发现 Ｆｕ ｓ ｏ ｂ 会 请 求 设备 管理 员 权 限 并 显示 条消


一

１ ５ １
，
。
，

息 ，
通知 用 户 设备 正 在 更 新 。 虽 然 设备仍 然 可 以 使用 ， 但 Ｆｕ ｓ ｏｂ 会用 自 己 的 弹 窗 覆盖


住 设备 设 置 界 面 ， 从 而 阻 止访 问 这 些设置 ， 以 此 保护 自 己 不 被移 除 。 同时 ，
Ｆｕ ｓ ｏ ｂ 

会
收 集 设备 和 用 户 信息 并 将其 发 送 给 Ｃ＆Ｃ 服 务器 。 之后等待 Ｃ ＆Ｃ 服 务器 的 命 令 来 加


＾
密文件 。 ５ 月 ，
Ｘｂ ｏ ｔ
被发现 。 Ｘｂ ｏ ｔ
通过仿造 Ｇｏ ｏｇ ｌ ｅ  Ｐ ｌ ａｙ 支 付界面 以 及 ７ 家不 同



银行应 用 的登录页 面 ， 窃 取受 害者 的 银行 凭证 和 信 用 卡 信息 。 它 还可 以 加 密用 户在外



部存 储器 （ 如 ＳＤ 卡 ） 中 的 文件 ，
然 后索要 一

张 １ ００ 美元 的 Ｐ ａ ｙ Ｐ ａｌ 现 金 卡 作 为 赎金 

。

此外 ，
Ｘｂ ｏ ｔ
还 窃 取 所有 短信 和 联 系 信 息 ， 拦 截某 些 短信 ， 并 解析 银 行 发 送 的 

Ｍ ＴＡＮ

（ 移 动 交 易 认证号 ） 短信 

。

被发现 它 伪 装 成 游 戏 软 件 的 插件 进 行 传 播 

能
２２ ］
年 Ｗａ ｍ ａ Ｌ ｏ ｃｋ ｅ ｒ
１

２０ 月
［

１ ７ ６ ，
ｉ
，
。

够 读 写 外 部存 储器 来 窃 取 和 加 密 文 件 

。

？
被发现 这款安卓勒索应 用 可 以 对文件进行


２
年 Ｂ ｌ ａｃ ｋ Ｒ ｏ ｓ ｅ Ｌ ｕ ｃ ｙ
１

４ 月
［

２０２０ ，
 

。

加密 ， 并冒充 ＦＢ Ｉ 欺骗 受 害 者提供信 用 卡 信息 。 它 指 控受 害 者 在 手 机 上 存 储 色 情 内



容 ，
并 威 胁说 他 们 的 详 细 信 息 已 经 上 传 到 ＦＢ Ｉ 网 络 犯 罪 部 门 的 数据 中 心 。 Ｂ ｌ ａｃ ｋ Ｒｏ ｓ ｅ
 


”
通 过各 种 社 交 媒 体 和 短 信 传 播 伪装成 视频 流 优 化器 诱使用 户 启 用 安卓 的
“
Ｌ ｕ ｃｙ ， ， 

可访 问 性 服务 ， 并 授 予 管理 权 限 ， 从而 可 以 加 密文件 

。

表 ６ －

３ 安卓 版 本与 文 件 加 密 实 现方 法



系 统 版 本 文 件 加 密



Ａ ｎ ｄ ｒｏ ｉ ｄ４ 
－
Ａ ｎｄ ｒ ｏ ｉ ｄ６ 申 请 
Ｗ Ｒ Ｉ Ｔ Ｅ ＥＸ Ｔ ＥＲ ＮＡ Ｌ ＿ ＿
Ｓ Ｔ ＯＲ Ａ Ｇ Ｅ  权 限 写 外 部存 储



通过 Ｏ Ｐ Ｅ Ｎ Ｅ Ｘ Ｔ ＥＲ Ｎ Ａ Ｌ Ｄ Ｉ Ｒ Ｅ Ｃ
＿
Ｔ Ｏ ＲＹ ＿
行 为 在 外 部存 储 中 申请


Ａ ｎ ｄ ｒｏ ｉ ｄ７ 
－
Ａ ｎ ｄｒ ｏ ｉ ｄ９



创 建可 写 目 录 ， 方 可 对 外 部存 储 进行 写 操 作
 



Ａ ｎ ｄｒｏ ｉ ｄｌＯ 与 Ａ ｎ ｄｒｏ ｉ ｄ９ 方式 一

样 ，
但 访 问 别 的 应 用 的 存 储分 区 受 到 了 限制



表 ６ ３
－

中 展 示 了 安卓 版 本 变 化 与 文 件 加 密 实 现 方 法 变 化 。 安卓 ４ 版 本 到 安卓 

６

版本期 间 ， 勒 索 应 用 可 通 过 申 请 ＷＲ Ｉ Ｔ Ｅ Ｅ Ｘ Ｔ Ｅ Ｒ ＮＡ Ｌ
＿ ＿
Ｓ Ｔ Ｏ Ｒ ＡＧ Ｅ 权 限 来 写 外 部 存储 

，

有 了 该 权 限 勒 索 应 用 即 可 对外 部 存 储 中 的 文 件 进 行 加 密 ， 妨碍 用 户 对 外 部 存 储 中 的


数据 的 使 用 

。

安卓 ７ 到 安卓 ９ 期间 ， 要 写 外 部存 储 还 需 创 建 可 写 目 录 。 具体而言 ， 首先通过


Ｏ Ｐ Ｅ Ｎ Ｅ Ｘ Ｔ Ｅ Ｒ ＮＡ Ｌ Ｄ Ｉ Ｒ Ｅ Ｃ Ｔ Ｏ ＲＹ 行 为 在外 部存 储 中 申 请创 建 个可 写 目 录 方 可对


一

＿
＿
，

８０



第 六章 Ｋ Ｒ Ｐ Ｒ ＯＶ Ｅ ：
攻击者 视 角 的 新 型勒 索 技 术



外 部存 储 进 行 写 操 作 。 同时 ， 应用 的 私有 目 录受 到 保 护 ，
应 用 的 私 有 目 录被 限 制 访


问 ，
文 件 所 有者将 无 法 通 过 设 置 私 有 文 件 访 问 模 式 为 ｍ ｏｄ ｅ ｗｏ ｒ ｌ ｄ ｒｅ ａ ｄａ ｂ ｌ ｅ
＿

 ＿

与 Ｍ ＯＤ Ｅ Ｗ Ｏ Ｒ Ｌ Ｄ Ｗ Ｒ Ｉ ＴＥ Ａ Ｂ Ｌ Ｅ
＿ ＿ 来 开放 私 有 文 件 的 读 写 权 限 此 外 通 过 ；
，
ｉｌｅ
ｆ ： ／／／ ＵＲＩ



剛
也 无 法 访 问 到 应 用 包之 外 的 路径 ；
Ｄ ｏｗ ｎ ｌ ｏ ａ ｄＭ ａｎ ａ ｇ ｅｒ 变成 不 能通过文件名 来共享


私 有 文 件 的 信息 。 这 些 新 的 机 制 都 限 制 了 勒 索 应 用 访 问 应 用 的 私 有 文 件 避 免这 些 私

 ，

有 文 件被 勒 索 应 用 加 密 

。

安卓 １ ０ 版 本开 始 对 ／
ｐｒ ｏ ｃ ／ ｎ ｅ ｔ 文件 系统 的访 问 权 限实施 限 制 ， 各个 应 用 有 了 各 自



的存储分 区 个 应 用 对 别 的 应 用 的 存储 分 区 的 访 问 也 受 到 了 定限制
一 一



。
，

６ ２ ４
． ．
其 他 技术



１ ．

按键屏蔽技术


按 键屏 蔽技 术并 非为 种典型 的 勒 索 技 术 它通常作为 种 辅助勒索 的 形 式 出


一 一

现在 勒 索 应 用 当 中 ，
通 过控 制 勒 索 应 用 对 屏 幕 资 源 的 持 续 占 用 ， 迫使用 户 交纳 赎金 

。

按 键 屏 蔽 技 术 与 勒 索 应 用 的 结 合 最早 出 现 在 ２０ １ ４ 年的 Ｋｏ ｌ ｅｒ 家族 中 ，
Ｋｏ ｌ ｅｒ 家族


为 屏 幕 资 源 劫 持 型勒 索 应 用 ， 勒索 应 用 被激 活 后 勒 索 应 用 会将其 应 用 界面 会设置 为

 ，

顶置 窗 口 ， 同 时对 用 户 设备 的 Ｈｏｍｅ 键 与 Ｂ ａｃ ｋ 键 进 行按 键 屏 蔽 ，
防止 用 户 通过点 击


上述按 键 退 出 应 用 界面 。 部分 应 用 对 用 户 设备 的 电 源 键 同 样 进 行 了 屏 蔽 利 用 该方 式

 ，

使 用 户 设 备 无 法 进 行熄 屏 与 关 机 ， 使勒 索 应 用 被 顶 置 窗 口 的 儿童 色 情 视 频 不 断播 放 

。

表 ６ －

４ 安卓 版 本 与 按键 屏 蔽 实 现方 法



系 统版 本 按键屏蔽
 



Ｈｏｍ ｅ 键屏蔽 ：
反编译安卓 系 统源码 

；

Ｂ ａｃ ｋ 键屏蔽 ：

重写 ｏ ｎＫｅｙ Ｄ ｏｗ ｎ 

；

Ａ ｎ ｄ ｒｏ ｉ ｄ ４



电 源 键屏蔽 ：
通过


＂ ＂
＜  ａｎ ｄｒ ｏ ｉ ｄ ｎ ａ ｍ ｅ ＝
： ａ ｎ ｄ ｒｏ ｉ ｄ ．

ｐ ｅｒ ｍ ｉ ｓ ｓ ｉ ｏ ｎ ． Ｄ Ｅ Ｖ Ｉ ＣＥ Ｐ Ｏ Ｗ Ｅ Ｒ ＿
／ 

＞

Ｈ ｏｍ ｅ 键屏蔽 ：
不可屏蔽 

；

Ａ ｎ ｄ ｒｏ ｄ Ｓ Ａ ｎ ｄｒｏ ｄ １０
 Ｂ ａｃ ｋ 键 屏 蔽 重写 ｏ ｎ Ｋｅ ｙ Ｄ ｏｗ ｎ
－

ｉ   ｉ 
：

  

；

电 源键屏蔽 ：

不可屏蔽 

；

随着安卓 ５ 版本的 发布 ， 安卓 已 不 支持 电 源 键 的 屏蔽 。 ２０ １ ５ 年开始 ， 屏幕 劫 持



型勒 索 应 用 仅 具 有 Ｈ ｏ ｍｅ 键 屏 蔽功 能 与 Ｂ ａ ｃｋ 键屏 蔽功 能 。
据 ２０ １ ９ 年 Ｃ ｏ ｖ ｅｗ ａ ｒ ｅ 发布


的 报 告显示 ，
２０ １ ８ 年 ， 在 个 别 勒 索 样本 中 已 经 被 发 现其 同 时 具 有 屏 幕 资 源 劫 持行 为


与 文件 加 密 行 为 。
其中 ， 屏 幕 资 源 劫 持 行为 中 伴 有 Ｈｏｍｅ 键与 Ｂ ａｃｋ 键 的屏 蔽行为 

。

８ 

１
北 京 邮 电 大学 工 学博 士学 位 论 文 



表 ６ ４
－

中 展 示 了 安卓 版 本变 化 与 按 键 屏 蔽 实 现 方 法 变 化 。 在 安卓 ４ 版本 ， 要屏蔽


Ｈ ｏｍ ｅ 键必 须 反编 译安 卓 系 统 源 码 ；
Ｂ ａｃｋ 键 的 屏 蔽可 通过重 写 ｏ ｎ Ｋ ｅｙ Ｄ ｏ ｗ ｎ Ｑ 方法 完


权 限完 成 电 源键 的屏蔽
”

成 可通过 申 请
”

；
ａ ｎ ｄｒｏ ｉ ｄ ｐ ｅｒｍ ｉ ｓ ｓ ｉ ｏ ｎ
． ． Ｄ Ｅ Ｖ Ｃ Ｅ Ｐ ＯＷ Ｅ Ｒ
Ｉ ＿


。

自 安卓 ５ 版 本 开始 对 可 能 产 生 危 害 的 权 限 的 限 制 导 致
，
Ｈｏｍｅ 键和 电 源 键不 再能


被 第 三方 应 用 开 发者屏 蔽 而 Ｂ ａｃ ｋ 键仍 直 能 通过 重 写 ｏ ｎ Ｋｅ ｙ Ｄ ｏ ｗ ｎ Ｏ 方法 被 屏 蔽
一

。 

。

２ ．
信息窃取技术


信 息 窃 取 技 术 通 常 作 为 勒 索 应 用 进行数 据 劫 持 时 的 种辅助 技 术 出 现 攻击 者


一

通 常 通 过将 用 户 隐 私 数 据 进 行 窃 取 并 转 移 到 远 端 服 务器 ，
之 后通过文件加 密或 文件


删 除 的 形 式 完 成 对 数据 的 劫 持 ， 迫 使 用 户 通 过 交 纳 赎金 换取 数 据 

。

表 ６ －

５ 安卓 版 本 与 信 息 窃 取 实 现 方 法



系统版本 信息 窃 取
 



Ａ ｎ ｄ ｒｏ ｉ ｄ ４
 
－
 Ａ ｎ ｄｒ ｏ ｉ ｄ ６ 
申 请 Ｇ ＥＴ Ａ Ｃ Ｃ ＯＵＮ Ｔ Ｓ
＿ 获 取 设备 上 账 户 信 息



弃用 Ｇ Ｅ Ｔ Ａ Ｃ Ｃ ＯＵＮ Ｔ Ｓ
＿
权限 ， 直接通过 Ａ ｃ ｃ ｏｕ ｎ Ｍ ａ ｎ ａ ｇ ｅ ｒ
ｔ 

的
Ａ ｎ ｄｒｏ ｉ ｄ ７
 
－
 Ａ ｎ ｄ ｒｏ ｉ ｄ ９

 

ｇ ｅ ｔＡ ｃ ｃ ｏ ｕ ｎｔ ｓ Ｏ 方 法 获取 设 备 上 账 户 信 息



仍 可通过 Ａ ｃ ｃ ｏｕ ｎ Ｍ ａ ｎ ａｇ ｅｒ
ｔ
的 ｇｅｔ
Ａ ｃｃ ｏ ｕ ｎ ｔ ｓ 〇 方法 获 取 设 备 上 账


Ａ ｎ ｄｒｏ ｄ ｉ  １０



户 信息 ， 但 部 分 信息 受 限



表 ６ ５ 中 展 示 了 安 卓 版 本 变 化与 信 息 窃 取 实 现方法 变 化 安卓 ４ 版本 到 安 卓 ６ 

版
－

本期 间 ， 勒索应用 可通过 申 请 Ｇ Ｅ Ｔ ＡＣ Ｃ Ｏ ＵＮ Ｔ Ｓ
＿
权 限 来 获 取 到 设备 上 的 账 户 信 息 

。

自 安卓 ７ 版本 开 始 ，
Ｇ Ｅ Ｔ Ａ Ｃ Ｃ ＯＵＮ Ｔ Ｓ
＿ 权 限 逐 渐 被勒 索 应 用 弃 用 ， 因 为勒索应用


可 以直接 通过 Ａ ｃ ｃ ｏ ｕ ｎ Ｍ ａｎ ａ ｇ ｅｒ
ｔ
的 ｇ ｅｔ
Ａｃ ｃｏｕ ｎ ｔｓ
（） 方法 获取 到 设 备 上 的 账 户 信 息 

。

安卓 ９ 版 本新 增 的 系 列 措 施 能 避 免勒 索 应 用 窃 取 到 用 户 信 息 第 统 的指


一 一 一

。
，

纹 身 份验 证对话框 ， 系 统提供 统
一

标 准 化 的 指 纹 身 份 验 证 对话 框 ，
包 括 对话 框 外 观 

、

风格和 位置 ，
这让 用 户 可 以 更 放 心 地 确 信 ， 他 们 是 在 根据 可 信 的 指纹凭据 检 查 程 序 验


证身份 。
第二 ，
可信用 户 确认 ， 如 果 用 户 接 受该 声 明 ，
应用 会收 到 由 密钥 哈希消 息身


份 验证 代 码 （
Ｈ Ｍ ＡＣ ） 保护 的 加 密 签名 。
该签名 由 可 信 执 行 环 境 ＴＥＥ （ ） 生成 ， 该环境


会 对 显 示 的 确 认 对话 框 以 及 用 户 输 入 进 行 保 护 。 该 签名 具 有 很 高 的 可 信 度 它 表 示 用

 ，

户 已 看过声 明 并 同 意其 内 容 。 第三 ， 当 麦克风 、
摄 像 头 或 传 感器 空 闲 时 ， 应用 程序将


不 再 能 够访 问 它 们 。 所有应用 都使用 Ｈ ＴＴ Ｐ Ｓ 协 议增 强 了 信 息 安 全 性 

。

安卓 １ ０ 版 本 的 新 举措 也 进 一

步 限 制 了 勒 索 应用 窃取应用 数据 。 第
一

， 新增 的 分


区 存 储 可 提供 对 特 定 于 应 用 的 文 件 和 媒 体 集 合 的 访 问 权 限 。 第二 ， 增 强 了 用 户 对位置


权 限 的控制 力 ， 可 让 用 户 更好地 控 制 应 用 对 设 备 位 置 信 息 的 访 问 权 限 。 第三 ， 不可重


置 的 硬件标 识 符 ， 这 对 设备 序 列 号 和 Ｉ ＭＥＩ 的 访 问 实 施 了 限制 。
第四 ， 限制 了 应用 对



８２



第 六章 ＫＲ Ｐ Ｒ ＯＶ Ｅ ：

攻击 者 视 角 的 新 型 勒 索 技 术



屏幕 内 容 的 访 问 

。

由 上述 分 析 可 知 ， 主 流 的勒 索 技 术 的 纵 向 的 发 展 已 经 得到 安 全 人 员 的 广 泛 关 注 

，

安 卓 系 统 也 为 了 应 对 不 断 升 级 的 勒 索 技 术 不 断 进 行 更新 。
对于 未 出 现 的 ， 如 利 用 信道


传 输 进行数据窃 取 等 其 他 形 式 的 勒 索技 术 ， 目 前 的 预 防手段还 不 够 成 熟 。 对于 新 型 勒


索 技 术 的 研 究 仍 需进行 不 断探索 

。

６ ３
．
新型 勒 索技术发 展趋势



在本节 中 ， 本文将 介绍 ＫＲ Ｐ Ｒ Ｏ Ｖ Ｅ ， 这是 一

个安 卓 上勒 索 应 用 的 概念 证 明 ， 可用



于勒 索受 害 者或安卓上 的攻击设备 。 本 文希望 ＫＲ Ｐ Ｒ Ｏ Ｖ Ｅ 能够识别 出 开 发勒索 应用




的 困 难 或 攻击 者 花 费 最 多 时 间 的 问 题 。
通 过这种 方式 ，
它 可 以 帮 助 用 户 或 安全 分析师


使 用 适 当 的 策 略 来 保 护 安 卓 终 端 设 备 免 受 勒 索 应 用 的攻击 

。

６ ３ １
． ．
新型 勒 索 技术模式分析



１ ．

基于 ＤＮＳ 劫持的通信劫持


图 ６
－

１
展 示 了 在 安 卓 设 备 上 进行 ＤＮ Ｓ 劫 持 的 实 现手段 。
它 通 过破坏 ＤＮＳ 查询 

，

来 阻 止主 机 正 常 获取 ＤＮＳ 。
攻击 者 通 过控 制 域名 的 解 析 并 修 改 域名 ， 使其不能正 常


访问 特定的 网址 ，
而 是访 问 修改 后 的 ｉ
ｐ
．

从而实 现 ＤＮ Ｓ 劫持 

。

劫持
ＤＮ Ｓ

＂ ＊

Ｖ ＰＮ ＲＯ Ｕ Ｔ Ｅ＝ 
？


Ｓ
？

ｉ ｖａ ｅ ｓ ａ
ｐｒ ｔ  ｔ ｔ ｉ
ｃ  ｆ ｉ ｎａ  ｉ
ｒ 
＿

０ ０ ０ ０ ．
．
．

；


：

＂
＊

ｐｒ ｖ ａ ｉ ｔ ｅ ｓｔａ ｔ ｃ  Ｓ
 ｉ Ｖ Ｐ Ｎ  Ｄ Ｎ Ｓ４ 
＝ 
８ ８ ８ ８  

：

Ｂｕ ｉ ｌ ｄｅｒ ｂ ｕ  ｉ ｌ ｄｅｒ 
＝
 ｎ ｅｗ  ８ｕ Ｈｄ ｅｒ （ ） ；  ；
赛


ｅ Ｄｎ ｓ Ｓｅ ＶＰ Ｎ Ｄ Ｎ Ｓ４
＇

ｂｕ ｉ
ｌ ｄ ｒ  ａｄ ＜Ｊ ｒ ｖｅ ｒ
（ ＿ ） 

；

ｂｕ ｉ ｌ
ｄ ｅｒ ａ ｄ ｄ ．
Ｒｏｕ ｔ ｅ （
ＶＰ Ｎ ＿
Ｄ Ｎ Ｓ４ ，
３２ ）
：

 

ｊ

Ｆ ｉ ｌ ｅＣ ｈ ａ ｎ ｎｅ ｌ  ｖ
ｐｎ
ｌ ｎ
ｐｕ ｔ 
＝
 ｎｅｗ Ｆ  ｉ ｌ ｅ ｌ ｎｐｕ ｔ Ｓ ｔ ｒ ｅａｍ （
ｖ
ｐｎ Ｆ ｉ ｅ Ｄ ｅｓ ｃｒ ｐ ｏ ｉ ｉ ｒ
）
．

ｇｅｔ Ｃｈ ａ ｎ ｎ ｅ ｉ

｛ ） 

；

Ｂ ｙｔ ｅ Ｂ ｕ ｅ ｒ ｂ ｕ ｆ ｆ ｅ ｒ Ｔｏ Ｎｅ ｗ ｏｒｋ ＝
Ｂ ｙ ｅ Ｂｕｆ ｅ Ｐ ｏｏ ａ ｃｑ ｕ ｅ

ｆ ｆ  ｔ   ｔ ｆ ｒ ｒ



截
ｌ
．
ｉ
（ ） ；

Ｐ ａ ｃｋｅ ｔ
 ｐａｃ
ｋ ｅｔ
＝
 ｎ ｅｗ  Ｐ ａ ｃｋ ｅｔ
（
ｂｕ ｆｆ ｅ ｒ Ｔｏ Ｎ ｅ ｗ ｏ ｒ ｋ ｔ
）
；    —  


？

＝
ｎ ｔ  ｒ ｅ ａ ｄ Ｂ ｔｅ ｓ   ｖ
ｐｎ ｎｐｕ ｔ ｒ ｅａ ｄ ｂ ｕ ｆ ｅ ｒ Ｔｏ Ｎ ｅ ｔ ｗ ｏ ｒ ｋ
ｙ
ｉ ｉ ．


：

（ ）

ｆ ａ ｃｋｅｔ ｓＵ ＤＰ〇
ｐ
ｉ ． ｉ

 （ ）  

｛

ｄ ｅ ｖ ｃ ｅ Ｔｏ ｉ Ｎ ｅ ｗ ｏｒｋ Ｕ Ｄ Ｐ Ｑ ｕ ｅ
ｔ ｕ ｅ ｏｆｅ ． ｒ
（
ｐａ ｃ ｋｅ ｔ
）
；
 

：

｝ 
ｅ ｓｅ ｌ 
：

ｆ
 （ ｐａ ｃ
ｋｅｔ ． ｉ
ｓＴ Ｃ Ｐ〇 ）  ｛  ■   

＾

ｄ ｅ ｖ ｃ ｅ Ｔｏ ｉｔ ＴＣ Ｐ Ｑ ｕ
Ｎ ｅ ｗｏｒ ｅｕ ｅ ｏｆ ｅ
ｉ ｔ ．
ｆ ｒ
（ ｐａｃｋｅｔ ）
；

 

；

｝
 

；

？ ？ ？

 ＜
 ③ 丨
Ｄ Ｎ Ｓ 返 回 包 构建


，
ｆ  Ｐ ａ ｃｋｅ ｔ 
ｃｕ ｒｒ ｅｎｔ Ｐ ａ ｃｋ ｅ ｔ 
＝
 ｍ ｐ ｕ ｔＱ ｕｅ ｕ ｅ ｐｏ ． ｌ ！

（ ） ；   ！



ｖ

Ｂｙ ｅＢ ｕ ｔ ｆｆ ｅ ｒ
 ｐａｃ
ｋ ｅｔ ＿
ｂｕ ｆ ｆ ｅ ｒ＝ Ｄ ｎ  ｓ Ｃ ｈ ａ ｎｇｅ ．
ｈａ ｎｄ ｅ ｌ

＿
ｄｎ ｓ
＿
ｐ
ａｃｋｅ ｔ
（
ｃｕ ｒ ｒ ｅ ｎｔ Ｐ ａ ｃ ｋ ｅ ｔ
）


；

ｔ ｈ ｓ ｉ ． ｏｕ ｐ ｕ ｔＱ ｔ ｕ ｅ ｕ ｅ ｏｆ ｅ ．
ｒｆ
ｐ ａ ｃｋ ｅ  ｂ ｕ ｆｅ ｒ
 ）７
ｔ ； 
  择 返 酸海 包


！


 ；

Ｆ ｉ
ｉ ｅＣｈ ａ ｎ ｎｅ ｌ  ｖ
ｐｎ Ｏｕ ｔ
ｐ ｕｔ 
＝
 ｎ ｅｗＦ ｉ ｌ ｅ Ｏｕ ｔ
ｐ ｕ ｔＳ ｆ
ｒｅ ａ ｍ （
ｖ
ｐｎ
Ｆ ｉ
ｌ ｅ Ｄ ｅ ｓ ｃｒ ｉ

ｐ ｔ ｏ ｒ） ．

ｇ
ｅ ｔ Ｃｈａｎ ｎ ｅ ｌ
（ ） 

；

Ｂ ｙ ｅ Ｂ ｕｆ ｅ ｔ ｆ ｒ  ｂ ｕ ｆｆｅ ｒＦ ｒ ｏｍ Ｎ ｅ ｗｏ ｔ ｒ ｋ 
＝
 ｎ ｅ ｔ ｗｏ ｒ ｋ Ｔｏ Ｄ ｅ ｖ ｃ ｅ Ｑ ｉ ｕ ｅｕｅ ｐｏ
ｌ ｉ

（ ）


：

ｐｎＯ ｕ ｗｒ ｂ ｕ ｆｅ ｆ ｏｍ Ｎ ｅ
ｖ ｉ ｅ ｏｒｋ
ｔ
ｐｕ ｔ ． ｔ
｛
ｒ ｒ ｔ ｖ／
）


；

图 ６
－

１ ＤＮＳ 劫持 模 式 示 意图



具体实现如下 ：

攻击者进行相 关配置 ， 拦截 到 被攻击者 发送 ＤＮ Ｓ 请求 ， 如图




中 ①所示 ，
主要使用 ａｄ ｄ Ｄ ｎ ｓ Ｓ ｅｒｖｅｒ 等函数 ； 然后 ， 攻击者对拦 截 到 的 数据包 进 行 处


理 ， 对 数 据 包 进行 解 析 并 构 造 出 相 应 的 ｐ ａｃｋｅｔ ，
如 图 中 ＠所示 ；
攻击者进行 ＤＮＳ 

请
求解析 ．

并 构 造 出 含有 假 冒 ｉ
ｐ 的 回包 ， 如 图 中 ＠ 所示 ；
最后 ， 攻击者通过 ｗｒ ｉ ｔ ｅ 函数


将 回 包写 回 ， 返 回 给被攻击者 虚 假包 ， 如 图 中 ⑨所示 ， 从此完 成基于 ＤＮ Ｓ 劫持的通



８ ３


北京 邮 电 大学工学博士学 位论 文 



信劫 持 

。

２ ．

基于 中 间 人 攻击的 数据劫持


图 ６ ２ －

展 示 了 在 安 卓 设 备 上 进行 中 间 人 攻击 的 实 现 手 段 。 该攻击 主 要 通 过控 制 局


域网 中 被 攻击 主 机 和 客 户 端 之 间 的 通 信 来 实 现 的 

。

基 于 中 间 人 攻 击 的 数 据劫 持

＾ 
Ｓ ｎｎｇ
Ｑ
Ｐ Ｏ ＲＴ
ｌ


Ｒ Ｅ Ｄ ＲＥＣＴ Ｉ

＿
ＣＭＤ  ｛  ａ ｒ
ｐ Ｓ ｐｏｏｆ 
＝
 ｎｅ ．
ｖ  Ｔ ｈ ｒｅａ ｄ （ ）  ｛ 
 ｆ＾
《

”
－

Ｆ＇

ｌ ｒ ｕｎ ｆ 

Ｕ
＇ 

＊

ｐ ｔ ａ ｂ ｅｓ ｌ 
－

ｔ  ｎ ａ ｔ 
－

Ａ Ｐ ＲＥ ＲＯ ＵＴ Ｎ Ｇ
 Ｉ 
－

ｊ 
Ｄ Ｎ ＡＴ 
－

ｐ 
ｔ ｃｐ 
－

 
．

   发Ｊ
＂

ｄ ｏｒ
ｔ ８０ －

ｏ ＋ Ａ ｏ ｐ Ｃ ｏ ｎ ｔｅ ｘ ｅｔ Ｏ
＋ ＋
ｐ 

ｔ ｔ
ｇ
 
ｐ
 ． ；
｝
ｌ


；

Ｈ ｔ ｔ
ｐＰ ｏ Ｈ Ｔ Ｔ Ｐ Ｐ ＲＯ ＸＹ Ｐ Ｏ Ｒ Ｔ 
ｒ ｘｐ Ｓ ｐｏ ｏ ｓ ａ
ｙ
．

  开 启瑞 口 转发 ＿
｝
ａ ｒ ｆ ． ｔ ｒ ｔ
（ ）
：
：



ｊ


） ？

 Ａ Ｒ Ｐ 欺骗

 ）

  ．
ｊ
Ｉ

？＾ ｅｂ Ｓ ｅ ｖ
ｆ＾
ｊ

② 
Ｓ ｔ
ｒ
補 
Ｆ Ｏ Ｒ ＷＡ Ｒ Ｄ Ｃ Ｏ Ｍ Ｍ Ａ Ｎ Ｄ Ｓ 一

＝

 ｛  ，
｝  ；  ；
，

Ｔｈ
＂

Ｈ ｐ Ｐ ｒｏ ｘｙ ｅ ？ ｓ
ｅａ
＇

ｃ ａｓ ＜
ｅｃｈ ｏ１＞ ４／ ｐ  ？） ｓ ｄ
＜

ｐ ｒ ｏｏ ｏ ｗａ
 持 发给 服 务 器 的
ｖ
－ ？ ？

ｙ ｓ／ ｎ ｅ
： ｒ
ｓ ｄ  ｔ ｔ 
ｌ ；
：
ｔ ／ ｆ
ｐ
！

／ ｉ ｒ ｒ
｛
ｉ
 ，    ；


＊ ＂

ｅ ｃｈ ｏ  １  ＞  ／
ｐ ｒ ｏｃ ｓ ｙ ｓ ｎ ｅ ／ ／ ｔ ／ ｉ

ｐ
ｖ６／ ｃｏ ｎ ｆ ／ ａ ｌ ｌ
／ ｆ ｏ ｗａｒｄ ｎｇ
ｒ ｉ
  ：

 数据 罗送 ５ 敗 击

 １

）
；
 卷Ｏ ｖ ｅ ｒ ｒ ｄｅ ｉ

 ；

 者主机


ｐｕｂ ｌ
ｉ ｃ ｖｏｋ  Ｊ  ｒｕ ｎ｛ ） ｛
  使 周 Ｎ ＡＴ 机制  ｆ

 Ｓｅ ｖｅ
＝
ＡＴ Ｔ Ａ Ｃ Ｋ Ｓｅ ｖ ｅ ｒｓ Ｓ ｏｃ ｋ ｅ
４）  Ｓ ＡＲ Ｐ ｎｓ
修 源
ｎ ｉ ｃ ｒ   ｖ ｒ ｒ ｔ
ｔ ；

Ｑ 
｛
（ ） ｉ



ｐ
ｓ ｅ ｔＲ ｅ ｕ ｓｅＡ ｄ ｄ 
＇

ＯＮ ＷＡ Ｙ Ｈ Ｏ ＳＴ ＝
ｍＳｅ Ｄ ｅ ｕ＊
？

ｆ Ｅ  ＆  ａｒｐ ｃｈ ｅ ａ ｔ ｗａｙ  ０ ｒ ｖｅｒ ｒ ｓ ｓ ｒ

：
＊ 

ｉ ！
（ ）
 （ （ ＿ ＿ ）  ）  ｛

ｍ３ｅ ｖｅｒＳ ｂ ｎｄ ｅ ｖｖ
 
ｒ ｓ
ｒ ． ｉ


；
（

ｉ
ｆ
 （
！ ｔ ａｒ
ｇｅ
ｔ
＿
ｉ

ｐ
． ｅｑ ｕａ ｓ ｌ
 （
Ａｐ ｐ Ｃｏ ｎ ｔ ｅｘ ｔ

 ｇ
ｅ ｔ Ｇ ａ ｔｅ ｗａ
ｙ｛ ） ） ）  Ｉ ｎｅ ｔ Ｓ ｏｃ ｋ ｅ Ａｄ ｄ ｒｅ ｓ ｔ ｓ
 （
Ａ ｐ ｐ Ｃ ｏｎ ｔ ｅ ｘｔ  ？ 使 兩 Ｎ ＡＴ 机 割 将


