Android-детекторы ошибочно признали вредоносными до 80% безопасных приложений

Исследователи из Сингапурского университета менеджмента и Нанькайского университета представили PRAXIS - систему анализа Android-приложений, которая оценивает не только разрешения и API-вызовы, но и реальное поведение программы.

PRAXIS сначала формирует гипотезу о потенциально опасном действии, затем ищет подтверждение в коде и оценивает контекст. Например, отправка SMS может быть нормальной функцией мессенджера, но становится подозрительной, если выполняется скрытно и не связана с назначением приложения.

Систему проверили на 1033 приложениях. В выборку вошли 600 программ 2024-2026 годов, вредоносы из 163 семейств и 270 безопасных приложений из 49 категорий Google Play. Каждое безопасное приложение запрашивало не менее девяти опасных разрешений.

Шесть сравниваемых детекторов ошибочно признали вредоносными от 54,1% до 80% приложений из безопасной выборки. У PRAXIS доля ложных срабатываний составила 13%. В отдельном эксперименте версия системы без анализа контекста пропустила 95,3% вредоносов, что показало критическую роль пользовательского сценария и назначения программы.

Общий F1-score PRAXIS достиг 87,4%, тогда как результаты других решений находились в диапазоне от 52,6% до 68,8%. При определении конкретных вредоносных действий система показала точность 94,8% и F1-score 87,3%.

Среди ограничений авторы исследования называют код, загружаемый после запуска, и сторонние SDK, внутреннюю работу которых статический анализ не видит. PRAXIS пока остается исследовательским прототипом, а публикация не прошла независимое рецензирование.