Ａｄ ｄ   数提包重 定 向 到


＂

ａ ｒ
ｐｓ ｐｏ
ｏｆ  ｃｍ ｄ 
＝
 ｇ
ｅｔＦ ｉ ｅｓ Ｄ ｉ ｒ
（ ） 
＋ ／
ａ ｒ
＾ｓ ｐ ｏ ｃ 
？

ｇｅ ｔ ｌ ｎｅ ｔ ｒ ｅ ｓｓ
（ ）

ｈ
－ 
 Ｈ ＴＴ Ｐ ＿
Ｐ ＲＯＸＹ
＿
Ｐ Ｏ ＲＴ ）  被攻 击 主 机


ＢＡＣ Ｋ ＬＯＧ  
＂ ＂ ＂ ＂

＋  ｉ ｎ ｔｅ ｒ ｆ ａ ｃｅ Ｎａ ｍｅ＋  －

ｔ
 ＋ ａ ｔ ｒ
ｇｅ ｔ
＿
ｉ
ｐ
＋ 
） ；



＾

＋  Ａｐ ｐ Ｃ ｏ ｎ ｔ ｅ ｘ ｔ ｇ ｅ ｔ Ｇ ａ ｅ ｗａ ｙ Ｏ 
．
ｔ ：
…


；

ｅ ｌ ｓｅ  

｝

． ． ．
． ． ．
；
；





  

图 ６ ２ 基于 中 间 人 攻 击 的 数据 劫 持模 式 示 意 

图
－

攻 击 者 对 被攻击 主 机 进 行 会 话 劫 持 是 实 现 中 间 人 攻击 的 前 提 ５
主 要包括 四 步 ：



首
先 通过５
Ｉ
ｐｔａｂ ｌ ｅ ｓ
转 发 网 络 地 址 转 换 数据 包 ， 如 图 中 ① 所示 ，
主要 实 现于 Ｐ ｒ ｏ ｘ ｙ Ｓ ｅ ｒｖ ｉ ｃｅ



类的 ｓ ｔ ａ ｒｔ Ｈ ｔｔ
ｐ Ｐ ｒｏ ｘ ｙ 方法 中 ；
其次 ， 攻击者 开 启 端 口 转 发 ， 允 许 本 主 机 能 够转 发 数 据


包 ， 如 图 中 ＠所示 ，
主要 实 现于 Ａ ｒｐ Ｓ ｅ ｒ ｖ ｉ ｃｅ 类的 ｏ ｎ Ｓ ｔ ａ ｒｔ Ｃ ｏ ｍ ｍ ａ ｎ ｄ 方法 中 ；
另外 ， 攻击


者进行单 向 ＡＲＰ 投毒 ， 声 称 自 己 就是 客 户 端 ， 如图 中 ＠ 所示 ，
主要实 现于 Ａ ｒｐ Ｓ ｅ ｒ ｖ ｉ ｃｅ



类的 ｏ ｎ Ｓ ｔ ａｒｔ Ｃ ｏ ｍ ｍ ａ ｎ ｄ 方法 中 最后 攻击者 使 用 Ｓ ｏ ｃ ｋｅ ｔ 创建 个 Ｗｅ ｂ ｓ ｅ ｒ ｖ ｅ ｒ 从而


一

； ，
，

获 取 到 被 攻击 者 发 送 给 攻击 者 的 请 求 ， 如 图 中 ④所示 。
在完 成 会话劫 持 后 ， 被攻击 主


机 将 原 本 发 送 给 客 户 端 的 数 据 发 送 到 攻击 者 主 机 上 ， 攻击 者 使 用 ＮＡＴ 机制修改 了 数


据包 的 源 Ｉ Ｐ ， 客 户 端将 回 应 的 数据 包返 回 给攻击者主 机 ， 攻击 者 使 用 ＡＮ Ｔ 机 制 将数


据 包 重 定 向 到 被攻击 的 主 机 ，
从 而 完 成基于 中 间 人攻击 的 数据劫 持 

。

３ ．
基于 ＤＮＳ 信 道 的 数据 劫 持


图 ６ －

３ 展示 了 在 安卓 设 备上基于 ＤＮ Ｓ 信道 的 数据 劫 持 的 实 现 手 段 。 通过 ＤＮＳ 

隐
蔽 信 道 可 以 实 现 数据 传 输 ．

完 成 恶 意 信息 的 执 行 ， 从 而 实 现 相 应 的 攻击 。 具体实现如


下 ：

首先 ， 客 户 端 的 恶意 应用 与 域名 服 务器 间 建立 ＤＮＳ 隐 蔽 信道 ， 具 体实现可 以 借


助 Ａｎｄ ｌ ｏ ｄｉ ｎ ｅ 等工具 ；
其次 ， 客 户 端将加 密 后 的 窃 取 信息 构 造在 ＤＮＳ 请求串 中 ， 

并
根据端 口 号 发送给相 应 的 域名 服务器 ； 然后 ， 域名 服 务器 可 以 根据端 口 将该信息 转 发



给其 他 服务端 ；
最后 ， 服 务 端通 过 对窃 取信息 进行解 密 ， 即 可 得 到 想 要 的 数据 内 容 

，

从 而 实 现基 于 ＤＮ Ｓ 隐 蔽 信道 的 数据 传 输 ， 完 成基于 ＤＮＳ 信道 的 数 据 劫 持 

。

８４



第 六章 Ｋ Ｒ Ｐ Ｒ ＯＶ Ｅ ：

攻击 者视 角 的 新型勒索 技 术



Ｉ ｎ ｔ ｅｒｎ ｅｔ



ｏｒｔ ５ ３
（ｐ 

）
：

ｎ＾ 〇ｒ ｄ ２ ３４５６
 ａ ｃ ｃｏ ｕ ｄｍ ａｓ ｓｗ



￣
￣

ｎｔ ａ １
ｐ
： ｉ ：

Ｊ ｊ

 Ｎ＾
 

 ７ １ ４ 獻 —


Ｍ 
：

ＤＮ Ｓ  ｒｅｓ ｏ ｎ ｓｅ ｔ
ｒ
 ５ ３




ｐ  
（
；

＾ Ｘｊ ｇｐ
ＮＳ
二＝ 
  ＊？ ３ 〇
（


７ ５

ｈ—
 ｇ ａ＾  ｔ
職 ； Ｔ Ｘ７
Ｗ
＂
＊＊


５
＇
ｊ

ｓｓ Ｈ ｐ
（

＾

＂

ＤＮ Ｓ
 ｑ ｕｅ ｒｙ （
Ｓ ＯＣ Ｋ ： ｘｘ


］

１ Ｓ ２ ｘｏｃ ？ｃ １ ４６  １ ９ ２ ｊｃｘｘｊｏｃ １ ４９  ＤＮＳ

   发送 窃 取到 的 信息 



ｂ ｒｄ ７ ５ ＴＸ Ｔ
Ｓ ｔａ ｎ ｔ
 ｑｕ ｅ ｙ ０ｘ １
ｒ

１ 



７７ Ｓ ９ｅ ２３
ｊ
１ ２ ｌ ． ｘ ？ｃ ｄ ｕ ｂ  攻 志 者域 名 凝 努 器



图 ６
－

３ 基于 ＤＮ Ｓ 信 道 的 数据 劫 持 模 式 示 意 图



６ ３ ２
． ．
新 型 勒 索 技 术实 验验证



为 了 更 好地 验 证 攻 击 者 视 角 的 新 型 勒 索 技 术 的 可 行性 ， 本节 利 用 ６ ３ ．

节 中 提出 的


安 卓 勒 索 应 用 行 为 验 证 框 架 对基于 ＤＮ Ｓ 信道 的 用 户 数据劫 持 、 基于 中 间 人攻击 的 通


信 劫 持 与 基于 ＤＮ Ｓ 劫 持 的 通 信 劫 持 三 种 新 型 勒 索 应 用 攻击 技 术 进 行 了 验 证 ， 

实 验验
证结 果 如 表 ６ ６
－

所示 

。

表 ＆ ６ 新 型 勒 索 应 用 攻 击技 术 在 安卓 不 同 版 本 上 的 验证



基于 ＤＮ Ｓ 劫持的通信 基于中 间 人攻击的数 基于 ＤＮ Ｓ 信道的用 户



系统版本


劫 持 据 劫 持 数 据 劫 持



Ａｎ ｄ ｒｏ ｉ ｄ ４ ４  ／ ． ／ ／



Ａ ｎ ｄ ｒｏ ｄ ｉ  ５ ０ ．  ／ ／  ／



Ａｎｄ ｒｏ ｉ ｄ ６ ０ ／ ． ／ ／



Ａ ｎ ｄ ｒｏ ｉ ｄ ７ ０ ／  ． ／ ／



Ａ ｎ ｄ ｒｏ ｉ ｄ ８ ０ ／  ． ／ ／



Ａｎｄ ｒｏ ｉ ｄ ９ ０ ／  ． ／ ／



Ａ ｎ ｄ ｒｏ ｉ 

ｄ

／ ／ ／


１ ０ ０
．


由表 ６
－

６ 可知 ， 基于 ＤＮＳ 信道 的 用 户 数据劫 持 、
基于 中 间 人攻击 的 通 信劫 持 与



基于 ＤＮ Ｓ 劫 持 的 通 信 劫 持 三 种 新 型 勒 索 应 用 攻击 技 术 均 能 够 在 安 卓 ４ ４ ．

版 本 至 安卓



８５


北京 邮 电 大 学 工 学 博士学 位 论 文 



１ ０ ０ ．

版 本上 实 现 

。

１ ．

基于 ＤＮＳ 劫持的通信劫持


基于 ＤＮ Ｓ 劫 持 的 通 信劫 持 技 术 实 现将 以 在安卓 ７ ０ ．
版 本上 进行 的 实 验 验证结 果


为 例 进行 展 示 。
为 了 确 保测 试 的 准确性 ， 每 次进行 实验验证 时 ， 除 了 验证应 用 外 ，


不
再运 行其 他 应 用 。 且默认 测 试 时勒 索 应 用 无特 殊 代 码 加 载 方 式 。 图 ６ ４
－

展示 了 在 开 启


ＫＲ Ｐ ＲＯ Ｖ Ｅ 中 Ｄ Ｎ Ｓ 通 信劫 持模块 后 的 真 机 测 试结果 。 该实验 以 ｗｗ ｗ ｂ ａ ｄｕ
． ｉ ． ｃｏ ｍ  （
Ｉ Ｐ 

：

１ １ ０ ２４ ２ ６ ８ ４
． ． ．

） 为 
Ｄ Ｎ Ｓ劫 持 对 象 

。

ｂ 

：



？
访间 ａ ．
ｃｏ ｍ 的 谞 求 遭 到 拒绝



＊ ？ Ｔ Ｐ ５ ５ Ｋ ＳＳ ４ ０ ３
ｆ



Ｖ
：
＾Ｂ   



（
ａ）  （
ｂ ）

会 令褪 务 ０ Ｘ


￣


ｄ ｂ  ｓｈ ｄ  
＂

ＳＳ ｌ 
？

７ ｓ
；

７ ！

（
Ｃ 

）

图 ６
－

４ 基于 ＤＮＳ 劫持 的 通 信 劫 持验证 结 果



（
ａ） 表明 ＤＮＳ 劫 持 功 能 在 测 试设 备 上 已 开 启 ，
此 时 勒 索 应 用 将对设备 发 出 的 对于


ｗ ｗ ｗ ｂ ａ ｄｕ ｍ 的 ＤＮＳ 请求进行劫 持 进 行 包 解 析之 后 重 新 构 建 个 ＤＮ Ｓ 回 包并 以


一

． ｉ ． ｃｏ
，

ＤＮＳ 为 ａ ｘｏｍ 的 身份返 回 给 用 户 。

用 户 若 使 用 浏 览 器 对虚 假 ＤＮ Ｓ 进 行访 问 ， 请求将


会遭 到 拒绝 ，
如 （
ｂ） 所示 。
若使用 ｐｉｎｇ 命 令对 ｗｗ ｗ ｂａ ｄｕ ． ｉ ． ｃｏｍ 所对 应的 Ｉ Ｐ 地址进行


访问 ， 如 （
ｃ ） 所示 ，
可 以成功访 问 

。

８６



第 六章 ＫＲ Ｐ Ｒ ＯＶＥ ：

攻击 者 视角 的 新 型勒 索 技 术



这说 明 了 基于 ＤＮＳ 的 通 信劫 持功 能 开 启 后 ，
能 够 成 功 对被 测 试 的 设 备进行 ＤＮＳ



劫持 ， 验证 了 新 型 勒 索 应 用 能 够 使 用 基 于 ＤＮ Ｓ 劫 持 的 技 术 实 现通 信劫持 的 可 能 性 

。

２ ．
基于 中 间 人 攻击 的通信 劫 持


基于 中 间 人攻击 的 通 信劫 持 技 术 实 现 将 以 在 安卓 ８ ． ０ 版 本上进行 的 实验验证结


果 为 例 进 行 展示 。 为 了 确 保测 试 的 准确 性 ， 每 次进行实验验证 时 ， 除 了验证应 用 外 

，

不 再运 行 其 他 应 用 。 且 默认测 试 时勒 索 应 用 无特殊 代 码 加 载 方式 。
图 ６
－

５ 展示 了 在 开


启 Ｋ Ｒ Ｐ Ｒ Ｏ Ｖ Ｅ 中 中 间 人 攻 击模 块 后 的 真 机 测 试 结 果 

。

⑷ 表 明 中 间 人 攻 击 功 能 在 测 试设 备 上 已 开 启 ，
此时 Ｋ Ｒ Ｐ Ｒ ＯＶ Ｅ 对设 备 发 出 的 网



络请 求进行截获 。 图 （
ｂ） 展 示 了 该 测 试设备 与 ｗｗ ｗ ． ｔ ｅ ｓ ｔ
－

ｉ
ｐ
ｖ６ ｃｏｍ
．

进 行 通 信 时 的 详细


数据 

。

这 说 明 了 在 基 于 中 间 人 攻击 的 通 信 劫 持 功 能 开 启 后 ，
能 够 成 功 对被 测 试 的 设备


进 行 中 间 人 攻击 ， 截 获 用 户 发 出 的 网 络请 求 ， 验证 了 新 型 勒 索 应 用 能 够 使 用 基 于 中 间


人攻击 的 技 术实 现通 信劫持 的 可 能性 

。

ｂｐ ｐ ｂ ｐｈ



Ｉ１



（
ａ）  （ ｂ）



图 ６ ５ 基于 中 间 ＆ 攻 击 的 数 据 劫 持验 证 结 

果

３ ．
基于 ＤＮＳ 信道的 用 卢 数据劫持


基于 ＤＮＳ 信道 的 用 户 数据劫 持 技 术 实 现将 以 在安卓 ９ ０ ．
版 本 上 进 行 的 实 验验 证


结果 为 例 进行展示 。
为 了 确 保测 试 的 准 确 性 ， 每 次 进行 实验验证 时 ， 除 了 验证 应 用


夕卜 ，
不 再运 行 其 他 应 用 。 且 默认 测 试 时 勒 索 应 用 无 特 殊 代 码 加 载 方 式 。 图 ６
－

６ 展示


了 在 开 启 ＫＲ Ｐ Ｒ ＯＶ Ｅ 中 数 据 劫 持 模 块 后 的 真 机 测 试 结 果 。 该实验 中 ， 安卓 设备 （
Ｉ Ｐ 

：

８７


北 京 邮 电 大 学工 学博 士学 位论 文 



为 受控端 为 的 主 机 利 用 ＤＮ Ｓ 信道 传 输 数据
＊ ＊
１ ０ ２８
． ． １ 气 １
） ； 向 Ｉ Ｐ １ ９２ ． １ ６８ ．
＊ ＊ ＊
．
＊ ＊ ＊


。

：
５

Ｂ ａ ｓｅ ６４ 在 线 缤码 解码  ｉ ？ 好海 的 ３ａｓ ｅ￥４  ２ ．
钱３ 馬 ． 

）

？Ｋ 入？ Ｓ行 Ｂａ ｓ？Ｓ４ 编 ５ 効Ｗ ３ 的 字 》

 ｉ

ｍｍ ＾９
■

３ｒ ， ．



＾ ？

：
Ｄｅ ｏｏ ？ ｉ
ｅ ｝
 ：  ２？  Ｇ２Ｓ！  ＢＳ２３



Ｂａｓｅ＆ Ｓ
 ！ Ｓ 賊關 離， ‘


：

ｎｖ
． 

．
：

（
ａ）  （ ｂ）



ｍ ？  ｅｍ —
＾＾ Ｓ＿＿ 篡 金 ？
二 黑 叹 兔 灸 ｅ


＇ ＂

文
物   ＾
＞
！ ？ ０ 
？  ＊



ｃ＊
ｆ ？ ？
ｒ
ｔ  ＊ ？  ＇

 ； ｔ  Ｓ Ｓ Ｉ ｌ Ｍ Ｃ  ？？？  ｆ ＿ ａ ？ ｖ ＾  Ｊ 

？

吹  Ｓ ｅ ｓ ａ ａ ｃ ｎ  把 ＊ 、 明 ３ ８  Ｓ ｗ ？ ？  Ｏ ｗｓ ｒ ｔ ｏ ｎ Ｐ 〇 ｎ  ＾


＂
＇
ｌ ｍｅ ｔ ｉ ： ； ．
ｔ
ｉ
￣

？２  ？  ｗ ＾ ａ—
 Ｃ ＾ ９ ＭＫ  ｗ ｓ  ”  ￥ ？ ＊ ？
＞
ｉ ２ｙ ？ ｙ ＞ ？？ ｓ？ ｔ ｓ 

？
＜
ｉ
ｉ
！ ｉ ； ｓ
＞
；
ｊ

Ｆ ： ｘ？？  ５ 幻 。 ＊ ｓ
＾
＊ ｅ ＞ ？ ｗ ｗ ｃ  ｌ ＊

ｊ
？ ｖ ｖ ｖ ＊
（
ｅ
ｆ ２ ：
乂 Ｊ
ｋ ｗ ＜
？  ｅｖ？ ， ｉ ｉ ＜


）

ｉｘ
ｆ ＾ｉ
＊
＾ 
＝  ｗ
Ｍ ｋ ｆ
ｒ ３ ｔ＊
１ ＇

ｊ ？ Ｋ
－

ｔ ？ ？ ！ ？ Ｓ ｒ ； ｉ
ｉ
： ！  ． ｖ Ｆ ： ｉ
ｊ
）

？ 

；

＞＊
ｖ －
．
． ｖ
－
ｉ
＾ ｃ  ｐ ； 
ＳＭ 

Ｉ

ｖ？
＇

ｎ ｔ ａ ？  ＊ ？ａ？  

？

０ １ ０ １  ＨＭｋ ｒ Ｕ ＾ ＜ －
 ３ １ ＞
ｈｒ
ｔ ｊ ？ ｉ
＞

＾
＂

： ＞ ｎ ｅ？ａｔ
？ ｒ ｅＳ ？  Ｗ Ｊ ｆ
ｔ
－

！ ；
＞ Ｓ ＜ ？  Ｓ
ｆ

？？ ｉ  ？ ？＊ －

￡＜ 

＞

Ｔ？ ＊ ｉ ｌ ｊ ａ ＊ ｓ ｈ 交、



ｉ ＆Ｈ Ｗ ｉ
ｉ ； ＊＊ ＊  ＜ ？ ４ ｅ？ Ｋ －

２ ？ ？４ Ｓ 

＞

Ｍ？ ｊ
？  ０ｔ？Ｃ



＞ Ｏ
Ｔ
ｆ
ａ
ｒ ｃ ｓ ＜
＜ ？ｔＭ＜  ？

Ｔ ｉ ｉ ｗ Ｋ ＞

｜ ｊ？＊  ４
＜


！

ａ ７
＊
？ ｊ
Ｓ ｆ ： 

？

Ｈ？ 〇Ｋ ｔ
ａｍｓ ０ ｔ＞ ？ｉ Ｈ Ｋｔ ｓ ｏ＊
－

ｉ
３
ａ ．

＾
■ ｚ ｉ ｎｆ ａ ．
ｔ ｉ
ｌｉ ｘｉ 

：

；
Ｋ？ｄｅ ｔ ｉ Ｓ ？ｔＮａｎ ＊ ？ ？？ ：
ｔ ｉ
ｓ ？ ｓ ｓ ｉ
＆ｉ 

Ｉ

Ａ ｆ
ｒ Ｕｎ？Ｋ  ：
０ ｉ？ 
？

？Ｓ  Ｉ 

Ｍ

■ ｉｔ ｒ Ｍ ｉ Ｘ ＾ｅ ． Ａ＾ ／ ＾ｘ ｙｙ



Ｖ Ｈ？ ？＊？ Ｗｖ ｅＳ ｅＯ
ｔ ？
－ ＂

Ｉ  ａ ７ ？Ｂ ？ ■

＜  （ Ｈ ｓ ｎ  ？ ； ？ ｏ ｔ Ｔ  ５ 

ｉ
ｆ

ｔｗ
ｆ ｓ ａ ｎ Ｖ ＞
！ ？ Ｓ７ ＊ ３ ｔ ＊ ＞
Ｈ ｗ ｉ
ｓ
ｔ
ｙ 

）

ｎｗ ｔ
ｒ ｆ
ｒ ｉ ｗｎ ＳｔＢ ＊ｎ ｌ
中 ＞ Ｔ
Ｃ


）

Ａ ｔ ｕ ｉ Ｍ ｒ
Ｒ ｉ ｂ 

朽

ｚ


’
抝 密 耢 的 隐 私繼 － 数 据


ｑｗ ｗ＊？ 

ｉ ｓ ｉ
一
Ｖ
＂
ｉ Ａ Ｓ ｙ ｙ ） ｃ
ｆ ／ Ｖ ｉ
ＡＡ ＡＡ  ？ ｏ ｗ
ｔ （ Ｓ

ｊ ｔ ｔ ｍｅ 

ｒ

ｓ


；

ｆ
ｌ 咖 ０ ＊ ？ ＞ 

！

Ｔ
ｙ ｔ ｒ  ＡＡ ＡＡ ｌ ｉ ｆ＾ Ａ Ｍ ＜
－
！ ？ ．

ｉ
？ 

；

Ｃ ＜ ｕ＞  ｔ
＞

＜
？ ｉ ＜ 〇Ｈ〇 Ｉ 

）

！ Ｋ〇ｒ？ ？Ｋ ｉ （ ？
擔Ａ



（ ｃ 

）

图 ６
－

６ 基于 ＤＮＳ 信 道 的 数 据 劫 持验 证 结 果



表 明 基于 的 数据 劫 持 功 能 在 设 备 上 已 经 开 启 且该 设 备 与
＊ ＊ ＊ ＊ ＊ ＊


（
ａ） ＤＮＳ ，
１ ９２ ． １ ６８ ． ．

建立 了 
ＤＮ Ｓ 信道 在 本实 验 中 。
， 用 户 设 备 上 的 手 机 号 码 被 认 为 是 隐 私 信息 。 在 信道 建


立完 毕 后 ， 受控 端 将 手 机 号 码 以 使 用 ｂ ａ ｓ ｅ ６４ 进行 加 密 ， 并 将 加 密 后 的 数据 利 用 ＤＮ Ｓ



信道 向 １ ９２ ． １ ６８ ．
＊ ＊＊
．
＊ ＊ ＊
传输 。
如 （
ｃ ） 所示 ， 在主机 １ ９２ ． １ ６８ ．
＊ ＊ ＊
．
＊ ＊ ＊
进行 流量抓 取 ， 

能
够 发 现 安卓 设 备 信道 向 传输 的加密
＊ ＊ ＊ ＊ ＊ ＊ ＊
 ＤＮ Ｓ 

＊ ＊ ＊
（
Ｉ Ｐ ：
１ 〇 ２８ ． ． １ ． １
） 利用 １ ９２ ． １ ６８ ． ．

信息 。
如 （
ｂ） 所示 ， 将该 信息 利 用 ｂ ａ ｓ ｅ ６４ 解 码 器进 行 解 码 ， 该信 息 为 用 户 设备上 的 手


机号 码 
１ ９８７
＊ ＊ ＊ ＊
３３９ 

。

８８



第 六章 Ｋ Ｒ Ｐ ＲＯＶ Ｅ ：

攻击者 视 角 的 新 型勒 索 技术



这说 明 了 在基于 ＤＮ Ｓ 信道 的 数据 劫 持模 块 开 启 后 ， 能 够 成功 对被 测 试 的 设 备 进


行数据劫 持 ， 验 证 了 新 型 勒 索 应 用 能 够 使 用 基于 ＤＮＳ 信道 实 现数据 劫 持 的 可 能 性 

。

６ ４
．
勒 索 行 为 验证框 架



在 本节 中 本 文将介绍 ＫＲ Ｐ Ｒ Ｏ Ｖ Ｅ 这是 个安卓上勒 索 应 用 的 概念证 明 可用



一

， ， ，

于 勒 索 受 害 者 或 安 卓 上 的 攻 击设 备 。 本 文希望 Ｋ Ｒ Ｐ ＲＯＶ Ｅ 能够识 别 出 开 发勒索 应用




的 困 难 或 攻击者 花 费 最 多 时 间 的 问 题 。 通 过这 种 方 式 ， 它 可 以 帮助 用 户 或 安全分析师


使 用 适 当 的 策 略 来 保护 安 卓 终 端设备 免受 勒 索 应 用 的 攻击 

。

６ ４
． ． １ 工作流程



Ｋ Ｒ Ｐ Ｒ ＯＶ Ｅ 的 工 作流程 如 图 ６
－

７ 所示 ，
ＫＲ Ｐ Ｒ ＯＶ Ｅ 包 含 五 个 模块 ， 分 别 是激 活模


块 、
设 备 劫 持模块 、
数据 劫 持模块 、 通 信劫 持模块 和 策略选择模块 。 激 活 模块用 于加


载勒索 代 码 ， 以 确 保勒 索 应 用 能 够 成 功 被 激 活 。
设备 劫持 模块 用 于 禁 用 设 备 ， 使用 户


无法 正 常 使 用 设备 。
数据 劫 持 模 块 用 于 使 用 户 无 法 正 常 打 开 自 己 的 私 人文件 ， 或窃取


数据 对 用 户 进行 勒 索 通 信劫 持模 块 用 于 干 扰 用 户 与 外 界之 间 的 通 信 。 ， 从 而对用 户 进


行勒 索 。
策 略 性选 择 模 块 用 于 对 ＫＲ Ｐ ＲＯ Ｖ Ｅ 提 供 的 不 同 模块 的 功 能 进 行 组 合 ， 最终


得到 自 定 义的勒索行为 

。

激 活 模块
  劫 持 模块   



① 麟
－ 

—
  

严索 代  
—

ｆ 禁 用欣

卜 ？  丨

降 备 镇定 涵 ⑤ 

；

１

—

ｔ 

 策路 送 择 模块


正 常代码

， １

辅 助 功 能 




／
丨 Ｉ
！ ；

￣


／   禁 用 按 纽 ］ ｜ ［  ｜
禁 用Ｕ Ｓ Ｂ ｜ ｜  激活 屏 蓴资 源 劫



 ，
钮
② 勒 索 亨！
〒可 运
￣ ￣ ￣

、
！

 ｜
禁 用 电源键  ｜
？ … ＂
丨  七， ．

  Ｌ 

 激 活①
１

＿ ＿ ＿ Ｉ

／ ｜ 
＋ 苽 密 文 件＋ 窃


激活 加载 取信 息
了  令 数 据 劫 持 模 块 今
■

＾
ｙ
（ 
 ＿ — 



＾
 ４


／ 、 加Ｓ ＼
ｆ

： 二二士 二 厂 ］ 激 活 ② ＋
屏幕资源




丨 ｜

… ＼
Ｉ

… … 雙 … 

…

 ＼
、

洛
！
丨
士件
 中 歐ｆ
ｅ ＤＮ Ｓ ｌ ＾ｉ 錢
丨

丨
 … 

…

參
勒 索应 用  二二二二二二二二二二二二二二二 
＇

③ 一



Ｉ

正 常应用程 序
申请 〇 ＼
通 信 劫持 校 块  —



 ００    勒索 行 为
一

伪装 ｔ ＼ ｒ 二

 １


ｌ 


￣ ￣ ￣ ￣

 ｕ Ｄ Ｎ 劫持
…

Ｓ
嚇 筌用 １ Ｉ １



；

图 ６
－

７ Ｋ Ｒ Ｐ Ｒ ＯＶ Ｅ 工 作 流 程 示 意 图



１ ．

激活 模块


激活模块 用 于 加 载 能 够 成 功 激 活勒索行 为 的 代 码 。
在本节 中 ， 本 文将 介绍 三 种勒



８ ９


北 京 邮 电 大 学 工学博 士学 位论 文 



索 代 码 激活模式 ， 包括加 载模式 、

恢复模式 和 伪 装 模式 

。

１
） 加 载 模式 图 ６
－

８ 所 示 的 加 载 勒 索 代 码 示 例 演 示 了 激 活 勒 索 应 用 后 如 何在 勒 索


应 用 中 加 载勒 索 代 码 。 加 载 模式 中 的 勒索 应 用 在 激 活勒索 应 用 之 前不 会 加 载勒 索 代


码 或 进行勒 索 。
以图 ６
－

８ 为例 ，
原 始 应 用 程 序 将其 恶 意 代 码放在服务器 ＠上 ， 用 来逃


避静态勒 索 应 用 检测 当 应 用 程序被激活 了 定的时间 或 者 用 户 按下 应 用 程序 的某


一

。
，

些按钮 ，
例如登录 ，
它将触 发 Ｄｅｘ Ｃ ｌ ａ ｓｓ Ｌｏ ａｄ ｅｒ
③ ？从服务器下载勒索代 码－

。
勒索应


用 将勒索 代 码 保存在本地 后 将创 建 个新 实例 ⑦来 重新加 载 或 文件 这时
一

，
．

ｊ
ａｒ ． ｄｅｘ 。


，

勒 索 应 用 就被 激 活 了 

。

Ｆ ｏ  ＊
ｂｅｎ 

ａ
—

ｉ ．
ｔ  ｉ
ｇ

ｃｌａ ｓｓ   ｛
Ｐｒｅｓｓ  ｌ ｏ
ｇ
ｍ ｂ ｕ ｎｏ ａ




”
ｎ ｇ ｕｒ
ｉ Ｔｓｔ ＾ ｌｓ ｏｃａ ｗａ
ｗ ｗ ｗ ｊａ ｆ ｃｏｍ 
＂
Ｓ ｔ ｒｉ

 ／ ｒ ｅ  ：


，

ｖｏ ｄ ｉ  ４ 

－

４ Ｓ ｔ ｍ ｉ
ｆ 
ｒ ａ ａ Ｐ ａＳ ｉ
： ！ ：

 ＜ ｋ ｍＴ ｊ ３ ｏ ａ ＾Ｖ ｉ ？ Ｕ ａ ｏ ｕ ｓ Ｐ ａ ＞ １ 〇 ｉ ８ ｅ ｗｌ
ｆ （ ） ；  ｌ ｏｇ ｓ

 ｉ

Ｄｃｘ Ｑａ ｓ ｓ Ｌｏａ ｋｒ Ｄｅｓ ＣＵ ｓ ｅｔ ｒ ａ ａ？ 她

ｔ
＇

ｉ  ｌ ｏ ａｄｅｙ ｎｅｕ ｉ ｉｏａ ｃ ＇ ｃ ａ ｃ ｉ ｅＰ ａ ｊ ｔ ｌ ｉ ＿ ａｕ ｌ ｉ 、

？ｃ
ｔ Ｃｌ ａ ＆ｓ Ｌｏ ？ ｄｆ〇 ）
：  ． 

．

劣、


Ｏａ 置ａ ｃ ｓ ｏ ｕ 
＇

ｋｓ ｓ
＊

Ｃｌａｓｓ  ｒ ａ ｎＣ 
？
 ｄｃ ｔ ｓｓ Ｌｏａ ｄｃ ｒ ｋ ｗ ｄＣ ａ ｌ
Ｗ ｓｘ ｍ ｓ ｉ ｒ ｗａ ｒｅ ！ ：

Ｒｓａ ｓｏｕｉ ａ ａｆｅ ｓｎ ｓ ｏｎ ｍ ａ ｅ ｒａａ Ｃ ａｓｓ ｅ ｕｉ ｏ ＾ａａｃｃ Ｏ  ｄｏ Ｌｏ ｉ ａ  ｄ ｏ ？ｔ ｏａｄ  ４

－
ｉ
 ｒ ｊ   ｌ ｊ ｓ ｓ Ｊ
ｇ （
．



）

ａ ｆＣ ｄ ｏＲ ａ ａ ｓ ｔ
－

ｒａａｓ ｏ ａｔ ａ ｅａ Ｃ
－ ） 

；

Ｑ
 ）  ４ ４



３ ０  ｐｍ ｔ ｅ ｃ＾ ｄ  ｏ ａＣ ｒｅ ３ ｔ ？ ３ ？ａ ｄ ｉ＊  ｓ ｙｃｅ ｄ ｌ ｉ ＾ ｓ ａ ｃ ｅ Ｓ ｔ ｓｔ ｅ
）＾  ｔ 〇 ３４  ｉ ￥
＾

６ ）

３ １ ？ ＇
如£ 麟 £ ＜５ ＾
？
＆说 ａａｃ 於 ｔ ａ ｔ？ ＞ ：  

，

１ ２  …
… 
－



＊

Ｓ ａ ｄ ＾ ＣＡ Ｂ ＾ ｉ ｄ Ｃ Ｋ ｄ ｏ ｇ ａ ） ？Ｏｎ Ｃ Ｕ Ｍｉ ｓ ｏＲａ ａｓｏａｉ

汝


－

＾＾ ｖ ＾） ） 
－ －

Ｊ ｉ ｛ ＜ ｉ －

Ｊ ｓｓ ｉ ｊ ＜ ｉ
ｇ
 ｉ ． ：

Ｍ＞



ｖ ｃ ？ｄ ｋ ） ２ ｉ ｎ
〇

｛


｝


ｊ
＾



图 扣 载 模式示 例



２
） 代 码恢复模式



ｅ ｚＯ ｅ Ａ ＰＭ  Ｆ ｌｏｗ   ｂ ｅ ｒｄ ｇ ｎ   ＾ａ ｌ ｃ ａｓ
— －

ｉ ｌ ｒ ｆ
ｉ ｃ ｉ 


１ ｃ ｉａ ｓ ？  ｆ
ｅ ｉ ｎ Ａｃ ｔ ｌ ｖｉ Ｓ ｙ  ｅ ｘ ｔ ｅｒ ｄ
Ｊ ．
ｃ Ａｐ ｐ Ｃ ｏ ｓ ｐ ＾ ｔ Ａ ｃ ｔ ｉｖ ｉ ｔｙ
｛  Ｐ ｒ ｅｓｓ  ｆｕ ｎ ｃ  ｂｕｔ ｔ ｏ 

ｎ

１  Ｓｔ ｒ ｉｎ
ｇ
ｅ ｎｃ ｒｙ ｐｅｄ Ｐａ ｙｌ ｏａ ｄＰ ｓｔ ｈ ？
 ／
 Ｐ？ｔ ｒ  ｏｆ  ｅｎ ｃｒｙ ！ ｔａｔ  ｐ３ ！ ｉ ｃ＊ ； Ｊ  ．

、


｛
ｙ



＊
２  ｖｏ ｉ ｄ  ｌ ｏ ａ ＜ ３Ｓａ ｎ ｓ ｃ ３ Ｂ ｗａ ｒｅ （ ） ｛ 
Ａ  Ｓｔ ｒ ｉ ｎ  ＾ｓ ｃ  ＆ａ ｙ ｌ ｃ ｓ ｄ  ｈ ｎｃ  ｄ ｅｃ
Ｐ
ｇ  ｃ ｅ ｘ ａｔ ｈ  ｆ
＝
 ｄ ｅ ｃ ｒｙ ｐ ｔ Ｐ ａ ｙ ｌ ｃ ｓｄ Ｃ
ｅ ｎ ｃ ｒ ｙｐｅｄ Ｐ ａ ｙ ｌｏａｄ Ｐｓ ｔ ｈ ） ；
ｒ／ ｐ ｚ ｒ
ｙｐｔ  （
＜ ｓ
；


；

Ｄ ｅｘＣ ｌ ａ ｓ ｓ ｌ ｏａ ｄ ｅｒ  ｌ ｏ ａｄ ｅ ｒ  ？
 ｎ ｅｗ  Ｄｅ ｘ Ｃ Ｘａ ｓ ｓ Ｌｏ ａｄ ｅ ｒ
（
＜ ｅ ｘＰ ａ ｔ ｈ
ｔ Ｊ
ｃ ａ ｃｈ ｅ？ ａ ｔ ｈ ，
ｎｕｌ ｌ
， ｇ
＆ｔ Ｃ ｉ３ ｓ ｓ Ｌｏａｄ ｅ ｒ
＇

｛ ｝ ） ；  ｉ  

，

 

’
＂ ＂

Ｃ ｌ ａ ｓ ｓ  ｒａ ｎＣ ｌ ａ ｓ ｓ   ｄ ｅ ｘ Ｃ ｌ ａ ｓ ｓ Ｌｏａｄ ｅ ｒ ｌ Ｇ ａ ｄＣ ｌ３ ｓ ｓ ｘ３ ｘｘ ｘ ｘ Ｒ ａｎ ｓ 〇３ｗａ ｒ ｅ
－
． ＜ ． ． ．

＜ ） ；

７  Ｒ ａｎ ｓ ｏ ｔ Ｒ ｗａ ｒ
＇

ｅ  ｒ ａ ｎ ｓ ｏａ ｗ ａ ｒ ｅ  ？
 ｒ ｓ ｎＣ ｌ ａ ｓ ｓ ． ｎ ｅｗ Ｉ ｎ ｓ ｔａ ｎ ｃ ｅ Ｏ  ；
Ｌ ｏａ ｄ  －

５
－

ｏ 

＞

 ｒａｎ ｓ ｏｎ？ ａ ｒ
ｄ ｏＲ ａ ｒ ｓ ｏｎ 
－

８ ｅ ．

｝ ；


ｉ

９ ｝  

Ｉ

３ ８  ｐｒｏｔ ｅ ｃｔ ｅｄ  ｖｏ ｉ ｄ  ｏ ＾ ｒｅ ａ ｔ ｅ ｒ
（
Ｂ ｕｎｄ ｌ ｅ  ｓａｖ ｅ ｄ Ｉ ｎ ｓ ｔ ｅｎｃ ｅ Ｓｔ ａ ｔ ｅ
） ｛  ｄ ｏ Ｒ ｓｎ ｓ ｏ？  

：

ｉ ｉ ｓｕｐｅ ｒ ． ｏｎ Ｃ ｒｅ ａ ｔ ｅ （
ｓ ａｖ ｅ ｄ ｌ ｎ ｓｔ ａ ｎ ｃｆ
ｅＳ ｔ ｆＣｅ ） ；  

ｉ

Ｕ


＊

ｆ ｉ ｎ ｄｖｉ ｅｗ Ｂｙ ｌ ｄ ｏ Ｏｎ £ ｌ ｉｃ ｋ ｔｅｎ ｅ
＇

Ｒ ｉｄ ｌ ｉ ｎ ｓｅｔ ｔｉ ｓ ｒ ｖ
－

＞ Ｉ ｏｇ ｉ ｎ
ｇ ） ；


． ． ．

（ ）  （ （ ）

２ ４
 

｝

１ ５  

—

图 ６ －

９ 代码恢复模式示 例



图 ６
－

９ 中 所示 的 恢复勒 索 代 码 示 例 演 示 了 在激活勒 索 应 用 后 如 何恢复 勒 索 代 码 


。

恢 复 模 式 中 的 勒 索 应 用 通 常 会 分 离勒 索 代 码 ， 并 将其 伪 装 成 其 他 文 件 ， 以逃避恶 意软


件的检测 ， 例如 ， 带有 ． ＪＰ Ｇ 后缀的 文件 。 以图 ６
－

９ 为例 ，
原 始 应 用 程序 将 其在 ＠ 中 的


恶意 代 码 分离 并 加 密 为
一

个 后缀 与 代 码 无 关 的 文 件 。 当 勒索应 用 被触发 时 ， 这个伪装




９０



第 六章 Ｋ ＲＰ Ｒ Ｏ ＶＥ ：

攻击 者 视 角 的 新 型勒 索 技 术



的 文 件将被 解 密＠ 并 恢 复 为 ． ｄｅ ｘ 或 ．

ｊ
ａｒ 文件 。 之后 ？

勒 索 应 用 将触 发 ｄｅ ｘＣ ｌ ａｓ ｓ Ｌ ｏａｄ ｅｒ



加载 ．

ｊ
ａｒ 或 ． ｄｅ ｘ 文件③ ⑥ －

。 这时 ， 勒 索 应 用 就被激 活 了 

。

３ ） 伪 装 模式


图 ６
－

１ ０ 所示 的勒 索应用 伪 装 示 例 演示 了 勒索应用 如 何将 自 己 伪 装 成正 常 应 用 程


序 ， 并欺骗 用 户 获得 ＲＯ ＯＴ 权限 。
伪 装 模式 中 勒 索 应 用 的 行 为 与 正 常 应 用 程序行 为 在


”
函数 伪装 的应用 程序将 向
“

开始 时是 致的 以图 ６ ０ 为例 当 用 户触发 按钮时 

一
－

。 １
， ：

用 户 发送 根 权 限请 求 ？ 。 在请求 许可后 ， 勒 索 应 用 将调 用 ｏ ｎ Ｒ ｅ ｑ ｕ ｅ ｓ ｔ Ｐ ｅ ｒｍ ｉ ｓ ｓ ｉ ｏ ｎ ｓ Ｒｅｓｕ ｌ 


ｔ

⑧ ⑨ 来 判 断用 户 是否 已 授予 所需 的 权 限
－

。 如果有 ， 勒 索 应 用 将被 激 活 ，
并将 自 动屏


蔽 设备 或 数据 

。

Ｄｉ ｓ ｓ  Ｆ ｌｏｗ 
ｇｕｉ
—

 ｂ ｅｎ


－

ｓ ｉ ｎ
ｇ

ｉ ｃ ｌａ ｓｓ Ｋｓ ｉ ｎ Ａｃ ｔ ｉ ｖ ｉ ｔ
ｙ  ＡｐｐＣ ？ｎ ｐｓ ｔ Ａ ｃｔ ｉ ｖ ｉ ｔ
ｙ ｛  Ｃ
＾ｅ ｎ  ｄ ｉ ｓ ｇ
ｕ ｉ ｓｅｄａ
ｐｐ



ｅ ｒｍｉ ｓ ｓ ｉ ｏｎ ｓ  ｓ
ｓ 和ｅ ｔ ＇
巧
ｐ ｆ
ｒ … … 

ｉ
；

；
］



＊
ｉ  ｐｒｓ ｔｓｃｔｓｄ  ？ｏ ｉ ｄ  ｏ ｎＣ ｒｅａｔ ｅ ｛
Ｂ ｕ ｎｄｌ ｅ ￥ ａ ｖ ｅｄｌｎ ｓ ｔａ ｎ ｃ ｅ Ｓｉ ａ ｔ £ ） ｛ 
么  ｓ ｓ ｐｅ ｒ ． ｏｎ Ｃ ｒ ｅ ａ ｔ ｅ （
ｓａ ｖ ｇｄ ｌ ｎ ｓ ｔ ｓ ｎ ｃ ｅ Ｓｔ ａ ｔ ｅ
） ；  Ｐ ｒｅ ｓ ｓ  ｆ ｉ ｗＫ Ｂ ｕｔｔｏｎ




５


ｉ
ｉｙ ｌ
ｆ   

▼
？

ｆｘ ｎ ｄＶ ｉｅ
？

ｉ ｄ ｆ Ｓ ． ｉｄ ．
ｎｊ ｎ ｃ ｝
？ ＜
＞
〇 ， 
，


＜  Ｒｅｑ ｕ ｅ
￣

ｓ ｅｔＯｒ
＊
ｖ Ａｃ ｔ ｉｖｉｔ ｒ ｅ £ Ｓ ｔ？ ｅ ｍ ｏｒ ｏｎ ｔ  ｐ ｅ ｎ ｒｉ ｉｏ ｎ
／Ｃ ｏ ｘ ｔｈｉ ｓ
ｎ ｅ ｒ ｉ ｓ ｓ ｉ  ｐｅ
Ｌ ｉ５ ｒｉ ｒｉ ｓ ｓ ｉ
ｌ ｉ ｃ ＞ ｓ Ｓ １ ｓ ｓ ｓ 

ｓ
－

〇
？
ｃ ｉ
ｑ
． ｔ ｒ ！ ． ； ：
ｌ
（ ｛ ， ｊ ） ） ；


｝

Ｃ ｌｉ ｃ  ｖ ｏ ｄ  ｏｎ Ｒ ｅ ｑ ｕｅｓ ｔ Ｐ ｅ ｒｔ ｉ ｓ ｓ ｉ ｏｎ ｓ Ｓ ｅ ｓｕ ｌ ｔ ｉｎ ｔ  ｒｅ ｑ ａ ｅ ｓ ｔＣ ｏｄ ｓ  Ｓ ｔ ｒｍ ｇ ［ ｅ ｒｍ ｉ ｓ ｓ ｉ ｏｎ ｓ
ｚ ＼

 
ｉ
ｐ
ｉ ｉ

ｐ Ｃ 
，
］


，

ｉ ｎｔ
［ ］ ｇ
ｒ ３ｎ ｔ Ｒｅｓ ｕ ｌｔｓ Ｊ ｛  ｆｕｎｃ ｄｏＲａ ｎ ｓ ｏ ｅ 

ｓ

 ｉｆ  Ｈ
ｙ Ｕｔ ｉ ｌ
Ｐ ｅ ｒＢ ｉ
 ｎ 
－
ｒ ＊
ｖｅ ｒ ｆ ｓ ｏｒ ｓ ｒａｎｔＲ ｅｓ ｕ ｌｔ ｓ  ｂｅ
５

９ ｔ ｅ ｒ
－

ｓ ｓ ｉ 
ｇ
． ： 
ｉ 

＜
ｙ
． ：  －

｛ （ ｇ ）

’
〇 ；
’ 

ｄ ｏ Ｒ ３ ｎ ｓ ｏ ？ｅ

ｉ ｉ
 

｝

２ ２  

＞

１ ３  

一

图 ６ －

１ ０ 伪 装模式示 例



２ ．

设备 劫 持 模块


设 备 劫 持 模块 用 于 禁 用 设 备 或 干 扰 用 户 正 常 使 用 设 备 。 如图 ６
－

７ 所示 ．

设备劫持


模块包 括 禁 用 行为 和 辅助 功 能 。
禁 用 行为 指通 过 对设 备进行 加 密 ， 使设备处 于 锁 定 状


态 ， 或 通过对屏幕 资 源掠 夺 ， 使 用 户 无法 正 常 使 用 设 备 ；
辅助 功 能 是 用 于提 供按 键屏


蔽 、
功 能 禁 用 等 服务 ， 防止用 户 自 主 进 行设 备 与 屏 幕 资 源 的 恢 复 

。

正 如文献 和文献 中提到 的 禁 用 模块包 含设 备 锁 定 和 屏 幕 资 源劫 持 设备



［
８ （
＾ １
６３ ］

。
，

锁 定行 为是强 制 删 除 用 户 设置 的 密 码 ：
重置新密 码 并 锁 定 设备 。 屏幕 资 源 劫 持是 指勒


索 应 用 将其界面 显 示 为 设 备最 上面 的 界 面 ， 使 用 户 无法 正 常 使 用 设备 。
为 了 防止用



户 成功退 出 勒索界面 ， 辅助 行为 总 是 与 屏幕 资 源劫 持 同 时 出 现 。 例如 ．

当勒索应用 将


其 Ａｃ ｔ ｉ ｖ ｉ ｔ
ｙ 设置到 栈顶 来劫持屏幕 资源 时 ， 它总是禁 用 Ｈｏｍｅ 按钮和 Ｂ ａｃ ｋ 按钮 来避


免 用 户退 出 当 前界面 。
为 了避免用 户在 ＡＤ Ｂ 的帮助 下恢复被劫持 的设备 ， 勒索应用



会 禁 用 设备 的 ＵＳＢ 接 口 ， 以 确 保 用 户 在 给 出 密 码之 前无法在 其 他 终端 的 帮 助 下恢复



设备 

。

３ ．

数据劫持 模块


数据 劫 持模块 通 过劫 持 用 户 的 个 人 数据对 用 户 进 行勒 索 ， 迫使 用 户通过交纳 赎


金 的 方式 换取被劫 持 的 数据 。
如图 ６
－

７ 所示 ， 数据 劫 持 模 块 包 含 了 文 件 加 密 和 信 息 窃



９ 

１
北 京 邮 电 大 学 工 学 博士 学 位 论 文 



取 两 种 数 据劫 持 手 段 

。

勒 索 应 用 在进 行 文 件 加 密 时 首 先 根 据其 自 定 义 的 规 则 遍 历搜 索设 备 上 所 有 疑

 ， ，

似 为 用 户 主 动 进 行存 储 的 文 件 ，
并 对这 些 文 件 进行 加 密 操 作 使 用 户 的 文 件 处 于 不 能

 ，

正 常打开 的 状态 。 用 户 若想 正 常 使 用 这 些 文件 ， 需 要 按 照 攻击 者 留 下 的 账 户 信 息 和 联


系 方 式 进行 赎 金 缴 纳 换 取 密 钥 

。

为 了 防 止 用 户 通 过 逆 向 等 操 作 获 取 密 钥 并 成 功 恢复 文 件 ， 文件加密行为通常会


伴有 信息 窃 取 的 功 能 。 信 息 窃 取 的 实 现 手 段 包 含 基于 ＤＮ Ｓ 隐 蔽 信道 的 信 息 窃 取 与 基


于 中 间 人 攻击 的 信 息 窃 取 。
攻击 者 将 用 户 的 个 人 数 据 向 攻击 者 的 远 端 服 务 器 进行 传


输后 ， 将 用 户 的 本地 数 据进行 加 密 。 即 使用 户 可 能 通过逆 向 等 手 段 获取 密 钥 ， 若用 户



的 文 件 中 含有 不 雅 图 片 、
商 业 机 密 文 件 等 攻击 者 依 然 可 以 以 远 端 服 务 器 中 的 数据 向
， 


用 户 进 行勒 索 

。

４ ．
通 信 劫 持 模块


通 信 劫 持 模 块 通 过对 用 户 与 外 界 的 正 常 通 信 进行 劫 持 ，
达到 干扰用 户 与 外界进


行信 息 交 互 的 效 果 ， 迫 使 用 户 通 过 交 纳 赎金 的 方式 换 取通 信 的 正 常 。
如图 ６
－

１
所示 

，

通 信 劫 持模块 包 含 了 以 ＤＮ Ｓ 劫 持为 代 表 的 通 信劫持 手段 。
以 ＤＮＳ 劫持为例 ， 攻击者


通 过 对 用 户 访 问 的 网 站 的 域 名 进行解析 ， 并 进行 修 改 ， 使 其 访 问 攻击者 虚 构 的 特 定 域


名 ， 即 攻击者将 用 户 的 所 有 的 网 络 访 问 进行 劫 持 ， 将其 重 定 向 到 虚 假 的 域名 ， 从而使


用 户 无 法 正 常 进行 网 络 访 问 

。

５ ．

策略 选择 模 块


策 略 选 择 模 块 用 于 策 略 组 合 从 而 得 到 最 终 的 勒 索行 为 ，
。 Ｋ Ｒ Ｐ ＲＯ Ｖ Ｅ 的 激 活模块 

、

设 备 劫 持 模 块 数据 劫 持 模 块 和 通 信 劫 持 模 块彼 此 独 立 各模块 内 部 的 子 功 能 相 互 独
、 
 ，

立 。
该 模 块 支 持 用 户 通 过选 择 一

个 或 多 个模 块 及 模块 内 部 的 子 功 能 ， 进行 策 略组 合 

，

进 行勒 索 行 为 的 生 成 

。

６ ４ ２
． ．
防御策略



为 了 更 好 地 测 试 当 前 安 卓 端 应 对勒 索 应 用 的 防 御 策 略 ， 本节 将借助 Ｋ Ｒ Ｐ Ｒ ＯＶ Ｅ



模 拟具 有 不 同 行 为 的 勒 索 应 用 ， 检 测 各 防 御 策 略面 对对 ６ ． ３ 节 中 提 出 的 新型勒 索 技 术


以 及 部分 常 见 的 勒 索 技 术 的 防护 效 果 。
测 试结 果 如 表 ６ ７
－

所示 

。

Ｒ Ｐ ａｃ ｋ Ｄ ｒ ｏ
－

ｉ ｄ 、 ＡＰＩ ＲＤ Ｓ－

、 Ｈ ｅ Ｄ ｒｏ
ｌ ｉ ｄ 、 Ｒ ａ ｎ ｓ ｏ ｍ Ｇｕ ａｒｄ  与 
Ｇ ｒｅ ａ Ｅ ａ ｔ ｔｌ ｏｎ 的 防护方案 旨 在


对勒索 应 用 在 激 活 前 的 进行检 测 将其 识 别 为 勒 索 的 应 用 进行 卸 载 ， ， 以 此来 确 保 用 户


的 设 备 与 数据 安 全 ，
上述 方案 不 涉及 到 勒 索 应 用 运 行 时对 文 件加 密 的 阻 断 以 及 加 密


后 对 文 件 资 源 的 恢复 。 上述 ５ 种 方 案 为基 于 静 态 分析 的 勒 索 应 用 检 测 方 案 。 由于 ６ ３
．


节提 出 的 ３ 种 新 型 勒 索 技 术 均 需 要 通 过 勒 索 应 用 被 激 活 后 在 运 行 时 进行 网 络传 输 或


网 络劫持 来 实 现 ， 因 此上述 ５ 种 方案在 面对 ３ 种 新型勒 索 技 术 时 ， 均 不 能 成 功 对勒 索


行 为 进行 识 别 ，
达到 防护 的 目 的 

。

９２



第 六章 Ｋ Ｒ ＰＲ ＯＶ Ｅ ：

攻击 者 视 角 的 新 型 勒 索 技 术



表 ６
－

７ 防 御效 果概 览



＾ 
加载 ｜ Ｉ
￡ 
代 码 恢复 伪装 加 密文 件 
中 间 人 攻击
Ｉ Ｉ Ｉ 
ＤＮ 信道
Ｓ
通 信劫 持 丨 
Ｒ〇 〇Ｔ
 丨
检 测   数 据 保护


｜

 



任意 个
 Ｚ  

‘
一
—

＿  ＿
— 

Ｋ Ｒ Ｄ Ｒ ＯＩ Ｄ ／  —  —

 ｘ ｘ ｘ



任意 个或 无 任意 个或多 ｘ
一 一
—

 

｜ 




 任 零二 ＾Ｚ Ｉ任 意 二 无


工

Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ
任意
一
巧
个或无



—

＾

—


戸
｜
—


／

ｘ



—


任意
一

个 或 无 ／ ￣


￣
任意 一

个 或 无 —



／

ＫＲ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ  任 意 一

个或无 ＝  任 惫二个  —

 ／ ｘ ｘ



 任意 个或 无  ／
一 一   — 

—

 

—  —


／

／

任意 一

个或无 
—

 ｘ



Ｓ ＤＧ ｕ ａ ｒ ｄ  任意 一

个或 无 任意 个  ／ ｘ 

Ｖ
一


  
 任意 个 或 无 ／ 

ｘ
一 — —

 
 ＝ 


二  
—

｜  ／ ／
［
— —  —

／



Ｒ ＰａｃｋＤ ｒｏ
－

ｉ ｄ  任意 一

个 —

／

任意
一

个或无 
—

 ｘ ｘ ｘ



任意 个 或无 任意 个或 多个

一 一

＞＜

￣
  



｜   —

｜
／ ／ —

  ｜ ｜
—

／



ＡＰＩ ＲＤ Ｓ  任 意
－
一

个  ｜
 ／ 任 意 一

＾或无  ｜
一

ｘ  ｘ  ｘ
意 个 或 无 任 个或 多 ｘ
一 —
—

ｇ —


ｙ 卞  



Ｉ    ＾ ／
—

Ｉ
 —

 Ｉ
—

丨
一

／
Ｈ ｅ Ｄｒ ｏ
ｌ ｌ ｄ  任意
一

个 —


／

任意 一

个或无 
—

 ｘ ｘ ｘ



  任意
一

个或 无 —

任意 一

个或 多个 
ｘ




－ —  —

 ＾ ＾ —  — －  

＾



Ｒ ａ ｎ ｓ ｏｍ Ｇ ｕａ ｒ ｄ  任 意 一

个 


／

任意
一

个或无 
—

 ｘ ｘ ｘ



任意 个 或 无 任 个或多 ｘ
一 —

  

ｙ ｜  



—  —

 ＾ ＾ ＾



Ｇｒ ｅ ａ ｔ Ｅ ａ ｏｎ  任意 个 ／ 任意 个 或无  ｘ ｘ ｘ


一
一 —

ｔｌ

 

任意 个 或无 任意 个或 多 ｘ
一
一
一

￣
 ￣
 ｜  




 任意 －

个 无 任意 个或 无 －


－

ｘ
丄 

ｘ
ｇ
Ｉ —

＂
￣ ￣

ＴＴ ＾ Ｔ Ｔ ＾ Ｚ Ｔ  任  完  ／  任 意  ７  ／
１１
ＴＴ Ｔ
一

个或无

  
一 等人的研究
ｉ ＾ ＼

ｘ
］ － ＾

卜 丨
：
任意 丽 １
－

Ｉ
任意
－

个或多；   ｈｎ 
Ｉ 

１

另外 ， 当 Ｋ Ｒ Ｐ Ｒ ＯＶ Ｅ 的 激 活 模 块 开 启 了 加 载 模 式 或 代 码 恢 复 模 式 时 ， 该 勒 索行 为


的 恶 意 代 码 将在 应 用 被 激 活 后 ， 釆 用 网 络 加 载 或 动 态恢复 的 方 式 进 行 恶 意 代 码 执 行 

。

因此 ， 若勒 索 应 用 使 用 了 上 述 ２ 种 代 码激活模式 ，
无 论 其 釆 用 任 何 勒索 技 术 ，
上述 防


护方 案均 将 失 效 

。

Ｓ Ｄ Ｇ ｕ ａｒ ｄ 的 防 护 方 案 旨 在 保 护 用 户 的 文 件 不 被勒 索 应 用 加 密 。
该方案 通过划 定


安卓设备端 应 用 在 外存 能 够访 问 的 范 围 ， 来 限 制 文 件不 被勒 索 应 用 加 密 以 此 来 确 保


用 户 设 备 端 数据 的 安 全 ， 该 方 案 不 涉 及 对勒 索 应 用 加 密 的 文 件 资 源 的 恢 复 。 由于 ６ ３
．


节 中 提 出 的 基于 ＤＮ Ｓ 的 通信劫 持 技 术 并 不 涉及文件 的 访 问 与 传 输 ，
因此 ， 若 勒索 应


用 使用 该技术 ，
Ｓ Ｄ Ｇ ｕ ａｒｄ 的 防 护 方案 将会失 效 

。

另外 ， 当 Ｋ Ｒ Ｐ ＲＯＶ Ｅ 的 激 活 模 块 开 启 了 伪 装 模 式 时 ， 被模 拟 的 勒 索 应 用 会 伪 装


为 具 有遍 历 功 能 的 正 常 应 用 ， 欺骗 用 户 打 开 其 能 够 遍 历外 存 的 权 限 。 例 如勒索 应用 若


伪 装 为 音 乐 播放器 应 用 ， 由 于 正 常 的 音 乐 播放 器 在 加 载 本 地 音 乐 时 ， 需 要 对 设备 存 储



９３


北京 邮 电 大学工学博士学位论 文 



空 间 进行遍 历 ，
则勒 索 应 用 将很容 易 被 赋予遍 历外 存 的 权 限 。 因此 ．
若勒 索 应 用 使 用



了 上述激 活 模 式 ， 无论 其 釆 用 任 何勒索 技 术 ：
上述 防护方 案 均 会 失 效 

。

等 人提 出 的 方 案 中 提 到 的 防护方案 旨 在 以牺牲
２４
Ｒ ａ ｎ ｓ ｏ ｍＰｒ ｏ ｂ ｅ ｒ 与 Ｍｃ
１

ｎ ｔｏ ｓｈ
丨 ］ 

一

部份 文 件 为 代 价 ， 在勒 索 应 用 对 文 件加 密 后 ．
通 过 分 析 文 件 的 熵值等特征 ， 对加 密 文


件 的 应用 进行溯 源 ， 从 而 识 别 出 设备上 的勒 索 应 用 并 对其进行卸 载 ，
上述方 案 不 涉


及 到 勒 索 应 用 运行 时对 文 件 加 密 的 阻 断 以 及 加 密 后对文件 资 源 的 恢复 。
由 于 ６ ３
．

节中



提出的 ３ 种 新型勒索技 术不涉及对文件 的加 密 ， 因此 ， 若勒 索 应 用 使 用 这 ３ 种技术 


，

上述 ２ 种方案均将失效 

。

本 文 第 三 至 五 章提 出 的 ＫＲ Ｄ ＲＯ ＩＤ 、 Ｋ Ｒ Ｐ ＲＯＴ Ｅ Ｃ ＴＯ Ｒ 与 ＫＲ Ｒ Ｅ Ｃ Ｏ Ｖ Ｅ Ｒ 旨 在 通 过


对勒 索 激 活 前 进行 识 别 、
勒 索 进行 中 进行告警 防 御 以 及勒 索 实 施 后对设备 及 文 件 资


源进 行恢 复 ， 三方 面 层 层 深 入地 形 成 面 向 设 备 与 数据 的 安 全 防 护 体 系 

。

如表 ６
－

７ 所示 ，
ＫＲＤ ＲＯ Ｄ 旨 在 利 用Ｉ
静态 检 测 的 手段 ，
通 过 对勒 索 应 用 被激 活 前


的识 别 ，
对恶意 应 用 进行卸 载 等 处置 。
若勒索 应 用 的 恶意 代 码 需 要在运行 中 使 用 动 态


加 载 或 外 部恢 复 的 方 式 进 行 还 原 ， 或勒 索 应用 使用 了 
６ ３ ．

节 中提出 的 ３
种 基于 网 络数


据传 输 或访 问 劫持 的勒索 技术 ，
则 ＫＲＤ Ｒ Ｏ Ｉ Ｄ 的勒索激活 前 安 全 防护将会 失 效 ； 

此
时 ，
ＫＲ Ｐ Ｒ Ｏ Ｔ Ｅ Ｃ Ｔ Ｏ Ｒ 将 会 进 行勒 索 进 行 中 的 安 全 防 护 

。

ＫＲ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 旨 在 利 用 兴 趣 文 件 夹 感知 的 方式 ．
在勒索 应 用 被激 活 后 ，
加密


第 一

个文 件前 对勒 索 应 用 进 行识 别 ，
并 向 用 户 发 出 告警 阻 断勒 索 应 用 的 加 密 行为 ．



以
此 来 对 用 户 设 备上 的 数据进行 保 护 。
由 于勒索 应 用 无论进行 文件加 密 或 利 用 网 络进


行 文 件 数 据 传 输 均 需 要 遍 历设备 存 储 找 到 其 ， 目 标文件 ？
因此 ： 若勒 索 应 用 使 用 了 
６ ３
．


节种提 出 的基于 ＤＮ Ｓ 信 道 的 数据 劫 持 与 基 于 中 间 人 攻 击 的 数 据 劫 持 技 术 ，
ＫＲ Ｐ Ｒ Ｏ 

？

ＴＥ Ｃ Ｔ Ｏ Ｒ通 过 兴趣 文件夹部署 的 方式 ．
能够在应 用 进行文 件搜 寻 时进行勒索 应 用 识


另
Ｉ

Ｊ ， 并 在 应 用 对 文 件 操 作前 对 用 户 进行预警 ， 完 成 防护 。 由 于 基 于 ＤＮ Ｓ 的 通 信 劫 持


不 涉及 对 文 件 的操 作 ， 若勒 索 应 用 使 用 了 该 技 术 ，
可绕过 ＫＲ Ｐ Ｒ ＯＴ Ｅ Ｃ ＴＯ Ｒ 进行通 信


劫持 

。

若勒索 应 用 使 用 某些 技 术成功 逃逸 了 
ＫＲ Ｄ ＲＯ ＩＤ 与 ＫＲ Ｐ Ｒ ＯＴＥ Ｃ ＴＯ Ｒ 的检测 ．



造
成 了 设备 资源 与 文 件资源 的劫持 。 此时 ，
ＫＲ ＲＥ Ｃ ＯＶ Ｅ Ｒ 将会在勒 索 实 施 后进 行 资源


恢复 ， 达 到 对 用 户 设备 与 数据安 全 的 防 护 。 ＫＲ Ｒ Ｅ Ｃ Ｏ Ｖ Ｅ Ｒ 旨 在 通 过 解 密 被 加 密 的设


备 、 释放被 劫 持 的 屏幕 资 源 以 及 恢复被加 密 的 文 件 ， 最大化降低 用 户损 失 。
由 于基于


ＤＮ Ｓ 的 通 信劫持相 较于设备 资 源劫持 与 数据 资 源劫 持给 用 户带来 的 损 失 较小 ，
且攻


”

击者极 可 能 采 用 的 方式 对 受 害 者进 行勒 索 因 此 ＫＲ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 目 前 未
“

薄利 多 销 。


对 网 络 通 信恢 复 功 能 进 行集 成 ．

后 续 也将 继 续 探索 应 对该类 型 通 信 劫 持 的 恢 复 方 法


并将其 集 成 进 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 

。

综 上 在 面 对 技 术 不 断 发 展 变 种 不 断增 多 繁衍速 度 不 断 加 剧 的 勒 索 应 用
，
、 、
，
仅针


对全过程某 阶 段 的 孤 立 的 防 护 无 法 对 勒 索 行 为 的 全 过程 起 到 防 护 的 作 用 本 文 提 出


一

９４



第 六章 ＫＲ Ｐ ＲＯＶ Ｅ ：

攻击 者 视 角 的 新 型 勒 索 技 术



的 Ｋ Ｒ Ｄ ＲＯ ＥＤ 勒索前识 别方案 、 ＫＲ Ｐ ＲＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 勒 索 中 防 御方案 以 及 Ｋ ＲＲ ＥＣ ＯＶ Ｅ Ｒ




勒索 后 资 源 自 恢复 方 案 ， 形 成 了 面 向 安卓平 台 的 勒 索 行为 全 生 命 周 期 的 安 全 防 护 体


系 。 使用 Ｋ Ｒ Ｐ Ｒ ＯＶ Ｅ 勒 索 行 为 验 证 框 架 进行 测 试 在 现 有 勒 索 技 术 方 面 ， ， 该 安全 防 护


体 系 能 够 对现 有 的 勒 索 技 术 的 策 略 组 合 给 出 相 应 的 防 护 方 案 ；
在 新 型 勒 索 技 术方面 

，

该安 全 防 护 体 系 能够 抵御 除 基 于 ＤＮ Ｓ 劫 持 的 通 信 劫 持 外 其他 的 新 型勒 索 技 术 ， 对系


统 的 安 全 性起 到 了 重 要 的 作 用 

。

６ Ｓ
．
本 章 小结



本 章 首 先详 细分 析 了 ３ 种勒索 技 术与 ２ 种 辅助勒 索技 术 的 进化 与 发展 ， 以及安



卓 系 统 面 对上 述 技 术 的 发 展做 出 的 相 应 防 护 。 之 后 提 出 了 攻击 者 视 角 下 基 于 ＤＮＳ 

劫
持 的 通 信劫 持 、 基 于 中 间 人攻 击 的 数 据 劫 持 以 及 基 于 ＤＮ Ｓ 隐 蔽 信道 的 数 据劫 持 ３ 

种
在 安卓 端 可 以 实 现 的 新 型 勒 索 技 术 并 验 证 其 实 现 的 可 能 性 最 后 本 章提 出 了
，
。
一

个支


持 多 种 策 略 组 合 的 安卓 端勒 索行 为 验 证 框 架 ， 该框 架 内 集 成 了 现有 的 勒 索技 术 与 提


出的 ３ 种 新型 勒 索 技 术 ， 支 持 用 户 对 功 能 模 块提 供 的 行 为 进 行 组 合 得 到 最 终 的 勒 索

 ，

行为 。 另外 ， 本 章 也 针对 各 种 策 略 组 合得 到 的 勒索 行 为 在 设 备 上 的 测 试 结 果 给 出 了 抗


勒 索 应 用 的 安卓 系 统 防 御 建 议 

。

９５


北京 邮 电 大 学 工 学博士学 位 论 文 



９６



第 七章 总结 与 展望



第 七章 总结与展望



７ １
．
工 作 总结



随 着 移 动 互联 网 的 快 速 发 展 ，
基于 安卓 平 台 的 移 动 设备 数 量 大 幅 增 加 ， 移 动 端勒


索 应 用 也 呈 现 出 了 快 速繁 衍 、
传 播快 、 危害大 的 特点 。
现 有 研 究 主 要 关 注勒 索 应 用 在


激 活 前这 阶段 的 识 别 然而 仅 针 对 全 过程 某 阶 段 的 孤 立 的 防 护 无 法对 勒 索 行 为


一 一

， ，

的 全 过 程起 到 防 护 的 作 用 。
如 何 针 对安 卓 端 勒 索 应 用 建 立 起 较 为 完 备 的 防 护 体 系 仍


是 积蓄 解 决 的 冋 题 

。

本 文 致 力 于 构 建 抵 抗 勒 索 应 用 安卓 端 的 全 生 命 周 期 安 全 防 护 体 系 ，
进行 了 勒 索


应 用 行 为 刻 画 与 实 现 方法 研 究 勒 索 激 活 前 的 离 线 检 测 研究 、 、
勒 索 进行 中 防 御 技 术研


究 勒 索 实 施 后 资 源 恢 复 技 术 研 究 以 及 安 卓 端勒 索 应 用 的 下 代 技 术 发 展研究 具体


一

、 。

研究如 下 

：

１ ．
行为 可 区分 的 勒索应 用 激活 前 离 线检测研究 。
针对 现有 的 勒 索 应 用 检 测 引 擎


很难 区 分带有 锁 定屏幕和 加 密文 件 的 功 能 的 良性 应 用 与真正 的勒索 应 用 的 问 题 ， 

本
文提 出 了 Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ  种 行为 可 区 分 的 勒 索 应 用 激 活 前 离 线 检 测 引 擎 本 文将 现 有


—

。
 ，

的 勒索 应用 按 照 行为划 分为设备劫 持 型勒索 应 用 、 屏幕 资 源劫 持型勒 索 应 用 以 及 文



件 加 密 型勒索 应用 。 本 文 利 用 数学 建模 的 方 法 ， 对 三 类 勒 索 应 用 从 运 行 时表现 、 Ａ Ｐ Ｉ

调用 关系 、
攻 击 步 骤 等 方 面 对 不 同 类 型 的 勒 索 应 用 进行 刻 画 ， 并总 结 了 代 码层面 的 实


“ 

”

现 方法 ， 为 后续 的 研究奠 定 了 基础 。 Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 在特 征 集 构 建 时 提 出 了  联 合 特 征
的 概念 ， 利用 Ｋ －

ｍｅ ａｎ ｓ 算 法 将关联 性 较 强 、 却 又 彼 此 相 互 独 立 的 多 个特 征 加 入 关 联


关 系 进行 组 合 形成新 维 度包含 关联 关 系 的 联合特征 有 效 地 解 决 模 型 在进 行 勒 索


一

， ，

应用 识 别 时 ， 容 易 将 具 有 与 勒 索 应 用 有 相 似 行 为 的 良 性 应 用 误 判 为勒 索 应 用 的 问 题 

。

实 验结果 表 明 ，
Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 在检 测 未 知 勒 索 应 用 方 面 ， 准 确 率达 到 了 
９８ ５ ． ％ ；
在区分


与 勒 索 应 用 具 有 相 似 行 为 的 良 性 应 用 与 勒索 应 用 方 面 ，
Ｋ Ｒ Ｄ ＲＯ Ｉ Ｄ 较 其他勒 索 应 用 检


测 引 擎 准 确 率 提高 了 约 ４０ ％ ， 解 决 了 现 有勒 索 应 用 检 测 引 擎 无 法 精 确 区 分勒 索 应 用


与 良性应用 的行为 的 问 题 

。

２ ．
基 于兴 趣 文 件 夹 访 问 感 知 的 勒 索 应 用 实 时 检测 研 究 。 由 于对使 用 了 检测 逃逸


技 术 的 勒 索 应 用 进 行检 测 需 要 在勒 索 应 用 被 激 活 后 进行 检 测 ， 这将 使 用 户 的 文件受


到 勒 索 应 用 极大 的 加 密 威 胁 本文提 出 了 Ｋ Ｒ Ｐ ＲＯＴＥ Ｃ Ｔ Ｏ Ｒ  个 基 于 兴 趣 文 件夹 访


—

。  ，

问 感知 的 勒 索 应 用 实 时 检 测 引 擎 。 Ｋ Ｒ Ｐ Ｒ ＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 以 空 文 件 夹 为 兴趣 文 件 夹 的 实 体 

，

搭载在未 被 ＲＯ ＯＴ 的 终 端 进行 勒 索 应 用 检 测 ， 能够有 效识 别 使 用 了 动 静态检 测 逃逸



策 略 的 勒 索应 用 。 实验表 明 ，
ＫＲ Ｐ Ｒ Ｏ ＴＥ Ｃ Ｔ Ｏ Ｒ 对勒 索 应 用 识 别 的 准 确 率 较 其 他 勒 索


应 用 检 测 引 擎引 擎高 ２０ ％ 以上 ，
并 能 够在 第 一

个文件加 密前 １ ４ 秒 左 右 发 出 警告 ， 

实

９７


北京 邮 电 大学 工学博士学 位论 文 



现 了 在设备未被 ＲＯ ＯＴ 的情况下 ， 对勒 索 应 用 加 密 文 件进行 防 御 


。

３ ．

勒 索 实施后资 源 自 恢 复技术研 究 。
随 着勒 索 应 用 的 不 断进 化 ， 部分勒 索 应用 

已

经出现了利用 ＵＳＢ 屏 蔽功 能 防 止用 户 连接 ＡＤＢ 进 行 资 源恢复 的 功 能 。 另外 ， 自 主恢



复勒 索实 施 后 资 源 存在着程 序 复 杂 、
需要 用 户 专 业背景知 识 门 槛高 的 问 题 。
本 文提 出



了 ＫＲ Ｒ Ｅ Ｃ Ｏ Ｖ Ｅ Ｒ 个搭 载 于 安 卓 系 统 的 勒 索 实 施 后 资 源 恢复 工 具 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ


一

 ， 自 。

通过 自 动 终 止勒 索 应 用 的 进 程 并 删 除 写 入 密 码 的 文 件进 行被劫 持 设 备 资 源 的 自 恢复 

，

通 过对加 密 ＡＰ Ｉ
的 监控 ， 获取其在 动 态运 行 中 ，
进行加 密 时使 用 的 密钥 与 被加 密 文


件列 表 ， 实 现被加 密 文 件 的 解 密 

。

４ ．

攻击者视 角 的新型勒索技术研究 。 针 对 如 何主动 发 现勒索 应 用 在进化 中 更 多



的 潜在威 胁 ．

并 针 对 不 同 的 勒 索 行为 进行安 全 防 护 的 问 题 ， 本 文提 出 了 基于 ＤＮＳ 

信
道 的 数据劫持 、 基 于 中 间 人攻击 的 数据劫 持 以 及基于 ＤＮＳ 劫 持 的 通 信劫 持 ３
种 新型


勒索技术 。 另外 ．
为 了 对勒 索 应 用 进 化 中 可 能 出 现 的 不 同 的 勒 索 行 为 进行安 全 防 护 

，

本 文提 出 了 
ＫＲ Ｐ ＲＯ Ｖ Ｅ ，
一

个支 持 多 种 策 略组 合 的安卓 端勒 索行为 验证框 架 ， 并针对



各 种 策 略 组合 得 到 的 勒 索行 为 在设 备上 的 测 试结果 给 出 了 防 御 建议 

。

７ ２
．
未来展望



安卓端的勒索 应用 研究 是 个 需 要 研究 人 员 不 断 深 耕 的 研 究 领 域 虽 然 本 文在


一

安 卓 端 的 勒 索 研 究 领域 取 得 了 部 分 成 果 ， 然而 ， 随着安卓 系 统 的 不 断升级 与 勒 索 应 用



的 不 断进化 ： 新 兴 的 检 测 逃 逸手 段 与 勒 索 防 护 方 案 也将 不 断更新 。
在未来的工作 中 

，

作 者 也 将在 以 下 几 方 面 继 续 进 行 研 究 深 耕 

。

１ ．

自 动 化 勒 索 行 为 阻断技 术研究 。
本文 ＫＲＰ ＲＯＴ Ｅ Ｃ ＴＯ Ｒ 在勒 索进行 中 进行 防 御


阻 断 的方式 为 在勒 索 应 用 加 密 用 户 第 个 文 件 前 对用 户 进行预警 使用 户有足够的


一

时 间 对勒 索 应 用 进行 处 置 。 然而 ．

考 虑 到 用 户 处置勒 索 应 用 的 便捷性与 用 户 处置 的 及


时性 ．

在今后的工作 中 ， 作者 也将在 ＫＲＰ Ｒ ＯＴ Ｅ Ｃ Ｔ Ｏ Ｒ 的 基础上继续对 自 动 化勒 索 行



为 阻 断 技 术 进 行 研究 。 例如 ， 在 成 功 识 别 了 正 在进行勒 索 的 恶 意 应 用 后 ．
可 以尝试使


用 ｋ ｉ ｌ ｌ Ｐ ｒｏ ｃ ｅ ｓ ｓ （ ） 方法 、 ｆｏ ｒ ｅ Ｓ ｔ ｏｐ Ｐ ａ ｃ ｋ ａ ｇ ｅ （ ） 方法 等 对进程进 行 终 止 等 

。

２ ．

多 场 景 下 的 勒 索 实 施 后 资 源恢 复技 术研 究 。 Ｋ Ｒ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 在 进行勒 索 后 资 源


恢复 时需要 使 用 ＲＯ ＯＴ 权限 ，
且 要 求 在 ＫＲ Ｒ Ｅ Ｃ ＯＶ Ｅ Ｒ 安 装 前 ， 设备 终 端 已 安 装 的 应


用 均为 良性应 用 。 考 虑 到 用 户 对于 Ｒ Ｏ ＯＴ 权 限 赋予 的 谨 慎性 以 及 ＫＲ Ｒ Ｅ Ｃ Ｏ Ｖ Ｅ Ｒ 安装


前 确 保设 备 不 含有 恶 意 应 用 的 难 度 ， 在今后的工作 中 ， 作者也将考 虑 如 何在 更 多 的


场 景 下 实 现勒 索 实 施 后 资 源 的 自 恢复 技 术 。 例如 ．
可 以 在 系 统 层 面 对 系 统 键盘 的 按


键 功 能 进行 重 写 ， 支 持 用 户 通 过特定 的 输 入进行 资 源恢复 ， 形 成系 统级 的 资 源恢复 

，

适 应应用 更多 场景 

。

３ ．
面 向 鸿蒙 系 统的 勒索 应 用 研究 。
鸿蒙 系统 自 问 世以来 ， 越来 越多 的 移动设备



９８



第七章 总结与 展望



开 始 进行鸿 蒙 系 统 的 搭 载 。 然而 ， 鸿 蒙 系 统 问 世 时 间 相 对较 短 ， 技 术 防 御层 面 相 对于


其他较 为 成熟 的 系 统 略有 不 足 ， 勒 索 应 用 的 开 发 者 们 也 将 会 针 对鸿 蒙 系 统 的 特 点 进


行针对 性 的 勒 索 应 用 的 开 发 。 因此 ， 在今后的工作 中 ， 作者 也将更 多 关 注 于 基 于 鸿 蒙


系 统 的 勒 索 应 用 研究 

。

９９


北 京 邮 电 大学 工 学 博 士 学 位论 文 



１ ００



参考 文 献



参考 文 献



［
１
］  ２ ０２ １
 年 勒 索 软 件 攻击 增 加 了  １ ４８％ ［
Ｅ Ｂ ／ Ｏ Ｌ ］  ｈ ｔｐ ｓ ． ： ／ ／ｂ ａｉ ｉ
ｊ
ａ ｈ ａ ｏ ｂ ａ ｉ ｄｕ ｘ ｏ ｍ ／ ｓ ？ ｉ ｄ ＝
． １ 

７

１ １ ２ １ ７３３ ７ １ ０９ ６ ９ ２７ ６ １ ＆ｗ ｈ ｆ ＝
ｓ
ｐ ｉ ｄ ｅｒ ＆ ｆｏ ｒ
＝
ｐｃ ．
（
２０２ ２ ２ － －

ｌ
）


．

［
２］ 超 ６ ０２ ．
亿美 元 ！  ２０ ２ １ 年 勒 索 软件 获 得 赎 金 创 新 高 ［
ＥＢ ／Ｏ Ｌ ］
．  ｈ ｔｔ
ｐｓ ： ／／ ｂ ａ ｉ
ｊ
ｉ ａｈ ａｏ ｂ ａ ｉ ｄ

 ．

ｕ ｃ ｏ ｍ／ ｓ ？ ｉ ｄ ＝ １ ７ ２ ４ ７ ９ ０ ５ ４ ９ ５ ９ ３ ２ ６ ６ ２ ２ ＆ ｗ ｆｒ ｐ ｉ ｄ ｅ ｒ ＆ ｆｏ ｒ ２０ ２ ２
＝ ＝
ｓ
ｐｃ ９）
－ －

． １ ． ｌ １ 

．
（

［
３］  Ｆ ａ ｋｅ ｓ ｉ ｏ  ｒ ｕ ｎ  ａｐｐ  ｓ ｔｅ ａ ｌ ｓ  ｃ ｒｅ ｄ ｉ ｔ  ｃ ａ ｒ ｄ  ｉ ｎ ｆｏ ｒ ｍ ａ ｔ ｉ ｏｎ ［ Ｅ Ｂ ／ Ｏ Ｌ ］
ｕ ｐ ｅ ｒ  ｍａｒ ．  ｈｔｔｐ ｓ ： ／／ ｂ ｌ ｏ
ｇ ． ｔｒｅ 

ｎｄ

ｍ ｉ ｃｒ ｏ ． ｃ ｏ ｍ ／ ｔ ｒ ｅ ｎｄ ｌ ａｂ ｓ
－

 ｓ ｅｃ ｕｒ ｉ ｔ ｙ －

 ｉ ｎ ｔ ｅ ｌ ｌ ｉ ｇ ｅ ｎ ｃ ｅ ／ ｆａ ｋ ｅ
－

 ｓ ｕｐ ｅｒ ｍ ａｒ
ｉｏ － －

ｒｕ ｎ
－

 ａｐ ｐ
－

 ｓ ｔｅ ａｌ ｓ
－

 ｃ ｒｅ ｄ ｉ ｔ
－

 

ｃ

ａｒｄ ｎ ｆｏ ｒ ｍ ａｔ ｉ ｏ ｎ ／ ２０ ２ １ ２ ２）
－ － －

ｉ ． １ １ 

．

［
４］  Ｍ ｃ ａ ｆｅ ｅ ｌ ａ ｂ ｓ  ｔ ｈ ｒ ｅ ａｔ ｓ  ｒ ｅ
ｐ ｏ ｒｔ ．
 ［
Ｅ Ｂ ／Ｏ Ｌ ］
．  ｈ ｔ ｔｐ ｓ ： ／／ ｗ ｗ ｗ ｍ ｃ ａ ｆｅ ｅ ． ． ｃ ｏ ｍ ／ ｅ ｎ ｔ ｅｒ
ｐｒ
ｉ ｓ ｅ／ｅ ｎ
－

ｕ ｓ ／ａ ｓ ｓ ｅ



ｔ ｓ ／ｒ ｅ
ｐ ｏ ｒ ｔ ｓ ／ｒ ｐ ｍ ｏ ｂ ｉ ｌ ｅ
－ －

ｔ ｈｒｅ ａｔ －

ｒｅ
ｐ ｏｒ ｔ ２ ０ １ ９ ｐ ｄ ｆ
－

． ．
（
２０２ １
－

１ ２ －

１ ２） 

．

［
５］  Ａｖ ａ ｓ ｔ  ｈｉ
ｇ ｈ ｌ ｉ ｇ ｈ ｔ ｓ  ｔ ｈ ｅ  ｔ ｈ ｒｅ ａ ｔ  ｌ ａ ｎｄ ｓ ｃ ａ ｐ ｅ  ｆｏ ｒ  ２ ０ １ ９ ．
［
ＥＢ ／ Ｏ Ｌ ］  ｈｔ ｔ ｐ ｓ ． ： ／／ ｗ ｗ ｗ ｍ ｃ ａ ｆｅ ｅ ｅ ｏｍ ／ ｅ

 ． ．

ｐｒ
ｉ ｓ ｅ ／ ｅ ｎ ｕ ｓ ／ ａ ｓ ｓ ｅ ｔ ｓ ／ｒ ｅ ｐ ｏ ｒ ｔ ｓ ／ｒ ｐ ｑ ｕ ａ ｒ ｔｅｒｌ ｙ
ｎｔｅｒ ｈｒ ｅ ａｔ ｓ ｄｅｃ ２０ １ ８ ２
ｐｄｆ ２０ ２ ２）
－ － － － －
－ －

ｔ ． ． １ １ １ 

．
（

［
６］  ＷＵ  Ｐ  ＬＩＵ  Ｄ
， ，  ＷＡ ＮＧ  Ｊ ，  ｅｔ  ａ
ｌ ．  Ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏｎ  ｏ ｆ  ｆａ ｋｅ  ｉ ｏ ｔ  ａ
ｐｐ  ｂ ａ ｓ ｅ ｄ  ｏ ｎ  ｍ ｕ ｌ ｔ ｉ ｄ ｉ ｍ ｅ ｎ ｓ ｉ ｏ ｎ ａ ｌ

ｓｉ ｍ ｉ ｌ ａｒｉ ｔ ｙ ［ Ｊ］ ． Ｉ Ｅ ＥＥ  Ｉ ｎ ｔｅ ｒ ｎ ｅ ｔ  ｏ ｆ  Ｔｈ ｉ ｎ ｇ ｓ Ｊ ｏ ｕ ｒｎ ａｌ
， 
２ ０２ ０ ， 
７ （ ８ ） ７ ０２ ： １
－

７０３ １ 

．

 Ｆ ａ ｋｅ Ｅ Ｂ ／Ｏ Ｌ
？

７］ ａｌ ｅｘ ａ  ｓ ｅ ｔｕ
ｐ  ａｐ ｐ  ｉ ｓ  ｔ ｏ ｐ ｐ ｉ ｎ ｇ  ａｐ ｐ ｌ ｅ
 ｓ  ａｐ ｐ  ｓ ｔ ｏ ｒ ｅ  ｃ ｈ ａ ｒ ｔ ｓ  ｈｔｔ ／／ ｗ ｗ ｗ ｅｎｇ ａ



ｐｓ
． ． ： ．
［ ［ ］

ｄ ２ １
ｇｅ ｘ ｏ ｍ／ ０ ８ ／
１ ２ ／ ２ ７ ／ ｆａ ｋ ｅ ｃｈ ａｒｔ ｓ ／ ２ ０２ ０ ２３ ）
ａｌ ｅｘ ａ ａ ｏ
ｐｐ ｉ ｎ ｇ ａｐ ｐ ｌ ｅ ａｐｐ ｓ ｔｏ ｒｅ
－ －

ｔ
－ － － － － －
－

ｔ １ １
ｐｐ
． 

．
（

［
８］  Ｓ ｃ ａｍ ｉ ｏ ｓ  ａｐ ｐ ｓ  ｐ ｒ ｏ ｍ ｉ ｓ ｅ  ｆ
ｉ ｔｎｅｓ ｓ ，  ｓ ｔ ｅ ａｌ  ｍ ｏ ｎ ｅｙ  ｉ ｎ ｓ ｔ ｅ ａ ｄ ．
［
ＥＢ ／ Ｏ Ｌ  ｈｔ ｔｐ ｓ ］
． ： ／／ ｗ ｗ ｗ ｗ ｅ ｌ ｉ ｖｅ ｓ ｅ

 ．

ｏｉ ｒ
ｉ ｔｙ ． ｃ ｏ ｍ／ ２ ０ １ ８ ／ １ ２ ／０ ３ ／ ｓ ｃ ａ ｍ －

ｉ ｏｓ －

ａ ｐｐ ｓ
ｐ ｏ ｍｉ ｓ ｅ
ｒ ｉ ｔｎｅ ｓ ｓ
ｆ － －

ｓ ｔ ｅ ａｌ
－

ｍ ｏ ｎ ｅｙ －

ｉ ｎ ｓ ｔｅ ａ ｄ／ ．
（
２０２ １
－



ｌ

０ －

１ ７） 

．

“ ”
［
９］  Ｇａ ｒｔｎ ｅ ｒ  ｓ ａ
ｙ ｓ  ８ ４  ｂ ｉ ｌ ｌ ｉ ｏ ｎ  ｃ ｏ ｎｎ ｅ ｃ ｔ ｅ ｄ 
． ｔ ｈｉｎｇ ｓ ｗ ｉ ｌｌ  ｂ ｅ  ｉ ｎ  ｕ ｓ ｅ  ｉ ｎ  ２０ １ ７ ｕｐ  ３，
１
ｐ
ｅｒ ｃ ｅ ｎ ｔ



ｒｏ ｍ
ｆ  ２０ １ ６ ．
［
Ｅ Ｂ ／ Ｏ Ｌ ｈｔ ｐ ｓ ］
＿ ： ／／ ｗ ｗ ｗ ｇ ａ ｒ ｔ ｎ ｅ ｒ ｃ ｏ ｍ ／ ｅ ｎ ／ ｎ ｅ ｗ ｓ ｒ ｏ ｏ ｍ ／ｐ ｒ ｅ ｓ ｓ
． ．
－

ｒｅ ｌｅ ａ ｓ ｅ ｓ ／２ ０ １ ７ －



０２

０７ ｂ ｉ ｌ ｌ ｉ ｏ ｎ ｃ ｏ ｎｎ ｅ ｃ ｔ ｅ ｄ ｈｉ ｎ ｇ ｓ ｗ ｉｌｌ ｂｅ ｎ ｕｓ ｅ ｎ ２０ ｕｐ
ｇ ａｒ ｎ ｅｒ ａｙ ｓ ８ ７ ３
ｐ ｅｒ ｃ ｅ ｎｔ
－ － － － － －
－ － － － － － －
－ － －

ｔ ｓ ｔ ｉ ｉ １ １ 


ｆｒ ｏ ｍ ２０ ６ ２０２ ０ ７）
－
－

１ １
－ －

１ ． １ 

．
（

［
１ ０］ 常莽 ．

勒 索软 件 激増 凸 显 对 良 好 备 份 的 迫 切 需 求 ｍ ．
计算 机 与 网 络 ，
２０２ １
，
４７



（
０８） ４ ８ ： 

．

［
１ １
］  ＦＥ ＮＧ  Ｃ ，  Ｙ Ｕ Ｋ Ａ Ｌ Ｏ Ｑ Ａ Ｉ ＬＹ Ｍ

，  
，  ｅ ｔ  ａｌ  ． Ａ ｒ
ｉ ｂｕ
ｔｔ ｔｅ
－

ｂ ａ ｓ ｅｄ ｅｎｃｒ
ｙ ｐ ｔ ｉ ｏ ｎ  ｗ ｉ ｔｈ ｐ ａｒ ａｌ ｌ ｅ ｌ  ｏ ｕｔ 


？

ｓｏ ｕ ｒｃ ｅ ｄ  ｄ ｅ ｃ ｒ ｙ ｐ ｔ ｉ ｏ ｎ ｆｏ ｒ ｅ ｄ ｇ ｅ  ｎ ｔ ｅ ｌ ｌ ｉ ｇ ｅ ｎ ｔ   ｉ ｉ ｏｖ ［
Ｊ］ Ｉ ． Ｅ Ｅ Ｅ Ｔｒ ａ ｎ ｓ ａｃ ｔ  ｉ ｏ ｎ ｓ  ｏ ｎ  Ｖｅ ｈ ｉ ｃ ｕ ｌ ａ ｒ  Ｔｅ ｃ ｈ 

？

ｎ ｏｌ ｏ ｇｙ ２０ ２０ ６９ （ ３ ７ ８４ ３ ７９ ５
－

１ １ ： １ １



．
，  ， ）

１ ０ 

１
北 京 邮 电 大学 工学 博 士学 位论 文 



［
１ ２］  Ｅ Ｂ Ｅ Ｎ Ｕ ＷＡ  Ｓ  Ｈ ， Ｓ Ｈ Ａ Ｒ ＩＦ  Ｍ  Ｓ ，  ＡＬＡＺＡＢ  Ｍ ，  ｅ ｔ  ａｌ ．  Ｖａ ｒ
ｉ ａ ｎｃ ｅ  ｒ ａ ｎｋ ｉ ｎ ｇ  ａｔｔ ｒ
ｉ ｂｕ ｔ ｅ ｓ



ｓ ｅｌ ｅ ｃ ｔ ｉ ｏｎ  ｔ ｅ ｃ ｈ ｎ ｉ ｉ ｃ ａｔ
ｑ ｕ ｅ ｓ  ｆｏ ｒ  ｂ ｉ ｎ ａ ｒ ｙ  ｃ ｌ ａ ｓ ｓ ｉ ｆ ｉ ｏ ｎ  ｐ ｒ ｏ ｂ ｌ ｅ ｍ  ｉ ｎ  ｉ ｍｂ ａ ｌ ａ ｎ ｃ ｅ  ｄａ ｔ ａ ［ Ｊ ］ ．  Ｉ ＥＥ Ｅ



Ａｃ ｃｅ ｓ ｓ ， 
２０ １ ９ ， 
７ ２ ４ ６４ ９ ２４ ６ ６ ６
：
－



．

［
１ ３］  ＷＡＮ Ｇ  Ｗ  ＸＵ Ｈ  Ａ Ｌ Ａ Ｚ Ａ Ｂ  Ｍ
，

， ，  ｅｔ  ａｌ ． Ｂ ｌ ｏ ｃ ｋ ｃ ｈ ａ ｉ ｎ ｂ ａ ｓ ｅ ｄ  ｒ ｅ ｌ ｉ ａ ｂ ｌ ｅ  ａｎ ｄ  ｅ
－

ｉｃ
ｆ ｉ ｅ ｎ ｔ  ｃ ｅｒ


－

ｔｉ ｉ ｃ ａ ｔ ｅ ｌ ｅ ｓ ｓ  ｓ ｉ ｇ ｎ ａ ｔ ｕ ｒｅ  ｆｏ ｒ  ｉ ｉ ｏ ｔ  ｄ ｅ ｖ ｉ ｃｅ ｓ ［ Ｊ ］
ｆ ． 正 ＥＥ ｔ ｒ ｉ ｏ ｎ ｓ  ｏ ｎ  ｉ ｎ ｄ ｕ ｓ ｔｒ
ａｎ ｓ ａｃ ｔ ｉａ ｌｉ ｎ ｆｏｒ ｍ ａ ｔ ｉ ｃ ｓ 

，

２０２ １ 

．

［
１ ４］ 沈 阿娜 ．
基于诱饵 的 Ａ ｎｄ ｒ ｏ ｉ ｄ 加 密 型 勒 索 软 件 的 早 期 检 测 技 术 研究 与 实 现 ［
Ｄ ］


．

北 京 邮 电 大学 ，
２０２０ 

．

５］  Ａ Ｚ ＭＯ Ｏ Ｄ Ｅ Ｈ  Ａ  Ｄ Ｅ Ｈ Ｇ ＨＡＮ ＴＡ ＮＨ Ａ  Ａ  Ｃ Ｏ Ｎ Ｔ Ｉ  Ｍ  ｅ ｔ  ａ ｌ Ｄｅ ｔ ｅｃ ｔ ｉ ｎ ｇ  ｃｒ
ｙｐ ｏ


－

１ ． ｔ
［ ， ， ，

ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒ ｅ  ｉ ｎ  ｉ ｏ ｔ  ｎ ｅ ｔ ｗ ｏ ｒ ｋ ｓ  ｂ ａ ｓ ｅ ｄ  ｏ ｎ  ｅ ｎ ｅ ｒ ｇ ｙ  ｃ ｏ ｎ ｓ ｕ ｍ ｐ ｔ ｏ ｎ  ｆｏ ｏ ｔｐ ｒ
ｉ ｎ ｔ ｆＪ ］ ｉ ．  Ｊ ｏ ｕｒｎ ａ ｌ ｏｆ



Ａｍｂ ｉ ｅｎｔ  Ｉ ｎｔ ｅ ｌ ｌ ｉ ｇ ｅ ｎ ｃ ｅ  ａ ｎｄ  Ｈ ｕ ｍａｎ ｉ ｚｅ ｄ  Ｃ ｏ ｍｐ ｕ ｔ ｉ ｎ ｇ ，  ２０ １ ８ ， 

９ （４） ：  １ １ ４１ －

１ １ ５２ 

．

［
１ ６］ Ｃ Ｏ ＮＴ Ｉ Ｎ Ｅ ＬＬ Ａ  Ａ  ＧＵＡＧＮ ＥＬ Ｌ Ｉ Ａ  Ｚ ＮＧＡ ＲＯ  Ｇ ，

，
Ｉ ，  ｅｔ  ａｌ ． Ｓｈ ｉ ｅ ｌ ｄ ｆｓ  ａ  ｓ ｅ ｌ ｆ ｈ ｅ ａ ｌ ｉ ｎ ｇ
：
－



，

ｒ ａ ｎ ｓ ｏ ｍ ｗ ａｒ ｅ
－

ａｗ ａｒ ｅ  ｆ
ｉ ｌ ｅ ｓ ｙ ｓ ｔｅ ｍ ［
Ｃ ］
／／ Ｐ ｒ ｏ ｃ ｅ ｅ ｄ ｎ ｇ ｓ ｏ ｆ  ｔ ｈ ｅ  ３ ２ ｎ ｄ  ａ ｎ ｎ ｕ ａ  ｃ ｏ ｎ ｆｅ ｒ ｅ ｎ ｃ ｅ  ｏ ｎ
ｉ 
 ｌ

ｃ ｏ ｍ ｐ ｕ ｔ ｅ ｒ  ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙ  ａｐｐ ｌ ｉ ｃ ａ ｔ ｉ ｏ ｎ ｓ  ２ ０ １ ６ ３ ３ ６ ３ ４７ －

． ： 

．

［
１ ７］ Ｓ ＯＮＧ Ｓ ，  Ｋ ＩＭ  Ｂ ，  ＬＥ Ｅ  Ｓ  Ｔ ｈ ｅ  ｅ ｆ ｆｅ ｃ ｔ ， ｉ ｖ ｅ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ  ｐｒｅ ｖ ｅ ｎ ｔ
ｉ ｏ ｎ  ｔｅ ｃｈｎｉ ｑ ｕ ｅ  ｕ ｓ ｉ ｎ ｇ



ｐ ｒ ｏ ｃ ｅ ｓ ｓ ｍ ｏ ｎ ｉ ｔ ｏ ｒ ｉ ｎ ｇ ｏ ｎ ａ ｎ ｄ ｒ ｏ ｉ ｄ ｐ ａ ｆｏ ｒ ｍ ［ Ｊ ］
 ｌ ｔ



．  Ｍ ｏｂ ｉｌ ｅ  Ｉ ｎ ｆｏ ｒ ｍ ａ ｔ ｉ ｏ ｎ  Ｓ
ｙ ｓ ｔｅｍ ｓ ， 
２０ １ ６ ，
２０ １ ６ 

．

［
１ ８］  Ｓ ＧＡ ＮＤ Ｕ ＲＲ Ａ Ｄ 
，
Ｍ Ｕ Ｎ Ｏ Ｚ ＧＯＮ Ｚ Ａ Ｌ ＥＺ Ｌ Ｍ Ｏ Ｈ Ｓ Ｅ Ｎ Ｒ －


， 

， 
ｅ ｔ ａｌ
 ．  Ａｕ ｔ ｏｍ ａｔｅｄ ｄ ｙ ｎ ａ ｍ ｉ ｃ

 

ａ ｎ ａ ｌ ｙ ｓ ｉ ｓ  ｏ ｆ ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒ ｅ  ：  Ｂ ｅｎ ｅ ｆ
ｉｔｓ ， 
ｌｉ ｍ ｉ ｔ ａ ｔ ｏ ｎ ｓ  ａ ｎ ｄ  ｕ ｓ ｅ ｆｏ ｒ ｄ ｅ ｔｅ ｃ ｔ ｏ ｎ ［ Ｊ ］
ｉ   ｉ ．  ａｒ Ｘ ｉ ｖ  ｐ ｒｅ
ｐ
ｉ ｎ ｔ
ｒ

ａｒ Ｘ ｉ ｖ ：  １ ６ ０９ ０ ３ ０ ２０ ．
， ２ ０１６ 

．

［
１ ９］ Ｃ ＨＥＮ Ｊ ， ＷＡ ＮＧ  Ｃ  Ｚ ＨＡＯ Ｚ ，

，  ｅ ｔ  ａｌ ．  Ｕ ｎ ｃ ｏ ｖ ｅｒ
ｉ ｎ ｇ ｔ ｈ ｅ  ｆａｃ ｅ  ｏ ｆ  ａ ｎ ｄ ｒ ｏ ｉ ｄ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ 

：

Ｃ ｈ ａｒ ａｃ ｔ ｅ ｒ
ｉ ｚ ａｔ ｉ ｏ ｎ ａ ｎｄ ｒｅ ａ ｌ  
－

ｔｉ ｍ ｅ ｄｅ ｔｅｃ ｔ ｉ ｏ ｎ ［Ｊ ］
 ． Ｉ ＥＥＥ Ｔｒ ａ ｎ ｓ ａ ｃ ｔ ｏ ｎ ｓ
 ｉ  ｏｎ  Ｉ ｎ ｆｏ ｒ ｍ ａ ｔ ｉ ｏｎ  Ｆ ｏ ｒｅ ｎ 

？

ｓ ｉ ｃ ｓ  ａｎ ｄ Ｓ ｅｃ ｕ ｒ
 ｉ ｔ
ｙ ， 
２０ １ ７ ，
１ ３ （５ ） ：  １ ２８６ －

１ ３ ００ 

．

［
２０］  Ａ ＮＤ ＲＯ Ｎ Ｉ Ｏ Ｎ Ｚ ＡＮＥＲＯ

，   Ｓ ， 
ＭＡ ＧＧ Ｉ Ｆ  Ｈ ｅ ． ｌ ｄ ｒｏ ｉ ｄ ：  Ｄ ｉ ｓ ｓ ｅ ｃ ｔｉ ｎ
ｇ  ａ ｎ ｄ  ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｎ ｇ  ｍ ｏｂ ｉ ｌ ｅ



ｒａｎ ｓ ｏ ｍｗ ａ ｒｅ ［ Ｃ ］ ／／ ｉ ｎ ｔ ｅ ｍ ａ ｔ
ｉ ｏ ｎ ａ Ｉ  ｓ ｙ ｍｐ ｏ ｓ ｉ ｕ ｍ  ｏ ｎ  ｒｅ ｃ ｅ ｎ ｔ  ａ ｄ ｖ ａ ｎ ｃ ｅ ｓ  ｉ ｎ  ｉ ｎ ｔ ｒ ｕ ｓ ｉ ｏ ｎ  ｄ ｅ ｔｅ ｃ ｔ ｉ ｏ ｎ 

．

Ｓ ２０ ５ ３ ８ ２ ４ ０４
ｐ ｒｉ ｎ ｇ ｅｒ
－

１ ： 

．
， 

２ Ｆ ｏｗ ｄｒｏ ｉ ｄ  ｔａ ｉ ｎ ｔ  ａ ｎ ａ ｌ ｙ ｓ ｉ ｓ ［ Ｅ Ｂ ／Ｏ Ｌ ］  ｈ ｔ ｔ ｐ ｓ ｂ ｌ ｏ ｇ ｓ ｕ ｎ ｉ ｐ ａ ｄ ｅ ｒｂ ｏｍ ｄ ｅ ／ ｓ ｓ ｅ／ ｔ ｏ ｏ ｌ ｓ ／ ｆ ｌ ｏ ｗ ｄ ｒ ｏ


－

１ ｌ ． ： ／／ ． ．
［ ］

ｉ ｄ／ ．
（
２〇 ２ ２ －

ｌ
－

３） 

．

［
２２］  ＺＨＥＮ Ｇ  Ｃ ，  Ｄ Ｅ ＬＬ Ａ ＲＯ Ｃ Ｃ Ａ Ｎ  ＡＮＤ Ｒ Ｏ Ｎ Ｉ Ｏ  Ｎ 
， ， ｅｔａ
ｌ ．  Ｇ ｒｅ ａ ｔ ｅ ａ ｔ ｌ ｏｎ Ｆａｓｔ
：
，  ｓ ｔ ａｔ ｉ ｃ  ｄ ｅ


？

ｔ ｅｃ ｉ ｏ ｎ  ｏ ｆ ｍ ｏ ｂ ｉ ｌ ｅ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ ［ Ｃ ］ ／／ Ｉ ｎ ｔ ｅｍ ａ ｔ ｉ ｏ ｎ ａ ｌ  Ｃ ｏ ｎ ｆｅｒｅ ｎ ｃ ｅ  ｏ ｎ  Ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙ  ａ ｎｄ  Ｐｒ
ｔ  ｉ ｖ ａｃ ｙ



ｉ ｎ  Ｃ ｏ ｍｍ ｕｎ ｉ ｃａ ｔ ｉ ｏ ｎ  Ｓ ｙ ｓ ｔ ｅ ｍ ｓ  Ｓ ｐｒ ｉ ｎ ｇ ｅ ｒ ．
， 
２０ １ ６ ： ６ １ ７ ６３ ６
－



．

１ ０２



参考 文献



［
２３ ］  Ｓ Ｃ Ａ ＬＡ Ｓ Ｍ Ｍ Ａ Ｊ Ｏ Ｒ Ｃ Ａ  ， 
 Ｄ Ｍ ＥＲ Ｃ Ａ Ｌ Ｄ Ｏ Ｆ
， 

，  ｅ ｔ  ａｌ  ． Ｒ －

ｐ ａ ｃ ｋ ｄｒ ｏ ｉ ｄ ：

 ｐｒ ａ ｃ ｔ ｉ ｃ ａｌ  ｏ ｎ ｄ ｅｖ ｉ ｃ ｅ


－

ｄ ｅ ｔｅ ｃ ｔ ｉ ｏ ｎ  ｏ ｆ ａ ｎ ｄ ｒ ｏ ｉ ｄ   ｒ ａ ｎ ｓ ｏｍｗ ａ ｒｅ ［
Ｊ］  Ｃ ｏ． ＲＲ ， ａ ｂ ｓ ／ １ ８ ０ ５ ０９ ５ ６ ３ ．
， 
２０ １ ８ 

．

［
２４ ］ 洪 双喜 ． Ａ ｎ ｄｒ ｏ ｉ ｄ 平 台 隐 私 保护方法 研究 ［
Ｄ ］
．
北 京 邮 电 大学 ，
２０ １ ７ 

．

［
２５ ］  Ｙ ＵＡ Ｎ  Ｓ ， 
ＷＡ Ｎ Ｇ Ｙ ＷＡ Ｎ Ｇ 
， 
 Ｐ ， 
ｅ ｔ  ａｌ ．  Ｈｏｗ  ｔ ｏ ｂ ｌｏｃｋ
  ｔ ｈ ｅ ｍ ａ ｌ ｉ ｃ ｉ ｏ ｕ ｓ  ａｃ ｃ ｅ ｓ ｓ  ｔ ｏ  ａｎ ｄ ｒ ｏ ｉ ｄ ｅ ｘ
 


？

ｔ ｅｒ ｎ ａ ｌ  ｓ ｔ ｏ ｒ ａ ｇ ｅ ［ Ｃ ］ ／／ Ｉ ｎ ｔ ｅ ｍ ａ ｔ ｉ ｏ ｎ ａ ｌ  Ｃ ｏ ｎ ｆｅ ｒ ｅ ｎ ｃｅ  ｏ ｎ  Ｉ ｎ ｆｏ ｒ ｍ ａ ｔ
ｉ ｏ ｎ  Ｓ ｅ ｃ ｕｒｉ ｔ ｙ  ａ ｎ ｄ  Ｃ ｒ ｙｐ ｔ ｏ ｌ ｏ ｇ ｙ 

．

Ｓ ｐｒ
ｉ ｎ ｇｅｒ ２０ ８ ２８７ ３ ０３
－

，  １ ： 

．

［
２６］  Ｍ Ｅ Ｈ ＮＡ Ｚ Ｓ ，  ＭＵ Ｄ Ｇ ＥＲ Ｉ ＫＡ Ｒ  Ａ ， Ｂ Ｅ ＲＴ Ｉ Ｎ Ｏ  Ｅ  Ｒ ｗ ｇ ｕ ａ ｒ ｄ  Ａ  ｒ ｅ ａ ． ： ｌ
－

ｔｉ ｍ ｅ  ｄｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ



ｓ
ｙ ｓ ｔｅ ｍ ａ ｇ ａ ｉ ｎ ｓ ｔ ｃ ｒ ｙ ｐ ｔ ｏ ｇ ｒ ａ ｐ ｈ ｉ ｃ
   ｒ ａｎ ｓ ｏ ｍ ｗ ａｒ ｅ ［
Ｃ ］
／／ Ｉ ｎ ｔ ｅ ｍ ａ ｔ ｉ ｏ ｎ ａ ｌ  Ｓ ｙ ｍｐ ｏ ｓ ｉ ｕ ｍ  ｏ ｎ  Ｒ ｅ ｓ ｅ ａ ｒ ｃ ｈ



ｉ ｎ  Ａ ｔｔ ａｃｋ ｓ ， 
Ｉ ｎ ｔｒｕ ｓ ｉ ｏ ｎ ｓ ，  ａｎ ｄ Ｄ ｅ ｆｅ ｎ ｓ ｅ ｓ ． Ｓ
ｐｒ
ｉ ｎｇ ｅ ｒ ， 
２０ １ ８  １ ： １ ４ －

１ ３６ 

．

［
２７］  ＧＯＭＥ Ｚ Ｈ Ｅ Ｒ ＮＡ Ｎ Ｄ ＥＺ －

Ｊ Ａ  Ａ ＬＶＡ Ｒ Ｅ Ｚ Ｇ Ｏ Ｎ Ｚ Ａ Ｌ Ｅ Ｚ Ｌ  ＧＡ Ｒ Ｃ Ｉ Ａ Ｔ Ｅ Ｏ Ｄ Ｏ Ｒ Ｏ  Ｐ
，
－


，
－



．

Ｒ －

ｌ ｏ ｃ ｋ ｅｒ ：  Ｔ ｈ ｗ ａｒ ｔｉ ｎ ｇ  ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒ ｅ  ａ ｃ ｔ ｉ ｏ ｎ ｔ ｈ ｒ ｏ ｕ ｇ ｈ ａ  ｈ ｏ ｎ ｅ ｙ ｆ
ｉ ｅ ｂ ａ ｓ ｅ ｄ  ａ ｐ ｐ ｒ ｏ ａ ｃｈ ［ Ｊ ］ ｌ
－




．

Ｃ ｏｍ ｐ ｕ ｔ ｅｒ ｓ  ＆  Ｓ ｅ ｃ ｕ ｒｉ ｔ ｙ ， 
２０ １ ８ ， 
７３ ３ ８９ ３９８ ：
－



．

［
２８］ ＭＯ Ｏ ＲＥ  Ｃ ．  Ｄ ｅｔ ｅｃ ｔ ｉ ｎｇ 
ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒｅ  ｗ ｉ ｔ ｈ  ｈ ｏ ｎ ｅ
ｙｐ
ｏｔ  ｔｅ ｃ ｈ ｎｉ ｑ ｕ ｅ ｓ ［ Ｊ］ ， ２０ １ ６ 

．

［
２９ ］  Ｓ Ｏ ＮＧ  Ｓ ，  ＫＩ ＭＢ ，  ＬＥ Ｅ  Ｓ ． Ｔｈｅｅ ｆ ｆｅ ｃ ｔ ｉ ｖ ｅ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ  ｐ ｒ ｅ ｖ ｅ ｎ ｔ ｉ ｏｎ  ｔｅ ｃ ｈ ｎ ｉ ｑ ｕ ｅ  ｕ ｓ ｉ ｎ ｇ



ｐ ｒｏ ｃ ｅ ｓ ｓ  ｍｏ ｎ ｉ ｔｏ ｒ
ｉ ｎ ｇ ｏ ｎ ａ ｎ ｄ ｒ ｏ ｉ ｄ ｐ ｌ ａ ｔ ｆｏ ｒ ｍ ［ Ｊ ］ 


．  Ｍ ｏｂ ｉｌ ｅ  Ｉ ｎｆｏ ｒ ｍ ａ ｔ ｉ ｏ ｎ  Ｓ
ｙ ｓ ｔｅｍ ｓ ， 
２０ １ ６ ，
２０ １ ６ 

．

［
３ ０］  ＦＥ Ｒ Ｒ Ａ Ｎ Ｔ Ｅ  Ａ Ｍ Ａ Ｌ Ｅ Ｋ Ｍ  Ｍ Ａ ＲＴ Ｉ Ｎ Ｅ ＬＬ Ｉ  Ｆ  ｅ
， 

， ，
ｔ ａｌ ． Ｅｘ ｔｉ ｎ ｇ ｕ ｉ ｓ ｈｉ ｎ ｇ  ｒａｎ ｓ ｏ ｍ ｗ ａｒｅ ａ


－

ｈ
ｙ
ｉ ｄ  ａｐｐ ｒ ｏ ａ ｃ ｈ  ｔ ｏ  ａ ｎ ｄ ｒ ｏ ｉ ｄ  ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒ ｅ  ｄ ｅｔ ｅ ｃ ｔ ｉ ｏ ｎ ［ Ｃ ］ ／／ Ｉ ｎ ｔｅ ｒ ｎ ａ ｔ ｉ ｏ ｎ ａ ｌ  Ｓ ｙ ｍｐ ｏ ｓ ｉ ｕ ｍ  ｏ ｎ
ｂｒ 


Ｆ ｏ ｕ ｎ ｄ ａ ｔ ｉ ｏｎ ｓ  ａ ｎ ｄ Ｐ ｒ ａ ｃ ｔ ｉ ｃ ｅ  ｏ ｆ Ｓ ｅ ｃ ｕ ｒ   ｉｔ
ｙ Ｓ ｐｒ
ｉ ｎ ｇ ｅｒ
．
， 
２０ １ ７ ： ２４ ２
－

２５ ８ 

．

［
３ １
］  Ａｎｄ ｒｏ ｉ ｄ 调试桥 （
ａ ｄｂ ） ［
Ｅ Ｂ ／ Ｏ Ｌ  ｈ ｔｐ ｓ ］
． ： ／／ ｄ ｅ ｖ ｅ ｌ ｏ ｐ ｅｒ ａ ｎ ｄ ｒ ｏ ｉ ｄ ｇ ｏ ｏ ｇ ｌ ｅ ｃ ｎ／ ｓ ｔｕ ｄｉ ｏ ／ ｃ ｏ ｍ ｍ ａ
．

 ． ．

ｎｄ ｎｅ／ａ ｄｂ ２ ０２ ０ ２４ ）
－
－ －

ｌｉ ． １ １ 

．

［
３ ２］ Ｆａ ｓｔ ｂ ｏ ｏ ｔ ［ＥＢ ／Ｏ Ｌ ］ ．  ｈ ｔｔ
ｐｓ
： ／／ ｓ ｏ ｕ ｒ ｃ ｅ ａ ｎ ｄ ｒ ｏ ｉ ｄ ｅ ｏ ｍ ／ ｓ ｏ ｕ ｒ ｃ ｅ／ｒ ｕ ｎ ｎ ｉ ｎ ｇ ＃ ｕ ｎ Ｉ ｏ ｃ ｋ ｉ ｎ ｇ
． ．
－

ｔ ｈ ｅ ｂ ｏｏ ｔ Ｉ ｏ ａ
－




ｄ ｅｒ ．
（
２０ ２ ０ －

１ ２ －

２４ 

．

［
３３］ Ｊ Ｉ Ａ ＮＧ Ｘ Ｌ Ｉ Ｕ Ｍ ＹＡ Ｎ Ｇ Ｋ 
，

，

， 
ｅ ｔａｌ  ． Ａ ｓ ｅｃ ｕｒ
ｉ ｔ ｙ  ｓ ａ ｎ ｄ ｂ ｏ ｘ  ａｐｐ ｒ ｏ ａ ｃ ｈ  ｏ ｆ ａ ｎ ｄ ｒ ｏ ｉ ｄ  ｂ ａ ｓ ｅ ｄ  ｏ ｎ

 

ｈ ｏ ｏ ｋ ｍ ｅ ｃ ｈ ａ ｎ ｉ ｓ ｍ ［ Ｊ ］  Ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙ  ａ ｎｄ  Ｃ ｏ ｍｍ ｕ ｎ ｉ ｃ ａ ｔ ｉ ｏ ｎ
 ．  Ｎｅ ｔ ｗ ｏ ｒｋ ｓ ， 
２０ １ ８ ， 
２０ １ ８ 

．

［
３ ４］  Ｂ Ｅ Ａ ＭＡＮ  Ｃ ， Ｂ ＡＲ ＫＷ Ｏ ＲＴ Ｈ  Ａ ，  ＡＫＡ ＮＤ Ｅ  Ｔ  Ｄ ，  ｅ ｔ  ａｌ ．  Ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒｅ  Ｒ ｅ ｃ ｅ ｎ ： ｔａ ｄ


？

ｖ ａｎ ｃ ｅ ｓ ，  ａ ｎ ａｌ
ｙｓ
ｉ ｓ ，  ｃ ｈ ａ ｌ ｌ ｅ ｎ ｇ ｅ ｓ  ａ ｎ ｄ  ｆ ｕ ｔ ｕ ｒ ｅ  ｒ ｅ ｓ ｅ ａ ｒｃ ｈ  ｄ ｉ ｒ ｅ ｃ ｔ ｉ ｏ ｎ ｓ ［ Ｊ ］  Ｃ ｏ ｍ ｐ ｕ ｔ ｅ ｒ ｓ  
． ＆  Ｓ ｅ ｃ ｕｒ ｉ ｔ
ｙ 

，

２０２ １
， １ １ １ ： １ ０ ２４ ９ ０ 

．

［
３５］  Ｓ ＨＡＵ ＫＡＴ  ＳＫ ， 
Ｒ Ｉ Ｂ Ｅ Ｉ ＲＯ Ｖ   Ｊ ．  Ｒ ａｎ ｓ ｏｍ ｗ ａ ｌｌ ：  Ａ  ｌ ａ ｙ ｅ ｒ ｅ ｄ  ｄ ｅ ｆｅ ｎ ｓ ｅ  ｓ
ｙ ｓ ｔｅ ｍ  ａｇ
ａｉｎ ｓ ｔ ｃ ｒ 
ｙｐ


－

ｔ ｏ ｇ ｒ ａ ｐ ｈ ｉ ｃ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ  ａ ｔ ａ ｃ ｋ ｓ  ｕ ｓ ｉ ｎ ｇ  ｍ ａ ｃ ｈ ｉ ｎ ｅ  ｌ ｅ ａ ｍ ｉ ｎ ｇ ［ Ｃ ］ ／／ ２ ０ １ ８  １ ０ ｔ ｈ  Ｉ ｎ ｔｅ ｒｎ ａｔ ｉ ｏ ｎ ａ ｌ



１ ０３


北 京 邮 电 大学 工 学 博 士 学位 论 文 



Ｃ ｏ ｎ ｆｅ ｒｅ ｎ ｃ ｅ  ｏ ｎ  Ｃ ｏ ｍ ｍｕｎ ｉ ｃ ａｔ
ｉ ｏｎ  Ｓ ｙ ｓ ｔ ｅ ｍ ｓ  ＆ Ｎｅ  ｔ ｗ ｏ ｒｋ ｓ  （ Ｃ Ｏ Ｍ Ｓ Ｎ Ｅ Ｔ Ｓ ） ．  Ｉ ＥＥＥ ， ２０ １ ８ 

：

３５６ ３６３
－



．

３ ６］  ＫＨＡ Ｒ Ａ Ｚ Ａ  ＡＲ Ｓ Ｈ ＡＤ  Ｓ Ｍ Ｕ Ｌ ＬＩ Ｎ ＥＲ  Ｃ  ｅ ｔ  ａｌ  ｛ ＵＮ Ｖ Ｅ Ｉ Ｌ ｝  Ａ  ｛ Ｌ ａ ｒｇ ｅ Ｓ ｃ ａｌｅ
－

  ． ：
［ ， ， ，
｝ 

，

ａ ｕ ｔ ｏ ｍ ａｔ ｅ ｄ  ａｐｐ ｒｏ ａ ｃ ｈ  ｔ ｏ  ｄｅ ｔ ｅ ｃ ｔ ｉ ｎ ｇ 
ｒ ａｎ ｓ ｏ ｍ ｗ ａｒｅ ［ Ｃ ］ ／／ ２ ５ ｈ Ｕ Ｓ ＥＮ Ｉ Ｘ ｔ  ｓ ｅｃ ｕ ｒｉ ｔ
ｙ  ｓ ｙ ｍ ｐ ｏ ｓ ｉ ｕｍ



（
Ｕ ＳＥ ＮＩＸ  ｓ ｅ ｃ ｕｒｉ ｔ
ｙ １ ６）  ２ ０ １ ６ ． ： ７ ５ ７
－

７７２ 

．

［
３７］  ＷＡ ＮＧ  Ｚ Ｈ ＵＡＮＧ Ｄ Ｚ Ｈ Ｕ Ｙ
， 

， 

，  ｅ ｔ ａｌ  ．  Ｅｆ ｆ ｉ ｃ ｉ ｅ ｎ ｔ ａｔ ｔ ｒ
ｉ ｂ ｕ ｔｅ ｂ ａ ｓ ｅ ｄ ｃ ｏ ｍ

－


ｐ ａ ｒ ａ ｂ ｌ ｅ ｄ ａｔ ａ ａ ｃ ｃ ｅ ｓ ｓ

  

ｃ ｏ ｎ ｔ ｒ ｏ ｌ ［ Ｊ ］  Ｉ ＥＥ Ｅ Ｔｒ ａ ｎ ｓ ａｃ ｔ
ｉｏｎ ｓ ｏ ｎ ｃ ｏ ｍ ｐ ｕ ｔｅ ｒ ｓ ２０ １ ５ ６４ （ ２ ） ３ ４ ３ ０ ３ ４４ ３ －

  

１ ： 

．
，
， ， 

［
３ ８］ ＡＬ Ｓ ＨＡ Ｉ Ｋ Ｈ Ｈ Ｒ ＡＭＡＤ Ａ Ｎ Ｎ Ｈ Ｅ Ｆ Ｎ Ｙ Ｈ Ａ
 ， 

，    ．  Ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ  ｐ ｒ ｅ ｖ ｅ ｎ ｔ ｉ ｏ ｎ  ａ ｎ ｄ  ｍ ｉ ｔ ｉ ｇ ａ 

？

ｔｉ ｏ ｎ  ｔ ｅ ｃ ｈ ｎ ｉ ｑｕ ｅ ｓ ［ Ｊ ］ ．  Ｉ ｎ ｔ ｅ ｒ ｎ ａ ｔ ｉ ｏ ｎ ａ ｌ  Ｊ ｏ ｕｒ
ｎａｌ  ｏｆ  Ｃ ｏ ｍ ｐ ｕ ｔ ｅ ｒ Ａ ｐｐ ｌ ｉ ｃ ａ ｔ  ｉ ｏｎ ｓ ， 
２ ０２０ ，
９７ ５ ８ ８ ８７ ： 

．

［
３ ９］ Ａｅ ｓ ｔ ｈ ｅｔ ｉ ｃ ［
ＥＢ ／Ｏ Ｌ ］ ．  ｈｔ ｔ
ｐｓ ： ／／
ｇ
ｉｔ ｈｕ ｂ ｃ ｏｍ ／ ｋ ｒ ｅ ｇ ｇ ３ ４ ／Ａ Ｅ Ｓ ｔ ｈ ｅ ｔ ｉ ｃ
． ．
（
２０ ２ ２ －

１
－

４） 

．

［
４０］ Ｂ Ｒ Ｉ Ｅ Ｒ ＬＥ Ｙ Ｃ Ｐ Ｏ Ｎ Ｔ 
， 
 Ｊ ， 
ＡＲＩＥＦ Ｂ 
，  ｅ ｔ  ａｌ ．  Ｐ ａ ｐｅ ｒ ｗ ８ ：  ａｎ  ｉ ｏ ｔ  ｂ ｒ ｉ ｃ ｋｉ ｎ
ｇ 
ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ
 ｐ ｒｏ ｏ


ｆ

ｏ ｆ ｃ ｏ ｎ ｃ ｅ ｐ ｔ ［ Ｃ ］ ／／ Ｐ ｒ ｏ ｃ ｅ ｅ ｄ ｉ ｎ ｇ ｓ  ｏ ｆ
  ｔ ｈ ｅ  １ ５ ｔ ｈ  Ｉ ｎ ｔ ｅ ｒ ｎ ａｔ ｉ ｏ ｎ ａ ｌ  Ｃ ｏ ｎ ｆｅ ｒｅ ｎ ｃ ｅ  ｏ ｎ  Ａｖ ａ ｉ ｌ ａｂ ｉ ｌ ｉ ｔ ｙ ， 
Ｒｅ 

？

ａｂ ｉ ｌ ｉ ｔ
ｙ  ａ ｎ ｄ Ｓ ｅ ｃ ｕ ｒ ｉ ｔｙ ２ ０２０ １ ０
１
－

ｌｉ  ． ： 

．

［
４１ ］  ＷＥ Ｉ  Ｆ ＬＩ
， 
 Ｙ Ｒ ＯＹ ，
 Ｓ ５
ｅｔ ａｌ  ．  Ｄ ｅｅｐ  ｇ ｒ ｏｕ ｎ ｄ  ｔｒ ｕ ｔ ｈ ａ ｎ ａ ｌ ｓ ｉ ｓ ｏ ｆ ｃ ｕ ｒ ｒ ｅ ｎ ｔ ａ ｎ ｄ ｒ ｏ ｉ ｄ ｍ ａ ｌ ｗ ａ ｒｅ ［ Ｃ ］ ／／
ｙ   
   

Ｉ ｎｔ ｅｒ ｎ ａ ｉ ｏｎ ａ
ｔ ｌ  ｃ ｏ ｎ ｆｅｒ ｅ ｎ ｃ ｅ  ｏ ｎ  ｄｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ  ｏ ｆ  ｉ ｎ ｔ ｒ ｕ ｓ ｉ ｏ ｎ ｓ  ａ ｎ ｄ  ｍ ａ ｌ ｗ ａ ｒ ｅ  ａ ｎ ｄ  ｖ ｕ ｌ ｎ ｅ ｒ ａｂ ｉ ｌ ｉ ｔ ｙ

 ，

ａ ｓ ｓ ｅ ｓ ｓ ｍ ｅ ｎｔ  Ｓ ｐ ｒ ｉｎ ｇ ｅｒ ２０ ７ ２５ ２ ２７ ６ －

．
， 
１ ： 

．

４２］ Ｖ ａ ｓ ｔｏｔａｌ ［ Ｅ Ｂ ／ Ｏ Ｌ ］
ｒ  ｈｔ ｔ ／／ ｖ ｉ ａ ｓ ｔｏ ｔ ａ ｌ ｃ ｏ ｍ ／
ｒ ２０ ２０ ２ ２）
－ －

１
［
ｌ ．

ｐｓ ： ． ．
（
１ 

．

［
４３ ］  Ｍ ｃ ａ ｆｅ ｅ ｌ ａｂ ｓ  ２ ０ １ ７  ｔ ｈ ｒ ｅ ａ ｔ ｓ  ｐ ｒｅ ｄ ｉ ｃ ｔ
ｉ ｏｎｓ ．
［
ＥＢ ／ＯＬ ］
． ｈ ｔｐ ｓ ： ／／ ｗ ｗ ｗ ｍ ｃ ａｆｅ ｅ ｃ ｏｍ ／ ｅ ｎ ｔ ｅｒｐ ｒ
． ｉ ｓ ｅ ／ ．

ｅｎ
－

ｕ ｓ ／ ａ ｓ ｓ ｅ ｔ ｓ ／ ｒ ｅ ｐ ｏ ｒ ｔ ｓ ／ｒ ｐ
－

ｔ ｈ ｒ ｅ ａ ｔ ｓ ｐ ｒｅ ｄ ｉ ｃ ｔ
ｉ ｏ ｎ ｓ ２ ０ １ ７ ｐ ｄｆ
－ －

． ．
（
２ ０２０ －

１ ２ －

１
）


．

［
４４ ］ Ｒ ａｎ ｓｏ ｍｗ ａ ｒ ｅ  ａ ｔ ｔ ａ ｃ ｋ ｓ  ｆ ｒ ａｃ ｔ ｕ ｒｅ  ｂ ｅ ｔ ｗ ｅｅ ｎ  ｅ ｎ ｔｅ ｒ ｐ ｒ
ｉ ｓ ｅ  ａ ｎｄ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ ａ ｓ ａ － － －

ｓ ｅｒｖ ｉ ｃ ｅ  ｉ ｎ
 ｑ２



ａ ｓ  ｄ ｅｍ ａｎ ｄ ｓ  ｉ ｎｃ ｒ
ｅ ａｓ ｅ ．
［
Ｅ Ｂ ／Ｏ Ｌ ］
．  ｈ ｔｐ ｓ ： ／／ｗ ｗ ｗ ． ｃ ｏ ｖ ｃ ｗ ａ ｒ ｃ ｃ ｏ ｍ ／ ｂ ｌ ｏ ｇ ／ｑ ２ ．
－

２ ０ ２０ －

ｒａｎ ｓ ｏ ｍｗ 狂



ｍ ａ ｒｋ ｅ ｔｐ ｌ ａ ｃ ｅ ２０２ ２
ｒｅ ｒｅ
ｐ ｏｒｔ
－ － － －

． １ １ １ 

．
（ ）

［
４５］  Ａ Ｈ ＭＡ Ｄ Ｉ ＡＮ Ｍ Ｍ  
， Ｓ Ｈ ＡＨＲＩＡＲＩ Ｈ  Ｒ  ２ｅ ｎ  ． ｔｆ ｏ ｘ  Ａ  ｆｒ ａ ｍ ｅｗ ｏ ｒｋ  ｆｏ ｒ  ｈ ｉ ｇ ｈ  ｓ ｕ ｒ ｖ ｉ ｖ ａｂ ｌ ｅ
： 


ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ ｓ  ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏｎ ［ Ｃ ］
／／ ２ ０ １ ６ １ ３ ｔｈ  ｉ ｎ ｔｅ ｒ ｎ ａ ｔ
ｉ ｏｎ ａ ｌ ｉ ｒ ａｎ ｉ ａｎ  ｓ ｏ ｃ ｉ ｅ ｔ
ｙ ｏ ｆ ｃ ｒｙ ｐ ｔ ｏ ｌ ｏ ｇｙ ｃ ｏ ｎ






？

ｙ  ａ ｎｄ  ｃ ｒ ｙ ｐ ｔ ｏ ｌ ｏ ｇ ｙ  （ Ｓ Ｃ Ｓ Ｃ ）
ｆｅ ｒ ｅ ｎ ｃ ｅ  ｏ ｎ  ｉ ｎ ｆｏ ｒ ｍ ａ ｔ ｉ ｏ ｎ  ｓ ｅ ｃ ｕ ｒ ｉ ｔ Ｉ Ｉ ． Ｉ ＥＥ Ｅ ， 
２０ １ ６ ： ７９
－

８４ 

．

［
４６ ］  ＰＡ Ｌ ＩＳ ＳＥＡ ？ 
Ｂ Ｏ ＵＤ Ｅ Ｒ  Ｈ  Ｌ ， 
ＬＡ Ｎ Ｅ Ｔ  ＪＬ ，  ｅ ｔ  ａｌ ．  Ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ  ａ ｎｄ  ｔ ｈ ｅ  ｌ ｅ ｇ ａ ｃ
ｙ  ｃ ｒ ｙｐ 
ｔ
ｏ

ｆ ｒ ｅ ｎ ｃ ｅ  ｏ ｎ  Ｒ ｉ ｓ ｋ ｓ  ａ ｎｄ  Ｓ ｅ ｃ ｕ ｒ ｉ ｔ
ａ
ｐ ｉ ［ Ｃ ］ ／／ Ｉ ｎ ｔ ｅ ｍ ａｔ ｉ ｏ ｎ ａ ｌ  Ｃ ｏｎ ｅ ｙ  ｏ ｆ  Ｉ ｎ ｔ ｅ ｒ ｎ ｅ ｔ  ａ ｎｄ  Ｓ ｙ ｓ ｔ ｅ ｍ ｓ 

．

Ｓ ｐｒ
ｉ ｎｇ ｅ ｒ ， 
２０ １ ６ １ ： １
－

２８ 

．

［
４７ ］ Ｃ ＡＢ ＡＪ  Ｋ  Ｍ Ａ Ｚ Ｕ Ｒ Ｃ Ｚ ＹＫ Ｗ  Ｕ ｓ
，
 ． ｉ ｎ ｇ  ｓ ｏ ｆｔ ｗ ａ ｒ ｅ ｄ ｅ ｆ ｉ ｎ ｅ ｄ  ｎ ｅ ｔ ｗ ｏ ｒｋ ｉ ｎ ｇ  ｆｏ ｒ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ
－




ｍ ｉ ｔ ｉ ｇ ａ ｔ ｉ ｏｎ ：  ｔｈ ｅ  ｃ ａｓ ｅ  ｏ ｆ  ｃｒ
ｙｐ ｔ ｏ ｗ ａ ｌ ｌ
［
Ｊ ］  Ｉｅｅ ｅ 
． Ｎｅ ｔ ｗ ｏ ｒｋ ， 
２０ １ ６ ， 
３ ０ （６） ：  １ ４ ２０－



．

１ ０４



参考 文 献



［
４ ８］ Ｈ Ｉ Ｒ ＡＮ Ｏ  Ｍ ，  Ｋ Ｏ Ｂ ＡＹＡ Ｓ Ｈ Ｉ Ｒ Ｍ ａｃ ｈ ． ｉ ｎｅ  ｌ ｅ ａ ｒ ｎｉ ｎｇ  ｂ ａ ｓ ｅ ｄ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ  ｄｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ  ｕ ｓ


？

ｉ ｎ ｇ  ｓ ｔ ｏ ｒ ａ ｇ ｅ  ａｃ ｃ ｅ ｓ ｓ  ｐ ａ ｔ ｔ ｅ ｒ ｎ ｓ  ｏ ｂ ｔ ａ ｉ ｎ ｅ ｄ  ｆｒ ｏ ｍ  ｌ ｉ ｖ ｅ ｆｏ ｒｅ ｎ ｓ ｉ ｃ  ｈ ｙ ｐ ｅ ｒ ｖ ｉ ｓ ｏ ｒ ［ Ｃ ］ ／／ ２ ０ －

１ ９  ｓ ｉ ｘ ｔｈ



ｉ ｎ ｔ ｅ ｒ ｎ ａｔ ｉ ｏ ｎ ａ ｌ  ｃ ｏ ｎ ｆｅ ｒ ｅ ｎ ｃ ｅ  ｏ ｎ  ｉ ｎ ｔ ｅ ｒ ｎ ｅ ｔ  ｏ ｆ  ｔ ｈ ｉ ｎ ｇ ｓ ：  Ｓ ｙ ｓ ｔｅ ｍ ｓ ，  Ｍ ａｎ ａｇ ｅ ｍ ｅ ｎ ｔ ａｎ ｄ  ｓ ｅ ｃ ｕｒｉ ｔ ｙ



（
Ｉ ＯＴ Ｓ Ｍ Ｓ ）
．  ＩＥ ＥＥ ，  ２ ０ １ ９ １ ：
－

６ 

．

［
４９］  ＧＨ Ａ Ｒ Ｉ Ｂ Ａ ， 
Ｇ Ｈ ＯＲ Ｂ Ａ Ｎ Ｉ Ａ  ．  Ｄ ｎａ ｄ ｒｏ ｉ ｄ  Ａ  ｒｅ ａｌ －

：
－

ｔｉ ｍ ｅ  ａｎ ｄｒｏ ｉ ｄ  ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒ ｅ  ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏｎ



ｆｒ ａ ｍ ｅ ｗ ｏ ｒｋ ［ Ｃ ］ ／／ Ｉ ｎ ｔ ｅ ｍ ａ ｔ ｉ ｏ ｎ ａ ｌ  Ｃ ｏ ｎ ｆｅ ｒｅ ｎ ｃ ｅ  ｏ ｎ  Ｎｅ ｔ ｗ ｏ ｒｋ  ａ ｎ ｄ  Ｓ ｙ ｓ ｔ ｅ ｍ  Ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙ  Ｓ ｐ ｒ
ｉ ｎ ｇ ｅｒ ．


，

２ ０ １ ７ １ ８４ ：
－

１ ９８ 

．

［
５ ０］ Ｋｏ ｏ ｄｏｕ ｓ
［
Ｅ Ｂ ／Ｏ Ｌ ］
． ｈｔ
＾ ） ｓ ： ／／ ｋ ｏ ｏ ｄ ｏ ｕ ｓ ｃ ｏｍ ／ ． ．

（
２ ０２ １
－

３
－

１ ５） 

．

［
５ １
］  Ａ ｎ ｄｒ ｏ ｇ ｕ ａ ｒｄ
［
Ｅ Ｂ ／ ＯＬ ］
，  ｈｔｔ
ｐｓ ： ／／
ｇ ｉ ｔ ｈ ｕ ｂ ｃ ｏ ｍ ／ ａ ｎ ｄ ｒ ｏ ｇ ｕ ａ ｒ ｄ ／ ａ ｎ ｄ ｒ ｏ ｇ ｕ ａ ｒｄ
． ．
（
２ ０ ２０ －

９
－

１ ５） 

．

［
５ ２］  Ｄ ｅｘ ｆｉ ｌ ｅ ［ Ｅ Ｂ ／Ｏ Ｌ ］ ．  ｈｔｔ ｐ ｓ  ： ／／ ｄ ｅ ｖ ｅ ｌ ｏ ｐ ｅ ｒ ａ ｎｄｒ ｏ ｉ ｄ ｇ ｏ ｏ ｇ ｌ ｅ ｃ ｎ ／ ｒ ｅ ｆｅ ｒ ｅ ｎ ｃ ｅ／ ｄ ａ ｌ ｖ ｉ ｋ ／ ｓ ｙ ｓ ｔ ｅ ｍ ／ Ｄ ｅ ｘ Ｆ
． 
 ． ．

ｉｌ ｅ ．
（
２０ ２ １
－

１ ０ ５）－



．

［
５３］ Ｈ ｅ ｌ Ｄ ｒｏ ｉ ｄ 数据 集 ［
Ｅ Ｂ ／Ｏ Ｌ ］
．  ｈｔ
ｐｓ ： ／／
ｇ ｉ ｔ ｈ ｕｂ ｃ ｏ ｍ ／ ｎ ｅ ｃ ｓ ｔ ／ ｈ ｅ ｌ ｄｒ ｏ ｉ ｄ
． ．
（
２０ ２ １
－

９
－

５） 

．

［
５ ４］ Ｒ －

Ｐａ ｃ ｋ Ｄ ｒ ｏ ｄ ｉ
 数据 集 ［
ＥＢ ／Ｏ Ｌ ］
． ｈｔｔ
ｐ ： ／／
ｐ ｒ ａｇ ｄ ｉ ｅ ｅ ｕｎ ｉ ｃ ａ ｉ ｔ ／ｉ ｔ ／ Ｒ Ｐ ａ ｃ ｋ Ｄ ｒｏ ｉ ｄ
． ． ．

（
２ ０２ １
－

９ －

１ ６） 

．

［
５５］ Ｒ ｉ ｓ ｋｗ ａｒｅ ： ａｎ ｄｒ ｏ ｉ ｄ／ ｓ ｍ ｓｒｅ ｇ ［Ｅ Ｂ ／ ＯＬ ］
．  ｈｔｔ
ｐｓ ： ／／ ｗｗｗ ｆ ．
－

ｓ ｅｃ ｕ ｒ ｅ ｃ ｏｍ ／ ｓ ｗ
．
－

ｄ ｅ ｓ ｃ ／ｒ
ｉ ｓ ｋｗ ａｒｅ ＿


ａ ｎｄ

ｒｏ ｉ ｄ ｍｓ ｒｅ ｇ ｓ ｈｔｍｌ ２０２ １ ９ １ １
－ －

ｓ ． ＿

）


．
—
（

［
５６］  Ｗｈ ａ ｔｉ ｓ  ａｄ ｗ ａ ｒｅ ？ 
－

ｄｅｆ ｉ ｏ ｎ  ａ ｎ ｄ  ｅ ｘｐ ｌ ａ ｎ ａ ｔ ｉ ｏ ｎ Ｅ Ｂ ／ Ｏ Ｌ ］  ｈ ｔ ｔ ｐ ｓ
ｉ ｎｉ ｔ ［
． ： ／／ ｗ ｗｗ ｋ ａ ｓ ．

ｐ ｅｒｓ
ｋｙ ｃ ｏｍ／

 ．

ｒｅ ｓ ｏ ｕ ｒ ｃ ｅ
－

ｃ ｅ ｎ ｔ ｅ ｒ ／ ｔ ｈ ｒ ｅ ａ ｔ ｓ ／ ａ ｄｗ ａ ｒｅ ．
（
２０ ２０ －

１ １
－

２０ ） 

．

［
５ ７］  Ｃ ｏ ｍｐ ｒ ｅｈ ｅ ｎ ｓｉ ｖ ｅ  ａ ｎ ａ ｌ ｙ ｓ ｉ ｓ  ｒ ｅ ｐ ｏ ｒ ｔ  ｏ ｎ  ｔ ｒ ｏｊ ａ ｎ ／ ａ ｎ ｄ ｒ ｏ ｉ ｄ ｅ ｍ ｉ ａ ｌ ［ Ｅ Ｂ ／ Ｏ Ｌ ］ ． ． ｈ ｔｔ
ｐｓ ： ／／ ｗ ｗ ｗ ａ ｎ ｔ ｉ ．

ｙ ｎ ｅ ｔ ／ｐ／ ｃ ｏ ｍ ｐ ｒｅ ｈ ｅ ｎ ｓ ｉ ｖ ｅ ａ ｎ ａ ｙ ｓ ｓ ｒｅ
ｐ ｏｒ ｔ ｏ ｎ ｏ ａ ｎ ａｎ ｄｒｏ ｉ ｄ ｅ ｍ ｉ ａ ｌ ａ ｓ ｒ ｍｔｐ ｒ ｖ ｅ ｘ ｐ ｐ ｈ ｏ ｔｏ ａ


－ － － － －

ｔｒ
－

ｌ
－ ＿

． ｉ
ｊ

ｌ ｂ ｕ ｍ／ ．
（
２ ０ ２０ ５ － －

１ ２） 

．

［
５ ８］ Ａｎ ｄ ｒｏ ｉ ｄ ／ｔ ｒ ｏ ａ ｎ ａ ｅ ｎ ｔ ［ ＥＢ ／Ｏ Ｌ ］
ｊ ｇ ． ．  ｈｔｔ
ｐｓ ： ／／ ｂ ｌｏ
ｇ ｍ ａ ｌ ｗ ａｒ ｅ ｂ ｙ ｔ ｅ ｓ ｃ ｏ ｍ ／ ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ ｓ ／ ａ ｎ ｄ ｒｏ ｉ ｄ
． ．
－

ｔｒ 

ｏ

ａｎ ａ ｇ ｅ ｎｔ ／ ２０２ ３ ４）
－ － －

． １ １ 

．

ｊ （

 Ｆ ａ ｋｅ ｋ ｏ ｒ ｅａ ｎ ｂ ａ ｎ ｋ ｐ ａｒ ｔ ２ ［ Ｅ Ｂ ／ ０ Ｌ ］  ｈ ｔｔ ｂ ｌ ｏ ｇ ａｖ ａ ｓｔ ｅ ｏｍ ／ ２


ｐ ｐ ｌ ｉ ｃ ａｔ ｏｎ ｓ  ｏ ｒ  ａ ｎ ｄ ｒ ｏ ｉ ｄ 
５９］ ａ ｆ
ｐｓ
－

   ｉ  ． ： ／／ ． ．

［ 

０ １ ４ ／ ０ ３ ／０ ３ ／ｆａ ｋ ｅ ｋ ｏ ｒｅ ａ ｎ ｂ ａ ｎ ｋ ａ ｐ ｌ ｉ ｃ ａ ｔ ｉ ｏ ｎ ｓ － －
－
－

ｆｏ ｒ
－

ａ ｎ ｄｒｏ ｉ ｄ
－

ｐ ａｒｔ ２／
－

２ ０２ ２ －

ｌ
－

３）
ｐ ．
（


．

［
６０］ Ｔ ｒｏ
ｊ
ａ ｎ ａ ｎｄ ｒ ｏ ｉ ｄｏ ｓ ｂ ｏ ｏ ｇ ｒ ［ Ｅ Ｂ ／
． ． ＯＬ ］
． ｈ ｔｔ
ｐｓ ： ／／ｔ ｈ ｒｅ ａ ｔ ｓ ｋ ａ ｓ ｅ ｒ ｓ ｋ ｙ ｃ ｏｍ ／ ｅ ｎ ／ ｔ ｈ ｒｅ ａ ｔ ／ Ｔｒ ｏｊ ａ ｎ
ｐ
． ． ． Ａ ｎｄ



ｒｏ ｉ ｄ Ｏ Ｓ Ｂ ｏ ｏ ｇ ｒ／ ． ．
（
２０ ２ １
－

１ １
－

１ ２） 

．

［
６ １
］ Ｓ ｅｃｕ ｒｉ ｔ
ｙ 
ａｌ ｅｒ ｔ ：  Ｎｅｗ  ｄ ｒ ｏ ｉ ｄ ｋ ｕｎ ｇ ｆ ｕ ｖ ａ ｒ
ｉ ａｎ ｔ ｓ   ｎ ａ ｔ ｉ ｖｅ  Ｃ ｈｉ ｎ ｅ ｓ ｅ  ａ ｎ ｄｒ ｏ ｉ ｄ  ｍ ａｒ ｋｅ ｔ ｓ
ｆｏ ｕ ｎ ｄ  ｉ ｎ  ａ ｌ ｔ ｅ ｒ 


［
Ｅ Ｂ ／Ｏ Ｌ ］
． ｈｔ
＾ ＞ ｓ ： ／／ ｗ ｗ ｗ ｃ ｓ ｃ ２ ｎ ｃ ｓ ｕ ｅ ｄ ｕ ／ ｆａｃ ｕ ｌ ｔ ｙ ／ ｘｊ ｉ ａ ｎ ｇ ４ ／ Ｄ ｒ ｏ ｉ ｄ Ｋ ｕ ｎ ｇ Ｆ ｕ ２ ／
． ． ． ．
（
２０２ ２ ２ －
－

１ ２） 

．

１ ０５


北京 邮 电 大 学工学博 士学 位论 文 



［
６２］  ＡＮ ＶＡ  反 病 毒 联 盟 ［
Ｅ Ｂ ／Ｏ Ｌ ］  ｈ ｔ ｔｐ ｓ ． ： ／／ ｍｐ ｗ ｅ ｉ ｘ ｉ ｎ ｑ ｑ ｅ ｏ ｍ ／ ｓ ／Ａ Ｒ ｋ Ｍ ｃ ３ ０Ｕ ｏ ＫＫＭ ｐ ｖ ４
． ． 
 ．

７ ｍＯ ８ｂｎ ２ ０２ ２ ４ ２ ） － －

ｇ ．
（


．

［
６３ ］  ＷＡ Ｎ Ｇ  Ｓ ，  ＱＷ  Ｓ ， 
ＨＥ Ｎ 
，  ｅｔ  ａ ｌ  ． Ｋ ｒ ｒ ｅｃ ｏ ｖｅｒ  Ａ ｎ ：  ａｕｔ ｏ
－

ｒ ｅ ｃ ｏｖ ｅ ｒ
ｙ  ｔ ｏ ｏ ｌ ｆｏ ｒ ｈ ｉｊ ａ ｃ ｋｅ ｄ ｄ ｅ ｖ ｉ ｃ ｅ ｓ
 
  

ａｎ ｄ  ｅ ｎ ｃｒ ｄｒ ｏ ｄ ［ Ｊ ］  Ｓ ｙ ｍ ｍ ｅ ｔ ｒ ｙ ２０ ２
ｙ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａｒｅ ｓ  ｏ ｎ  ａ ｎ
ｉ ｅ ｓｂ
ｆ
ｙｐ ｅｄ
ｔ ｌ ｉ ．
，  １
， １ ３ （
５ ） ８６ ： １ 

．

［
６４ ］ 盘点 ：
２０ １ ９ 年 勒 索病毒 灾 难 事件 ［
Ｅ Ｂ ／Ｏ Ｌ ］
． ｈｔ
ｐ ： ／／ ｗ ｗｗ ３ ６０ ． ． ｅ ｎ ／ｎ ／ １ １ ２２ ２ ｈ ｔ ｍ ．
Ｕ ２０２０



１ ０ ２３ ）
－



．

［
６５ ］  Ｇ Ａ Ｄ Ｅ ＫＡ Ｌ Ｌ Ｕ  Ｔ  Ｒ ，  Ｒ Ａ Ｊ Ｐ Ｕ Ｔ  Ｄ  Ｓ  ＲＥ Ｄ ＤＹ  Ｍ  ｅ ｔ  ａ ｌ ５ ，
．  Ａ ｎ ｏｖｅ ｌ
ｐｅ ａ
－

ｗ ｈａｌ ｅ



ｏ ｐ ｔ ｉ ｍ ｉ ｚ ａ ｔ ｉ ｏ ｎ ｂ ａ ｓ ｅ ｄ  ｄ ｅｅ ｐ  ｎ ｅ ｕ ｒ ａ ｌ  ｎ ｅｔ ｗ ｏ ｒｋ  ｍ ｏ ｄ ｅ ｌ  ｆｏ ｒ  ｃ ｌ ａ ｓ ｓ ｉ ｆ ｉ ｃ ａ ｔ ｉ ｏ ｎ  ｏ ｆ ｏ ｍ ａ ｔｏ  ｐ ｌ ａｎ ｔ  ｄ ｉ ｓ
－ 

？

 ｔ

ｅ ａ ｓ ｅ ｓ  ｕ ｓ ｉ ｎ ｇ  ｇｐ ｕ ［ Ｊ ］  Ｊ ｏ ｕｒｎ ａｌ  ｏ ｆ ．  Ｒｅ ａ ｌ
－

Ｔ ｉ ｍ ｅ  Ｉｍ ａ ｇ ｅ Ｐｒｏ ｃ ｅ ｓ ｓ ｉ ｎ ｇ 
， 
２０２ １ ， １ ８ （４） ： １ ３ ８３
－

１ ３９６ 

．

［
６６ ］  ＡＬＡＺ ＡＢ  Ｍ Ｂ ＲＯＡ ＤＨＵ Ｒ Ｓ Ｔ Ｒ
，
 ．  Ｓ ｐ ａｍ  ａｎ ｄ ｃｒ
ｉ ｍ ｉ ｎ ａ ｌ  ａｃｔ
ｉｖ  ｉ ｔ
ｙ ［ Ｊ ］  Ｔｒｅ ｎｄ ｓ  ａ ｎｄ  ｉ ｓ ｓ ｕ ｅ ｓ
． 


ｉ ｍ ｅ  ａ ｎｄ  ｃ ｒ
ｎ ｃｒ ｉ ｍｉ ｎ ａｌ ｕ ｓ ｔｉ ｃ ｅ ２０ １ ６ （ ５ ２６ ） ２０
－

ｉ ：  １ 

．

 ｊ ， 

［
６７ ］  ２ ００ ，
００ ０ ＋ ｍ ｉ ｋ ｒ ｏ ｔ ｋ  ｉ  ｒ ｏ ｕ ｔ ｅ ｒ ｓ  ｗ ｏ ｒｌ ｄ ｗ ｉ ｄ ｅ  ｈ ａ ｖ ｅ  ｂ ｅｅ ｎ  ｃ ｏ ｍ
ｐｒｏｍｉ ｓ ｅｄ  ｔ ｏ ｉ ｎｊ ｅ ｃ ｔ ｃ ｒ ｙｐ ｔ ｏｊ ａ ｃ ｋ ｉ ｎ ｇ




ｍ ａ ｌ ｗ ａ ｒｅ ［ Ｅ Ｂ ／ Ｏ Ｌ ］ ．  ｈｔｔ
ｐｓ  ： ／／ ｂ ａｄ
ｐ ａｃ ｋｅ ｔ ｓ ｎ ｅ ｔ ／ ２ ０ ０ ０ ０ ０ ｍ ｉ ｋ ｒ ｏ ｔ ｉ ｋ ｒ ｏ ｕ ｔ ｅ ｒ ｓ ｗ ｏ ｒｌ ｄ ｗ ｉ ｄ ｅ ｈ ａ ｖ ｅ ｂ
． 
 － － － －

ｅｅ ｎ
－

ｃ ｏｍ
ｐｒｏ ｍｉ ｓ ｅ ｄ
－

ｔ ｏ
－

ｉ ｎｊ ｅ ｃ ｔ ｃ ｒ ｙｐ ｔ ｏｊ ａｃ ｋ ｉ ｎ ｇ ｍ ａ ｌ ｗ ａ ｒ ｅ ／
－

（
２０２０ －

１ ０ ５） －



．

［
６８］ 全 球 安卓 用 户 
Ｒ ｏ ｏｔ手 机 占比 ．
［
Ｅ Ｂ ／Ｏ Ｌ ］  ｈ ｔｐ ｓ ． ： ／／ ｗ ｗ ｗ ａ ｎ ｄ ｒ ｏ ｉ ｄ ｈ ｅ ａ ｄ ｌ ｉ ｎ ｅ ｓ ｃ ｏ ｍ ／２０
． ． １ ４／



ｌ ｌ ／５ ０ ｕ ｓ ｅｒ ｓ
－ －

ｒｏ ｏ ｔ
－

ｐ ｈ ｏ ｎ ｅ ｓ ｏ ｒ ｄｅ ｒ
－ －

ｒｅ ｍ ｏ ｖｅ
－

ｂ ｕ ｉ ｌ ｔ ａｐ ｐ ｓ ｏｎ ｅ ｈ ｔ ｍ ｌ ＃
－ －

． ： ： ｔｅ ｘｔ ＝ Ａ ｃ ｃ ｏ ｒ ｄ ｉ ｎ ｇ ％ ２ ０ ｔ



ｏ ％ ２ ０ Ｔｅ ｎ ｃ ｅ ｎ ｔ ｓ ％ ２ ０ ｓ ｔ ｕ ｄ ｙ ％ ２ Ｃ ％ ２０２ ７ ４ ４ ｍ ａ ｎ ｙ ．

，
％ ２ ０ｐ ｅ ｏｐ ｌ ｅ ％ ２ ０ ａｃ ｔ ｕ ａｌ ｌ ｙ ％ ２ ０ ｕ ｓ ｅ ％ ２ ０ Ａ



ｎ ｄ ｒｏ ｉ ｄ ．
（
２０ ２０ －

１ ２ －

１ ２） 

．

［
６９ ］ Ｇ ｏ ｏ ｇ ｌ ｅ  ｓ ｔｏｒｅ ［ Ｅ Ｂ ／ ＯＬ ］
． ｈｔ
ｑ ＞ ｓ ： ／／ ｄ ｅ ｖ ｅ ｌ ｏ ｐ ｅ ｒ ａ ｎ ｄｒ ｏ ｉ ｄ ｇ ｏ ｏ ｇ ｌ ｅ ｃ ｎ ／ ． ． ． ．
（
２ ０２ １ －

４ ６） －



．

［
７ ０］  Ａ Ｌ Ｓ Ｏ Ｇ ＨＹ ＥＲ  Ｓ ， 
Ａ Ｌ Ｍ Ｏ Ｍ ＡＮ Ｉ Ｉ ．  Ｒ ａ ｎ ｓ ｏ ｍ ｗ ａｒ ｅ  ｄｅ ｔ ｅ ｃ ｔ
ｉ ｏ ｎ  ｓ ｙ ｓ ｔ ｅ ｍ  ｆｏ ｒ  ａ ｎ ｄ ｒ ｏ ｉ ｄ  ａ ｐｐ ｌ ｉ 

－

ｃ ａｔ ｉ ｏ ｎ ｓ ［ Ｊ］  Ｅ ｌ ｅ ｃ ｔ ｒ ｏ ｎｉ ｃ ｓ
．
， 
２０ １ ９ ， ８ （ ８） ８ ６ ８ ： 

．

［
７ １
］  Ｓ ＨＡ Ｒ Ｍ Ａ  Ｓ ，  Ｋ Ｒ Ｉ Ｓ ＨＮＡ  Ｃ  Ｒ ，  Ｋ Ｕ ＭＡ Ｒ  Ｒ Ａ ｎ ｄ ｒ ｏ ． ｉ ｄ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ  ｄ ｅ ｔ ｅｃ ｔ ｉ ｏ ｎ  ｕ ｓ ｉ ｎ ｇ



ｍ ａ ｃ ｈ ｉ ｎ ｅ  ｌ ｅ ａ ｒ ｎ ｉ ｎ ｇ  ｔ ｅ ｃ ｈ ｎ ｉ ｑ ｕ ｅ ｓ  Ａ  ｃ ｏｍ ｐ ａ ｒ ａ ｔ ｉ ｖ ｅ  ａ ｎ ａ ｌ ｙ ｓ ｉ ｓ  ｏ ｎ  ｇｐ ｎ  ａ ｎ ｄ  ｃ ｐ ｕ ［ Ｃ ］ ／／２ ０ ２ ０  ２ ： １ ｓｔ



ｎ ｔ ｅ ｒ ｎ ａ ｔ ｉ ｏ ｎ ａ ｌ  Ａ ｒ ａ ｂ  Ｃ ｏｎ ｆｅ ｒ ｅ ｎｃ ｅ  ｏ ｎ Ｉ ｎ ｆｏ ｒ ｍ ａ ｔ ｉ ｏ ｎ  Ｔｅ ｃ ｈ ｎ ｏ ｏ ｇ ｙ  （ ＡＣ Ｉ Ｔ ） Ｉ ＥＥ Ｅ ２０２０ １ ６
－

Ｉ  ｌ ．
， 
： 

．

［
７２］ Ｎｅｗ  ａ ｎ ｄ ｒｏ ｉ ｄ  ｔ ｒ ｏ
ｊ
ａ ｎ  ｘｂ ｏ ｔ
 ｐ ｈ ｉ ｓ ｈ ｅ ｓ  ｃ ｒｅ ｄ ｉ ｔ  ｃ ａ ｒ ｄ ｓ  ａ ｎ ｄ  ｂ ａ ｎ ｋ  ａｃ ｃ ｏ ｕ ｎ ｔ ｓ  ｅ ｎ ｃ ｒ ｙ ｐ ｔ ｓ  ｄ ｅ ｖ ｉ ｃ ｅ ｓ

 ，

ｆｏ ｒ  ｒ ａ ｎ ｓ ｏ ｍ ［ Ｅ Ｂ ／ ＯＬ ］
． ｈ ｔ ｔ ｐ ｓ ： ／／ ｕ ｍ ｔ４ ２ ｐ ａ ｌ ｏ ａ ｌ ｔ ｏ ｎ ｅ ｔ ｗ ｏ ｒｋ ｓ ｃ ｏｍ ／ｎ ｅ ｗ ａ ｎｄ ｒ ｏ ｉ ｄ ｔ ｒｏｊ ａ ｎ ｘ ｂ ｏ ｔ ｐ ｈ ｉ ｓ
． 
 ．

ｈ ｅ ｓ ｃ ｒｅ ｄ ｉ ｔｃ ａ ｒｄ ｓ ａ ｎ ｄ ｂ ａ ｎ ｋ ａｃ ｃ ｏ ｕｎ ｔ ｓ ｅ ｎ ｃ ｒ ｙ ｐ ｔ ｓ ｄ ｅ ｖ ｉ ｃ ｅ ｓ ｆｏ ｒ ｒ ａ ｎ ｓ ｏ ｍ ／ ２０２ ０ ２ ８）
－
－

． １ 

．
（

［
７３］  Ｃ ＨＥＷ Ｃ Ｊ Ｗ   
， 
Ｋ Ｕ ＭＡ Ｒ Ｖ 
，
ＰＡＴ Ｒ Ｏ Ｓ Ｐ 
，
ｅ ｔ ａｌ  ．  Ｅ ｓ ｃ ａｐ ａ ｄ ｅ ：  Ｅ ｎ ｃ ｒ ｙｐ ｔ ｉ ｏｎ
－

ｔ
ｙｐ ｅ
－

ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ 

：

Ｓ ｙ ｓ ｔｅ ｍ  ｃ ａｌｌ  ｂ ａ ｓ ｅ ｄ
ｐ
ａ ｔｔ ｅｒ ｎ  ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏｎ ［ Ｃ ］ ／／ Ｉ ｎ ｔ ｅ ｍ ａｔｉ ｏ ｎ ａ ｌ  Ｃ ｏ ｎ ｆｅ ｒｅ ｎ ｃ ｅ  ｏ ｎ  Ｎｅ ｔ ｗ ｏ ｒ ｋ  ａ ｎｄ



Ｓ ｙ ｓ ｔ ｅ ｍ  Ｓ ｅ ｃ ｕ ｒ ｉ ｔｙ  Ｓ ｐ ｒ
ｉ ｎ ｇ ｅｒ ．
， 
２０２ ０ ： ３ ８ ８
－

４０ ７ 

．

１ ０６



参 考 文献



［
７４］  ＡＬ －

Ｒ Ｉ ＭＹ  Ｂ Ａ Ｓ ，  ＭＡＡ Ｒ Ｏ Ｆ  Ｍ  Ａ ， Ｓ Ｈ Ａ Ｉ Ｄ  Ｓ  Ｚ  Ｍ  Ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ  ． ｔ ｈ ｒｅ ａ ｔ  ｓ ｕ ｃ ｃ ｅ ｓ ｓ



ｆａ ｃ ｔ ｏ ｒ ｓ ，  ｔａ ｘ ｏ ｎ ｏ ｍｙ ， ａ ｎｄ  ｃ ｏ ｕ ｎｔ ｅ ｒ ｍ ｅ ａ ｓ ｕ ｒｅ ｓ ：  Ａ ｓ ｕｒｖ ｅ ｙ  ａｎ ｄ  ｒｅ ｓ ｅ ａ ｒｃ ｈ  ｄ ｉ ｒ ｅ ｃ ｔ ｉ ｏｎ ｓ ［
Ｊ］ Ｃ ｏｍ．


？

ｐ ｕ ｔ ｅｒ ｓ  ＆  Ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙ ２０ ８ ７４ ４４ ６６
－

１ ： １ １ 

．
，  ， 

［
７５］ 姜维 ． Ａ ｎ ｄｒｏ ｉ ｄ 应 用 安 全 防 护 和 逆 向 分析 ［
Ｍ ］
，
机械工业 出 版社 ，
２０ １ ７ ：  ４０４
－

４ １ ４ 

．

［
７ ６］ Ｓ ｌ ｏ ｃ ｋ ｅｒ ｍ ｏｂ ｉ ｌ ｅ   ｒａｎ ｓ ｏ ｍ ｗ ａ ｒｅ  ｓ ｔ ａ ｒ ｔ ｓ  ｍ ｉ ｍ ｉ ｃ ｋ ｉ ｎ ｇ ｗ ａ ｍ ａ ｃ ｒ ｙ ［ ＥＢ ／ Ｏ Ｌ ］ 
ｉ ．  ｈ ｔ ｔｐ ｓ ： ／／ ｂ ｌ ｏ
ｇ ． ｔｒｅ ｎ ｄ ｍ ｉ

ｃ ｒｏ ｃ ｏ ｍ ／ｔｒｅ ｎ ｄ ｌ ａｂ ｓ ｓ ｅ ｃ ｕ ｒ
ｉｔ
．

ｙ ｉ ｎ ｔ ｅ ｌ ｌ ｉ ｇ ｅ ｎ ｃ ｅ／ ｓ ｌ ｏ ｃ ｋｅ ｎ ｎｏ ｂ ｉ ｌ ｅ ｒ ａｎ ｓ ｏ ｎｉ ｗ ａｒｅ ｓ ｔ ａｒｔ ｓ ｍ ｉ ｍ ｉ ｃ ｋｉ ｎ ｇ ｗ 設



ｎｎ ａ ｃ ｒｙ／ ．
（
２０ １ ９ －

７ ５）－



．

）］
ｒｅ ｆｄ ｏ ｕ ｂ Ｉ ｅ Ａｎｄｒ ｏ ｉ ｄ 新 型 勒 索病 毒 ：

加 密文件 内 容 ， 锁 定 手 机屏 幕 ［
Ｅ Ｂ ／Ｏ Ｌ ］ ． ｈｔｔ


ｐ

ｓ ： ／／ ｗ ｗ ｗ ｗ ｅ Ｕ ｖ ｅ ｓ ｅ ｃ ｕｒ
ｉ ｔ ｙ ｃ ｏ ｒ ｏ／ ２ ０
． ＿ １ ７ ／ １ ０／ １ ３ ／ｄ ｏ ｕ ｂ ｌ ｅ ｌ ｏ ｃ ｋ ｅ ｒ －

ｉ ｎｎ ｏ ｖ ａ ｔ
ｉ ｖ ｅ ａ ｎｄ ｒ ｏ ｉ ｄ ｍ ａ ｌ ｗ ａ ｒｅ ／


－ －

．
（
２０ １ ９
－

１ ０ ２７ ）
－



．

［
７７］  Ｄ ｏ ｕｂ ｌ ｅ ｌ ｏ ｃ ｋ ｅ ｒ  Ｉ ｎ ｎ ｏ ｖ ａｔ ｉ ｖ ｅ  ａ ｎ ｄ ｒ ｏ ｉ ｄ  ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒ ｅ ［ Ｅ Ｂ ／ Ｏ Ｌ ］  ｈｔ ｔ ｐ ｓ
： ． ： ／／ ｗ ｗ ｗ ｗ ｅ ｌ ｉ ｖ ｅ ｓ ｅ ｃ ｕｒｉ ｔｙ
．




ｃ ｏ ｍ／２ ０ ７ ／ １ ０／ １ ３ ／ ｄ ｏ ｕｂ ｌ ｅ ｌ ｏ ｃ ｋ ｅ ｒ ｎｎ ｏ ｖ ａ ｔ ｉ ｖ ｅ ａ ｎ ｄ ｒ ｏ ｉ ｄ ｍ ａ ｌ ｗ ａ ｒ ｅ／ ２ ０ ２２ ２ ４ ）
－ － － － －

． １ ｉ
（
． 

．

［
７ ８］ Ｍｏｂ ｉｌ ｅ  ｔ ｈｒ ｅ ａ ｔ  ｒ ｅ ｓ
ｐ ｏ ｎ ｓ ｅ  ｅ ａ ｍ  ａ ｎ ｒ ｏ ｉ ｄ  ｍ ｏ ｂ ｉ ｅ  ａ ｎ ｓ ｏ ｍｗ ａｒｅ
ｔ ｄ ｌ ｒ  Ｂ ｉ ｇ ｇ ｅ ｒ  ｂ ａ ｄｄ ｅ ｒ  ｂ ｅ ｔ ｔ ｅ ｒ ？
， 
 ：
， ，

［
Ｅ Ｂ ／ Ｏ Ｌ  ｈ ｔ ｔｐ ｓ ］
． ： ／／ ｂｌｏ
ｇ
． ｔｒ ｅ ｎｄ ｍ ｉ ｃ ｒ ｏ ｃ ｏ ｍ ／ ｔ ｒ ｅ ｎｄ ｌ ａ ｂ ｓ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙ ｉ ｎ ｔ ｅ ｌ ｌ ｉ
．

ｇ ｅｎ ｃ ｅ／ ａｎ
ｄ ｒ ｏ ｉ ｄｍ ｏｂ ｉ ｌ ｅ ｒ



ａ ｎ ｓ ｏ ｍｗ ａ ｒ ｅ ｅ ｖ ｏ ｌ ｕ ｔ ｉ ｏ ｎ ／ ２０ ９ ８ ２８）
－
－

． １ 

．
 （

［
７ ９］  ＧＥ ＮＱ 
Ｚ Ａ ＬＥ ＮＺＩＮＩ  Ｇ

， ， Ｓ ＧＡＮ Ｄ Ｕ ＲＲ Ａ Ｄ  ＿  Ｏ ｎ  ｄ ｅ ｃ ｅ ｐ ｔｉ ｏ ｎ ｂ ａ ｓ ｅ ｄ  ｐ ｒ ｏ ｔ ｅ ｃ ｔ
ｉ ｏｎ  ａ ｇ ａ ｉ ｎ ｓ ｔ －

ｃｒ
ｙ ｐ ｔ ｏ ｇ ｒ ａｐ ｈ ｉ ｃ  ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒ ｅ ［ Ｃ ］ ／／ Ｉ ｎ ｔｅｍ ａ ｔ ｉ ｏ ｎ ａ ｌ  ｃ ｏ ｎ ｆｅ ｒ ｅ ｎ ｃ ｅ  ｏ ｎ  ｄ ｅ ｔｅ ｃ ｔ ｉ ｏ ｎ  ｏ ｆ  ｉ ｎ ｔ ｒ ｕ ｓ ｉ ｏ ｎ ｓ



ａ ｎ ｄ  ｍ ａ ｌ ｗ ａ ｒｅ ｅ ｎ ｔ  Ｓ ｐ ｒ ｉ ｎ ｇ ｅｒ
ｙａ ｓ ｓ ｅ ｓ ｓ ｍ ９ ２３ ９
，  ａ ｎ ｄ  ｖ ｕ ｌ ｎ ｅ ｒ ａ ｂ ｉ ｌｉ ｔ ．
， 
２０ １ ９ ： ２ １
－



．

［
８ ０］  ＷＡ Ｎ Ｇ  Ｓ ，
 Ｑ ＩＮ  Ｓ ，  Ｑ ＩＮ  Ｊ ， ｅ
ｔ ａｌ ．  Ｋ ｒ ｄ ｒ ｏ ｄ  Ｒ ａ ｎ ｓ ｏ ｍ ｗ ａｒ ｅ ｏ ｒ ｉ ｅ ｎ ｔ ｅ ｄ  ｄ ｅ ｔ ｅ ｃ ｔ ｏ ｒ  ｆｏ ｒ  ｍ ｏ ｂ ｉ ｌ ｅ
ｉ ： 

－

ｄ ｅ ｖ ｉ ｃ ｅ ｓ ｂ ａ ｓ ｅ ｄ  ｏ ｎ ｂ ｅｈ ａ ｖ ｉ ｏ ｒ ｓ ［ Ｊ ］
  ．  Ａｐｐ ｌｉ ｅ ｄＳ ｃｉｅｎｃ ｅ ｓ ， 
２ ０２ １ ，
１ １
（
１ ４） ６５５７ ： 

．

［
８ １
］ 揭秘小米 Ｉｏ Ｔ 生 态 链 投 资机遇 ：

企业超 ３ ００ 家 ， 连 接 设备 近 ４ 亿 ［
Ｅ Ｂ ／Ｏ Ｌ ］
．  ｈｔｔｐ ｓ 

：

／／ ｍ ．

ｊ
ｉ ｅ ｍ ｉ ａ ｎ ｃ ｏ ｒ ｎ ／ ａ ｒ ｔｉ ｃ ｌ ｅ ／ ６ ５ ８ ９ ０ ７ ９
． ． ｈｔ ｒ ｎ Ｉ ．
（
２０ ２ １
－

８
－

ｌ
）


．

８ ２］  年卖出 亿 台 打 败 美 国 巨 头 成 全 球第 却 被误 以 为 是 国 外 品 牌 Ｅ Ｂ ／Ｏ Ｌ
— 一

１ ． １ 

．
［ ， ， ［ ］

ｈｔｔ
ｐｓ ： ／／ ｎ ｅ ｗ ｑｑ ｃ ｏ ｍ ／ ｏ ｍ ｎ ／ ２ ０ ２
． ． １ ０４ １ ８ ／ ２ ０２ １ ０４ １ ８ Ａ ０ Ａ ３ Ｕ １ ００ ｈ ｔ ｍ ｌ ． ．
（
２０２ １
－

８
－

ｌ
）


．

［
８３］ 网 速 管家排 行 榜 ：
２０２ １
年 ３ 月 路 由 器 市 场 占 有 率排 行 ［
Ｅ Ｂ ／Ｏ Ｌ ］  ｈ ｔ ｔ ｐ ｓ ． ： ／／ ｗｗｗ ． ｓ


ｐ

ｅ ｅ ｄｔ ｅ ｓ ｔ ｃ ｎ ／ ａ ｒｔ ｉ ｃ ｌ ｅ／
． ＫＷ Ｑ ｒ Ｏ ｂ Ｂ ９ ４ Ｖ Ｌ Ｖ Ｌ ｗ Ｅ ｚ ２ Ｊ ｇ Ｙ ．
（
２０ ２ １ －

８
－

ｌ
）


．

８４］ 外媒 佳 能 位 居 相 机 品 牌 市场 占 有 率 第 名 Ｅ Ｂ ／Ｏ Ｌ  ｈｔ ／／ ｗ ｗｗ ６ ３ ｅ ｏ ｍ ／ｄ ｙ／ ａ
一

［
：

［ ］
．

ｐｓ ： ． １ 

．

ｒ ｔ ｉ ｃ ｌ ｅ／ ＧＨ ５ Ｇ Ｓ Ｃ Ｌ ０ ５  １ １ １ ８ ９ Ｐ５ ． ｈｔｍ ｌ ．
（
２０２ １
－

８
－

１
）


．

［
８５］ 小 米 室 外 摄 像 机 销 量超 １ ００ ０ ０ 台 荣 登 京 东 监 控摄 像 品 类 热 销 榜
，
ＴＯ Ｐ  ２ ［Ｅ Ｂ ／Ｏ Ｌ ］ 

．

ｈｔ ｔｐ ｓ ： ／／ ｎ ｅ ｗ ｓ ｗｅ ｓ ｔ ｃ ｎ ／ ８ ６ ７ ６ ３ ｈ ｔ ｍ ｌ
． ． ． ．

（
２０２ １ －

８
－

ｌ
）


．

１ ０７


北 京 邮 电 大学 工 学 博 士 学 位 论 文 



［
８ ６］  ｐ ａｃ ｋａ ｇ ｅ  ： ｉ ｎｏ ｔ ｉ ｆ ｙ ｗ ａ ｉ ｔ ［ Ｅ Ｂ ／ Ｏ Ｌ ］ ｈ ｔｐ ｓ ． ： ／／ ｏ ｐ ｅ ｎ ｗ ｒ ｔ ｏ ｒ ｇ ／ ｐ ａ ｃ ｋ ａ ｇ ｅ ｓ ／ｐ ｋ ｇ ｄ ａ ｔ ａ ／ｉ ｎ ｏ ｔ ｉ ｆ ｙ ｗ ａ ｉ ｔ
． ．
（
２０



２ １
－

１ ０ ２３）
－



．

［
８７］  ｉ ｎ ｏ ｔｉ ｆｙ ｗ ａｉ ｔ（ ｌ
）
－

ｌｉ ｎ ｕｘ  ｍ ａ ｎ  ｐ ａ ｇ ｅ ［ ＥＢ ／ Ｏ Ｌ ］ ．  ｈ ｔ ｔｐ ｓ ： ／／ ｌ ｉ ｎｕ ｘ ｄ ｉ ｅ ｎ ｅ ｔ ／ ｍ ａ ｎ ／ ｌ ／ｉ ｎ ｏ ｔ ｉ ｆｙ ｗ ａ ｉ ｔ
． ． ．
（
２０



２ １
－

１ ０ ２３ ）
－



．

［
８ ８］  ｌｉ ｎｕ ｘ  在 
ＤＶ Ｒ  系 统 中 的 应用 和 发展 ［
ＥＢ ／Ｏ Ｌ  ｈ ｔｐ ］
． ｔ ： ／／ ｗ ｗ ｗ ｅ ｍ ｂ ｅ ｄ ｄ ｅ ｄ Ｉ ｉ ｎ ｕ ｘ ｏｒ ｇ
． ． ． ｅ ｎ／ｈ



ｔ ｍ ｌ ／ｊ ｉ ｓ ｈ ｕ ｆａ ｎ ｇ ａ ｎ ／ ２ ０ １ １ ０ ８ ／０ ３ －

 １ ４ ３ ５ ｈｔ ｍｌ ． ．
（
２ ０２ １
－

１ ０ ２３ ） －



．

［
８９］  Ｓ ＨＡＯ  Ｙ ＬＵ Ｏ Ｘ Ｑ ＩＡＮ Ｃ
， 

， 
 ． Ｒｏ ｏｔ
ｇ ｕ ａ ｒｄ  ｒ ｏ ｔ ｅ ｃ ｔ ｉ ｎ ｇ  ｒ ｏ ｏ ｔ ｅ ｄ  ａ ｎｄ ｒｏ ｉ ｄ  ｐ ｈ ｏ ｎ ｅ ｓ ［ Ｊ ］  Ｃ ｏ ｍ
Ｐ ： ．


？

ｐ ｕ ｔｅ ｒ ， 
２０ １ ４ ，
４７ （ ６ ） ３ ２ ４０ ：
－



．

［
９０］  Ｃ Ｏ Ｓ ＴＡ Ｍ ＡＧＮＡ  Ｖ Ｚ Ｈ Ｅ ＮＧ Ｃ
， 
 ．  Ａ ｒｔ ｄｒｏ ｉ ｄ  Ａ  ｖ ｉｒｔ ｕ ａｌ ｍ ｅ ｔｈ ｏ ｄ  ｈ ｏ ｏ ｋｉ ｎ ｇ  ｆ
： ｒ ａ ｍ ｅ ｗ ｏ ｒｋ  ｏ ｎ

 －

ａｎ ｄ ｒ ｏｉ ｄ  ａｒ ｔ  ｒ ｕ ｎ ｔ ｉ ｍ ｅ ．
 ［
Ｃ ］
／／ Ｉ ＭＰ Ｓ ＠ Ｅ Ｓ Ｓ ｏ Ｓ  ． ２ ０ １ ６ ： ２０
－

２８ 

．

［
９ １
］ 分发信息 中 心 ［
Ｅ Ｂ ／Ｏ Ｌ ］
．  ｈ ｔｐ ｓ ： ／／ ｄ ｅ ｖ ｅｌ ｏ ｄ
ｐ ｅｒ ａｎ ｒｏ
ｉ ｄ ｃ ｏ ｍ ／ ａ ｂ ｏ ｕ ｔ ／ｄ ａ ｓ ｈ ｂ ｏ ａ ｒ ｄ ｓ ／ ｉ ｎ ｄ ｅ ｘ
． ｈｔｍ

 ． ．

１ ．

（
２ ０２０ ４ ６ ） － －



．

［
９２］ ＬＥＥ  Ｋ  Ｙ ＩＭ Ｋ
，

， Ｓ Ｅ Ｏ  Ｊ  Ｔ  Ｒ ａ ｎ ｓ ｏ ｍ ｗ ａｒ ｅ  ｐ ｒ ｅ ｖ ｅ ｎ ｔ
． ｉ ｏ ｎ  ｔ ｅ ｃ ｈ ｎ ｉ ｑ ｕ ｅ  ｕ ｓ ｉ ｎ ｇ  ｋ ｅ ｙ  ｂ ａ ｃ ｋ ｕ ｐ ［Ｊ ］ 

．

Ｃ ｏｎ ｃ ｕ ｒ ｒ ｅ ｎｃ ｙ  ａ ｎ ｄ Ｃ ｏ ｍｐ ｕ  ｔ ｉ ｏ ｎ  Ｐ ｒ ａ ｃ ｔ ｉ ｃ ｅ  ａ ｎ ｄ  Ｅ ｘ ｐ ｅｒ
ａｔ ： ｉ ｅｎ ｃ ｅ ，  ２０ １ ８ ， 
３ ０ （ ３ ） ｅ４３ ３ ７ ： 

．

［
９３ ］  ＫＯ Ｌ Ｏ Ｄ Ｅ Ｎ Ｋ Ｅ Ｒ  Ｅ ，  ＫＯ Ｃ Ｈ Ｗ  Ｓ Ｔ Ｒ Ｉ Ｎ Ｇ Ｈ Ｉ Ｎ Ｉ  Ｇ 
， ，  ｅｔ  ａ ｌ ．  Ｐ ａ ｙ ｂ ｒｅ ａ ｋ ：  Ｄ ｅ ｆｅ ｎ ｓ ｅ  ａ ｇ ａ ｉ ｎ ｓ ｔ

ｃｒ
ｙ ｐ ｔ ｏ ｇ ａｐ ｈ ｃ
ｒ ｉ  ｒ ａｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ ［ Ｃ ］ ／／ Ｐ ｒ ｏ ｃ ｅ ｅ ｄ ｉ ｎ ｇ ｓ  ｏ ｆ  ｔ ｈｅ ２ ０  １ ７  ＡＣ Ｍ  ｏｎ  Ａｓ ｉ ａ  Ｃ ｏｎ ｆｅ ｒｅ ｎ ｃ ｅ  ｏｎ



Ｃ ｏ ｍ ｐ ｕ ｔｅｒ ａ ｎ ｄ  Ｃ ｏ ｍ ｍ ｕ ｎ ｉ ｃ ａ ｔ ｉ ｏ ｎ ｓ  Ｓ ｅ ｃ ｕｒ ｉ ｔ ｙ  ２ ０ ７ ５ ９９ ６
－

 ． １ ： １ １ 

．

［
９４ ］  ＡＲ Ｐ  Ｄ ，  Ｓ Ｐ Ｒ Ｅ Ｉ Ｔ Ｚ ＥＮ Ｂ Ａ ＲＴ Ｈ  Ｍ ＨＵ Ｂ Ｎ Ｅ Ｒ Ｍ
，  
，  ｅ ｔ  ａ ｌ  Ｄ ｒｅ ｂ ｉ ｎ ． ：  Ｅ ｆ ｆｅ ｃ ｔ ｉ ｖ ｅ  ａ ｎ ｄ  ｅｘｐ ｌ ａｉ ｎ 

？

ａ ｂ ｌ ｅ  ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ  ｏ ｆ ａ ｎｄ ｒ ｏ ｉ ｄ  ｍ ａ ｌ ｗ ａ ｒ ｅ  ｉ ｎ 

 ｙ ｏｕｒ ｐ ｏ ｃ 
ｋｅ ｔ ．
 ［
Ｃ ］
／／ Ｎｄｓ ｓ ： ｖｏ ｌ ｕ ｍｅ １ ４ ． ２ ０１４ ： ２３
－

２６ 

．

［
９５ ］  Ｘｐｏ ｓｅ ｄ ［Ｅ Ｂ ／Ｏ Ｌ ］ ． ｈ ｔｔ
ｐ ｓ ＂ｒ ｅ ｐ ｏ ｘ ｐ ｏ ｓ ｅ ｄ ｉ ｎ ｆｏ ／ｍ ｏ ｄｕ ｌ ｅ ／ ｄ ｅ
： ． ． ｒｏ ｂ ｖ ． ａｎ ｄｒｏ ｉ ｄ ｘ ．

ｐｏｓｅ
ｄ ． ｉ ｎ ｓ ｔａ ｌ ｌ ｅ ｒ



（
２ ０２０ ４ ６ ） － －



．

［
９６］ 《 ２０ ２０ 年 中 国 互联 网 网 络 安 全 报 告 》 全 文 ［
Ｅ Ｂ ／ Ｏ Ｌ  ｈ ｔｐ ｓ ］
． ： ／／ ｗ ｗ ｗｊｏｈｕ ． ｅ ｏｍ ／ ａ ／４ ７ ８



８ ７０６７ ２ ２ ２４ ３ ６５ ２０ ２ ２ ３ ５）
－ －

１ １ １ ． 

．
． （

［
９７ ］ 王蕊 ？ ２０ １ ６ 年第
一

季 度 勒 索软 件 变 种 数量 增 加 １ ４％ ［
Ｊ］ ．
计算机与 网 络 ，
２０ １ ６ ， 
４２



（
１ ０） ５６ ５ ６
：
－



．

［
９８］  ２０２ 年 勒 索 软 件 演 变 新 趋 势
１
 ［
Ｅ Ｂ ／Ｏ Ｌ ］
．  ｈｔ ｔ
ｐｓ ： ／／ ｗｗｗ ． ｓ ｏ ｈｕ ｅ ｏ ｍ ／ ａ ／４ ７ ４ ． １ ２ ９ ９４０ ＿
１ ２ １ １ 

２

４３ ５ ９ ．

（
２０２ ２ －

３
－

１
）


．

［
９９ ］ 勒索 软 件 攻 击 在 
２ ０２０  年 第 三 季 度 激增 ［
Ｅ Ｂ ／Ｏ Ｌ ］ ． ｈ ｔｐ ｓ ： ／／ ｂ ａ ｉ
ｊ
ｉ ａｈ ａｏ ｂ ａｉ ｄ ｕ ｃ ｏ ｍ／ ｓ ？ ｉ ｄ ＝
．


．

６ ８ ６ ９ ２ ０ ２ ９ ２ ５ ４ ４ ２ ３ ０ ８ ９ ３ ＆ ｗ ￡ ｒ ＝ ｓ ｐ ｉ ｄ ｅ ｒ ＆ ｆｏ ｒ ＝ ｐ ｃ ２０２２ ３ ９）
－ －

１ ． 

．
（

１ ０８



参考文献



［
１ 〇〇 ］ 科技 云报道 ：
八 大 数据 趋 势 ， 看 清 企业 数字 化 挑 战 ［
Ｅ Ｂ ／ Ｏ Ｌ］ ．  ｈｔ
ｐｓ
： ／／ ｂ ａ ｉ
ｊ
ｉ ａ ｈ ａａ ｂ ａ



ｉ ｄｕ ｃ ｏ ｍ ／ ｓ ． ？ ｉ ｄ＝ １ ７ ２ ６ ２ ８ ７ ２ ７ ３ ４ ３ ５ ２ ３ ５ ２ ９ ２ ＆ ｗ ｆｒ ＝ ｓ ｐ ｉ ｄｅｒ ＆ ｆｏ ｒ ＝ ｐ ｃ ．
（
２ ０２ ２ －

３
－

３ ）


．

［
１ ０ １
］  Ｌ ｏ ｃ ｋｅ ｒ ｐ ｉ ｎ ［ Ｅ Ｂ ／ Ｏ Ｌ ］ ．  ｈｔ ｔ
ｐｓ ： ／／ ｔ ｈ ｅ ｈ ａｃ ｋｅ ｍ ｅ ｗ ｓ ｃ ｏ ｍ ／ ２ ０ ． １ ５ ／ ０ ９ ／ ａ ｎ ｄｒ ｏ ｉ ｄ －

ｌ ｏｃｋ
－

ｒ ａｎ ｓ ｏ ｍ ｗ ａｒｅ 

．

ｈｔ ｍｌ ．
（
２０ ２ ２ ４ － －

ｌ
）


．

１ ０ ２ ］  Ｄ ｏ ｕｂ ｌ ｅ ｌ ｏ ｃ ｋｅｒ  Ｉ ｎ ｎ ｏ ｖ ａｔ ｉ ｖ ｅ  ａ ｎ ｄ ｒ ｏ ｉ ｄ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ ［ Ｅ Ｂ ／ Ｏ Ｌ ］  ｈ ｔ ｔ ｓ ／／ ｗ ｗ ｗ ｗ ｅｌ ｉ ｖ ｅ ｓ ｅ ｃ ｕ ｒｉ ｔｙ
ｐ 

： ． ： ．
［

． ｃ ｏ ｍ ／２ ０ １ ７ ／ １ ０／ １ ３ ／ｄ ｏ ｕ ｂ ｌ ｅ ｌ ｏ ｃ ｋ ｅ ｒ
－

ｉ ｎｎｏ ｖ ａ ｔ ｉ ｖ ｅ ａ ｎｄ ｒ ｏ ｉ ｄ ｍ ａ ｌ ｗ ａ ｒ ｅ ／ － －

（
２０ ２ ２ ４ － －

ｌ
）


．

［
１ ０ ３ ］  Ａ ｎ ｄｒｏ ｉ ｄ  Ｎ 如 何 限 制 重置 密 码 以 遏制 勒 索软件 ［
Ｅ Ｂ ／Ｏ Ｌ ］
．  ｈ ｔｐ ： ／／ ｓ ｅ ｃ ｃ ｈｉ ｎ ａ ｂ ｙｔ ｅ／
． ．
（
２０



２０ －

１ ０ ２３ ） －



．

［
１ ｉ ｓ ｅ  ｏ ｆ  ａ ｎ ｄ ｒ ｏ ｉ ｄ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ ［ ＥＢ ／ Ｏ Ｌ ］  ｈ ｔ ｔｐ ｓ
０４ ］  Ｔ ｈ ｅ  ｒ ． ： ／／ ｗ ｗ ｗ ． ｗ ｅ ｌ ｉ ｖ ｅ ｓ ｅ ｃ ｕ ｒｉ ｔｙ ． ｃ ｏ ｍ／ｗ
ｐ
－

ｃ ｏ ｎｔ



ｅ ｎｔ／ｕｐ Ｉ ｏ ａｄ ｓ／ ２ ０ １ ６ ／０ ２ ／ Ｒ ｉ ｓ ｅ ＿
ｏｆ ＿
Ａ ｎｄ ｒ ｏ ｉ ｄ ＿
Ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒ ｅ ．

ｐ ｄｆ ．
（
２０ ２ ２ －

３
－

３ ０） 

．

［
１ ０ ５ ］  Ｋｏ ｌ ｅ ｒ ［ Ｅ Ｂ ／ Ｏ Ｌ ］ ．  ｈ ｔ ｔｐ ｓ ： ／／ ｗ ｗ ｗ ． ｖ
ｐ ｎｍ ｅ ｎ ｔ ｏ ｒ ｃ ｏ ｍ ／ ｂ ｌ ｏ ｇ／ ｈｉ ｓ ｔ ｏ ｒ ｙ ．
－

ｒａ ｎ ｓ ｏ ｍ ｗ ａｒｅ
－

ｔ ｈｒｅ ａ ｔ ｐ ａ ｓ ｔ ｐ ｒ


－
－

ｅ ｓ ｅ ｎｔ
－

 ａｎｄ
－

ｆｕ ｔ ｕ ｒｅ／ ．

 （
２ ０ ２２ －

３
－

９） 

．

［
１ ０ ６ ］  Ｋｏ ｌ ｅ ｒ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒｅ  ｕ ｓ ｉ ｎ
ｇ 
ｆａ ｋ ｅ  ａ ｄ ｕ ｌ ｔ
－

ｔ ｈ ｅ ｍ ｅ ｄ  ａｐｐ ｓ  ｔ ｏ  ｉ ｎ ｆｅｃ ｔ ｕ  ． ｓ ａ． ｎｄ ｒ ｏ ｉ ｄ  ｕ ｓ ｅ ｒ ｓ ［ Ｅ Ｂ ／ Ｏ Ｌ ］ 


．

ｈｔ ｔ ｐ ｓ ： ／／ ｗ ｗｗ ． ｔ ｉｐ ｗ
ｒ ｉ ｒｅ ｃ ｏ ｍ ／ ｓ ｔ ａｔ ｅ
．
－

 ｏｆ
－

 ｓｅｃ ｕｒｉ ｙ ／ ｌ ａｔ ｅ ｓ ｔ
ｔ
－

 ｓ ｅ ｃ ｕｒ ｉ ｔ
ｙ ｎｅｗ ｓ ／ ｋｏ ｌ ｅｒ
－


－

ｒ ａｎ ｓ ｏ ｍ ｗ ａ ｒｅ －

 

ｕ

ｓｉ ｎ ｇ ｆａ ｋ ｅ － －

ａｄ ｕ ｌ ｔ
－

ｔ ｈｅ ｍ ｅ ｄ ａｐ ｐ ｓ － －

ｉ ｎ ｆｅ ｃ ｔ ａ ｎ ｄ ｒ ｏ ｉ ｄ ｕ ｓ ｅ ｒ ｓ ／
－ －

．
（
２ ０２ ２ －

３
－

６） 

．

［
１ ０ ７ ］  Ｋ ｏ ｌ ｅｒ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ  ｃ ａ ｍ ｐ ａ ｉ ｇ ｎ  ｔ ａ ｒ ｇ ｅ ｔ ｓ  ｕ ． ｓ ．  ａｎ ｄｒｏ ｉ ｄ  ｕ ｓ ｅｒ ｓ ［ Ｅ Ｂ ／ Ｏ Ｌ ］ ， ｈｔ ｔ
ｐｓ ： ／／ ｗｗｗ ． ｓ 

ｅ

ｍ ａｇ ａ ｚ ｎ ｅ ｉ ． ｃ ｏ ｍ／ｎ ｅｗ
－

ｋ ｏ ｌ ｅｒ －

ｒａｎ ｓ ｏ ｍ ｗ ａｒｅ
－

ｃ ａｍ ｐ ａ ｉ ｇ ｎ
－

ｔ ａｒ
ｇ ｅ ｔ ｉ ｎｇ ｕ ｓ ｕ ｓ ｅ ｒ ｓ ／ ａｒ ｔ ｃ ｌ ｅ ／６ ７
ｉ
－ －

１ ２４ １ ／ 

．

（
２０ ２ ２ －

３
－

６） 

．

０ ８ ］  Ｋｏ ｌ ｅ ｒ  ＯＬ
５

ｍｏｂ ｅ  ｒ ａｎ ｓ ｏ ｍ ｗ ａ ｒｅ ［Ｅ Ｂ ／
５

 ｈｔ ｔ ｕ ｓ ａ ｋ ａ ｓ ｐ ｅ ｒ ｓ ｋｙ ｃ ｏｍ ／ ｒｅ ｓ ｏ ｕ ｒ ｃ ｅ ｃ
 ｐ ｏｌ ｃｅ 

－

１ ／／
ｐｓ
ｉ ｉｌ ． ： ． ．
［ ］

ｅ ｎ ｔ ｅ ｒ／ｔ ｈ ｒ ｅ ａｔ ｓ ／ ｋｏ ｌ ｅ ｒ ｒ ａｎ ｓ ｏ ｍｗ ａ ｒ ｅ ｖ ｉ ｒｕ ｓ ２０２２
ｐ ｏｌ ｉ ｃ ｅ ３ ５）
－ － － －
－

． 

．

０ ９ ］  Ｔｒｏｊ ａ ｎ ａ ｎ ｄ ｒ ｏ ｉ ｄ ／ ｋ ｏ ｌ ｅｒ ［ Ｅ Ｂ ／ Ｏ Ｌ ］  ｈｔ ｗ ｗｗ ｆ ｓ ｅ ｃ ｕｒ ｅ ｃ ｏ ｍ／ｖ ｄ ｅ ｓ ｃ ｓ／ ｔ ｒ ｏｊ ａ ｎ ａ ｎ ｄ ｒ ｏ ｉ ｄ ｋ ｏ ｌ ｅ


－
－

［
１ ： ． ｔ
ｐｓ ： ／／ ． ．

ｒ ｓ ｈｔ
． ｍｌ ．

（
２ ０２ ２
－

３ －

５） 

．

０ ］  Ｋｏ ｌ ｅｒ ｈ ｅ   ｐ ｏ ｌ ｉ ｃ ｅ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ ｆｏ ｒ ａ ｎ ｄ ｒ ｏ ｉ ｄ ［ Ｅ Ｂ ／ Ｏ Ｌ ］
５ ！

［
１ １
－

ｔ   ．  ｈｔ ｔ
ｐｓ ： ／／ ｋ ａ ｓ ｐ ｅ ｒ ｓ ｋ ｙ ｃ ｏ ｎ ｔｅ ｎ ｔ ｈｕｂ 

．

ｃ ｏ ｍ ／ ｓ ｅ ｃ ｕｒｅ ｌ ｉ ｓ ｔ ／ ｆ
ｉ ｌ ｅ ｓ ／２ ０ ４ ／０７ ／ ２ ０ １ ４ ０ ７ Ｋ ｏ ｌ ｅ ｒ ２０ ２ ２ ０）
ｐ ｄｆ ３
－ －

１ ． ． １ 

．
（

Ｎｅｗ ｒ ａ ｎ ｓ ｏｍｗ ａ ｒｅ  ｔ ａ ｒ
ｇ ｅ ｔｓ  ｍｏｂ ｉ ｌ ｅ ［Ｅ Ｂ ／Ｏ Ｌ ］  ｈｔ ｗ ｗ ｗ ｂ ａ ｎ ｋ ｉ ｎ ｆｏ ｓ ｅ ｃ ｕ ｒ
ｉ ｔ ｙ ｃ ｏｍ ／ ａ ６ ８ ６ ７

 － －

１ １ １  ／／
＾ｐ
． ： ． ．

［ ］

．
（
２０２ ２ －

１
－

１ ７） 

．

［
１ １ ２ ］ Ｓ ｖ
ｐ ｅ ｎ ｇ  ｂ ｅ ｈ ｉ ｎ ｄ  ａ  ｓ ｐ ｉ ｋｅ  ｉ ｎ  ｍ ｏ ｂ ｉ ｌ ｅ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ ［ Ｅ Ｂ ／ Ｏ Ｌ ］  ｈ ｔｐ ｓ ． ： ／／ｔ ｈ ｒ ｅ ａｔ ｐ ｏ ｓ ｔ ． ｃ ｏ ｍ／ ｓ ｖ
ｐ ｅｎ



ｇ ｂ ｅｈｉ ｎ ｄ ａ ｋｅ ｎ ｍ ｏｂ ｉ ｌ ｅ ｒ ａｎ ｓ ｏ ｍｗ ａ ｒ ｅ ／
－ － －

ｓ ｉ
－

ｉ
－
－

１ ２６５ ３ ３／ ２０２２ －

３
－

１ ６）
ｐ
． 

．
（

［
１ １ ３ ］ Ａ ｎ ｄｒｏ ｉ ｄ ． ｌ ｏ ｃ ｋ ｄｒｏ ｉ ｄ ｅ ［ Ｅ Ｂ ／ Ｏ Ｌ ］ ． ． ｈ ｔｔ
ｐｓ ： ／／ ｗｗｗ ． ｓ
ｙ ｍ ａｎ ｔ ｅ ｃ ｃ ｏ ｍ ／ ｓ ｅ ｃ ｕ ｒ
ｉ ｔｙ ．
＿
ｒｅ ｓ
ｐ ｏ ｎ ｓ ｅ／ ｗ ｒｉ ｔ ｅ ｕ



ｐ ？ｄｏ ｃ ｉ ｄ ２０
ｓ ＝ １ ４ －
１ ０ ３ ００５ －

２ ２０９ －

９９ ２０２２ －

２ －

１ ９）
ｐ 

．
． ．

ｊ （

１ ０９


北 京 邮 电 大 学 工 学 博 士 学 位论 文 



４ ］  Ｈ ｏ ｃ ｋｅ ｒ ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒ ｅ  Ｔ ｈｅ ａｔ ｔ ａ ｃ ｋ ｅ ｒ ｓ  ａ ｒ ｅ  ｕ ｓ ｉ ｎ ｏｃｋ ｓ ｍ ａｒｔ  ｔｖ ｓ Ｅ Ｂ ／Ｏ Ｌ
ｇ  ｈｉ ｓ ｍ ａｌ ｗ ａ ｒ ｅ ｏ
１ １  ：  ｔ   ｔ  ｌ  

．
［ ［ ］

ｈ ｔｔ ｗｗ ｗ ｃ ｙｂ ｅ ｒ ｉ ｎ ｔｅ ｌ ｌ ｉ ｇ ｅ ｎ ｃ ｅ ｎ／Ｄ ａｒｒ ｅ ｎ Ｃ ａ ｕ ｔｈ ｏ ｎ Ｌ Ｇ Ｓ ｍ ａｒｔ Ｔ Ｖ ＦＬ ｏ ｃ ｋ ｅ ｒ Ｒ ａ ｎ ｓ ｏ ｍ



－ － － －

ｐｓ
－ －

： ／／ ． ． ｉ

ｗａ ｒｅ －

Ａ ｔ ａ ｃｋ －

Ｓ ｏ ｌ ｕ ｔ ｉ ｏｎ ／ ．
（
２ ０２ ２ －

１
－

４） 

．

［
１ １ ５ ］ Ａ ｎ ｄｒｏ ｉ ｄ ． ｌ ｏ ｃ ｋ ｄ ｒｏ ｉ ｄ ｅ ［ Ｅ Ｂ ／ Ｏ Ｌ ］ ． ．  ｈ ｔｐ ｓ ： ／／ ｗ ｗ ｗ ｓ ．

ｙ ｍ ａｎ ｔ ｅｃ ｃ ｏ ｍ ／ ｓ ｅ ｃ ｕｒ
ｉｔｙ ．
＿
ｒｅ ｓ
ｐ ｏ ｎ ｓ ｅ／ｗ ｒ
ｉ ｔ ｅｕ



ｐ ．

ｊ
ｓ
ｐ ？ ｄｏｃｉ ｄ
＝２
０ １ ４ －

１ ０ ３ ０ ０ ５ ２２ ０ ９ ９ ９ ＆ ｔ ａｂ ｉ ｄ ＝ ２
－ －

．
（
２０ ２ ２ ３ － －

ｌ
）


．

［
１ １ ６ ］  Ｒ ｏ ｃ ｋ ｅｒ ｍ ｏｂ ｉ ｌ ｅ   ｒ ａｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ  ｃ ｒ ｏ ｓ ｓ ｅ ｓ  ｔ ｏ  ｓ ｍ ａｒ ｔ  ｔ ｖ ［
ＥＢ ／ Ｏ Ｌ ］
．  ｈｔ ｔ
ｐ ： ／／ ｂ ｌ ｏ
ｇ
． ｔｒ ｅ ｎｄ ｍ ｉ ｃ ｒ ｏ ｃ ｏ ｍ ／

 ．

ｔｒｅ ｎ ｄｌ ａｂ ｓ ｓ ｅ ｃ ｕｒｉ ｔ ｎ ｔｅｌ ｌ ｉ ｇ ｅ ｎ ｃ ｅ ／ ｆ ｏ ｃｋ ｅ ｒ ｒａ ｎ ｓ ｏ ｍ ｗ ａｒｅ ｃ ｒｏ ｓ ｓ ｅｓ ｓ ｍ ａｒ ｔ ｖ／ ２０２ ２ ５）

－
－ － － － － － －

ｔ ｌ
ｙ ｉ ｌ ． 

．
（

７ ］  Ｔｒ ｅ ｎ ｄ ｓ  ｉ ｎ  ａ ｎ ｄ ｒ ｏ ｉ ｄ  ｍ ａ ｌ ｗ ａ ｒ ｅ ［ Ｅ Ｂ ／ Ｏ Ｌ ］  ｈ ｔ ｔ ｗ ｗ ｗ ｗ ｅｌ ｉ ｖ ｅ ｓ ｅ ｃ ｕｒｉ ｔｙ ｃ ｏ ｍ ／ ｗ ｐ ｃ ｏ ｎ ｔ ｅｎｔ／ ｕｐ －

１ １
ｐｓ ／／


． ． ．
［
：

ｌ ｏ ａｄｓ ／ ２ ０ １ ７ ／０ ２ ／ Ｅ Ｓ Ｅ Ｔ ＿
Ｔ ｒｅ ｎ ｄ ｓ ＿
２０ １ ７ ＿
ｉ ｎ ＿
Ａ ｎ ｄｒ ｏ ｉ ｄ ＿
Ｒ ａｎ ｓ ｏ ｍ ｗ ａ ｒｅ ．

ｐｄｆ ．
（
２ ０２ ２ －

２ －

１ ０） 

．

［
１ １ ８］ Ａ ｎｄ ｒｏ ｉ ｄ  ｍ ａ ｌ ｗ ａｒｅ  ｕ ｓ ｅ ｓ  ｃ ｏ ｒ ｏ ｎ ａｖ ｉ ｒ ｕ ｓ  ｆｏ ｒ  ｓ ｅ ｘ ｔ ｏ ｒ ｔ ｉ ｏｎ  ａ ｎ ｄ  ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒｅ  ｃ ｏ ｍｂ ｏ ［ Ｅ Ｂ ／ Ｏ Ｌ ］ 

．

ｈｔ ｔ ｐ ｓ ： ／／ ｎ ａ ｋｅ ｄ ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙ ． ｓ ｏｐ ｈ ｏ ｓ ｃ ｏ ｍ ／ ２０ ２０／ ０ ３ ／ １ ８ ／ ａ ｎ ｄ ｒ ｏ ｉ ｄ ｍ ａ ｌ ｗ ａ ｒ ｅ ｕ ｓ ｅ ｓ
．
－ － －

ｃ ｏ ｒ ｏ ｎ ａｖ ｉ ｒ ｕ ｓ
－

ｆｏ ｒ



ｓ ｅｘ ｔ ｏｒ ｔ ｉ ｏ ｎ
－

ｒａｎ ｓ ｏ ｍ ｗ ａｒｅ
－

ｃ ｏ ｍ ｂ ｏ／ ．
（
２０２ ２ －

２ －

１ ０） 

．

［
１ １ ９ ］  Ｔ ｈ ｅ  ｅ ｖ ｏ ｌ ｕ ｔ ｉ ｏ ｎ  ｏ ｆ  ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒ ｅ ［ Ｅ Ｂ ／ Ｏ Ｌ ］ ．  ｈ ｔｐ ： ／／ ｗｗｗ ． ｓ
ｙｍ ａ ｎ ｔ ｅ ｃ ｃ ｏ ｍ ／ ｃ ｏｎｎ ｅ ｃ ｔ ／ ｓ ｙ ｍ ａ ｎ ｔ ｅ
． 


ｃ
－

ｂｌｏ ／ｓ ｒ ２ ０２０ －

８
－

６）
ｇｓ
． 

．
 （

２０ ］  ＩＣ ｓ ｎ ｒ ａ ｎ ｓ ｏ ｍｗ ａ ｒ ｅ  ｉ ｎ  ２ ０ ４ ２０ １ ６ ［ ＥＢ ／ Ｏ Ｌ ］  ｈ ｔ ｔ ｅ ｃ ｎ ｒ ｅ ｌ ｉ ｓ ｔ ｃ ｏ ｍ ／ ａ ｎ ａ ｌ ｙ ｓ ｉ ｓ ／ｐ ｕｂ ｌ
ｒｅ
ｐ ｏｒｔ
１ １ ／／ ｓ
－


ｐｓ 

  ． ： ．

８ ３ ／ｋｓ ｎ ｒａｎ ｓ ｏ ｍ ｗ ａｒｅ ｎ ２ ０ １ ４ ２ ０ １ ６／

ｃ ａｔ ｉ ｏ ｎ ｓ ／ ７ ５ ｒｅ
ｐ ｏ ｒ ｔ ｍ ｏｂ ｉ ｅ ２０２２ ２ ５）
－ － － －

１
－ － － －

ｉ ｌ ｉ ． １ 

．

 Ｎ ｅ ｗ  ａ ｎ ｄ ｒ ｏ ｉ ｄ  ｔ  ｒ ｏｊ ａ ｎ  ｘ ｂ ｏ ｔ  ｐ ｈ ｉ ｓ ｈ ｅ ｓ  ｃ ｒ ｅ ｄ ｉ ｔ  ｃ ａ ｒ ｄ ｓ  ａ ｎ ｄ  ｂ ａ ｎ ｋ  ａ ｃ ｃ ｏ ｕ ｎ ｔ ｓ
’ ’

１ ２ １  ｅ ｎ ｃ ｒｙ ｐｔ ｓ  ｄ ｅ


－

［ ］ ，

ｖ ｉ ｃ ｅ ｓ  ｆｏ ｒ  ｒ ａ ｎ ｓ ｏ ｍ ［ Ｅ Ｂ ／ Ｏ Ｌ ］ ．  ｈｔｐ ｓ ： ／／ｒ ｅ ｓ ｅ ａ ｒ ｃ ｈ ｃ ｅ ｎ ｔ ｅ ｒ ｐ ａ ｌ ｏ ａｌ ｔ ｏｎ ｅ ｔ ｗ ｏ ｒｋ ｓ ． ． ｃ ｏ ｍ／ ２ ０ １ ６／ ０ ２／ ｎ ｅ



ｗ ａ ｎ ｄｒｏ ｉ ｄ 加ｊ 如 ｘ ｂ ｏ ｔ ｐ ｈ ｙｐｔｓ ｄｅｖ ｉｃｅｓ 办

ｈ ｅ ｓ ｃ ｒｅ ｄ ｉ ｔ ｃ ａ ｒ ｄ ｓ ａ ｎｄ ｂ ａ ｎ ｋ ａｃ ｃ ｏｕｎ ｔ ｓ ｅ ｎ ｃ ｔ 

－ － － － － － －
－ － － －

ｉ ｓ

ｒ ｒ ａｎｓ ｏ ｍ／
－

．
（
２０２ ２ －

２ －

１ ４） 

．

２ ２ ］  Ａ ｎ ｄ ｒ ｏ ｉ ｄ ｗ ａ ｎ ｎ ａ ｌ ｏ ｃ ｋｅ ｒ ［ Ｅ Ｂ ／ Ｏ Ｌ ］
ｙ ｍ ａ ｎ ｔ ｅｃ ｃ ｏｍ ／ ｓ ｅ ｃ ｕ ｒ
ｉ ｔｙ
 ｈｔ ｔ ｗｗ ｗ
ｐｓ ｓ ｒｅ ｓ
ｐ ｏ ｎ ｓ ｅ ／ ｗｒ ｅｕ


１ ． ． ： ／／ ． ｉ ｔ
［
． 

ｐ
．

ｊ
ｓ
ｐ ？ ｄｏ ｃ ｉ ｄ
＝ ２０ １ ７ ０６ １ ３－

１ ４ ４ ８ ３ ９ ９ ９ ＆ ｔ ａｂ ｉ ｄ ＝ ２
－ －

（
２０２ ２ －

３
－

２） 

．

２ ３ ］  Ｍ ｉ ｘ  ｎ ｅ ｗ  ａ ｎｄ ｒ ｏ ｉ ｄ  ｅｘ ｐ ｏ ｓ ｅ  ｙ ｏ ｕｒ
７ ，

ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ  ｔ ｈ ｒｅ ａ ｔ ｅ ｎ ｓ  ｔ ｏ 
［
１ 
 ｐ ｏ ｍ  ｅ ｓ ｃ ａｐ ａ ｄ ｅ ｓ  ｔ ｏ  ｔ ｈ ｅ  ｆｂ ｉ



［
Ｅ Ｂ ／ Ｏ Ｌ  ｈ ｔ ｔｐ ｓ ］
． ： ／／ ｔ ｈ ｅ ｎ ｅ ｘ ｔ ｗ ｅ ｂ ． ｃ ｏ ｍ／ ｓ ｅ ｃ ｕｒ
ｉｔ ｙ ／ ２ ０ ２ ０／ ０４／ ２ ８ ／ ａ ｎ ｄｒ ｏ ｉ ｄ
－

ｒ ａｎ ｓ ｏ ｍ ｗ ａｒｅ
－

ｆｂ ｉ
－

ｐｏ



ｍ／ ．

（
２ ０ ２２ －

ｌ
－

１ ８） 

．

［
１ ２４ ］  Ｍ Ｃ Ｉ Ｎ Ｔ Ｏ Ｓ Ｈ  Ｔ ， 
Ｊ ＡＮＧ －

ＡＣ Ｃ Ａ Ｒ Ｄ
Ｊ  Ｊ ， 
ＷＡＴＴ Ｅ Ｒ Ｓ  Ｐ ｅｔ ，
 ａ ｌ  Ｔ ｈ ｅ  ｉ ｎ ａｄ ｅ ｑ ｕ ａ ｃ ｙ  ｏ ｆ ｅ ｎ ｔ ｒ ｏ ｐ ｙ
． 


－

ｂ ａ ｓ ｅ ｄ  ｒ ａ ｎ ｓ ｏ ｍ ｗ ａ ｒ ｅ  ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ ［ Ｃ ］ ／／ Ｉ ｎ ｔｅｍ ａ ｔ ｉ ｏ ｎ ａ ｌ  Ｃ ｏ ｎ ｆｅｒ ｅ ｎ ｃ ｅ  ｏｎ  Ｎ ｅ ｕ ｒ ａ ｌ  Ｉ ｎ ｆｏ ｒ ｍ ａ ｔ ｉ ｏ ｎ



Ｐｒｏ ｃ ｅ ｓ ｓ ｉ ｎｇ ． Ｓ
ｐ ｒ ｉ ｎ ｇ ｅ ｒ  ２０ ，
１ ９ １ ８ ： １
－

１ ８９ 

．

１ １ 

０