一些笔记，名词基本都是自翻
DroidRanger：第一个系统的研究官方和非官方市场的软件。
最广泛的 使用两种模式
1.permission-based behavior footprinting scheme（基于权限的行为足迹匹配）
从已知的安卓恶意程序家族中检测到新的样本。
2.heuristics-based filtering scheme（基于启发式的过滤模式）
用于确定未知的恶意程序。
设计上：
KEY：accuracy，scalability，efficiency（准确性，可扩展性，有效性）
2.1
1）基于权限 permission-based filtering
选择过滤权限时要从基本的基础库里选择，不然容易发生误判。
e.g. ZSone
send SMS messages 为了隐藏消息，提供保险号码给恶意方，引起用户的财产损失，监控消息并移除账单提醒。
在Android下，需要SEND_SMS and RECEIVE_SME两个权限。
2）行为匹配 behavior footprinting matching
行为特征：i>manifest里注册的组件及其目的
ii>特定组件的代码解析，提取API调用序列
iii>代码结构布局
e.g. ZSone
①监听。a receiver
②发送信息给“10621900”etc. 泄漏信息
③拦截短信。“10086”etc. 拦截账单提醒
2.2
1）基于启发式的过滤 heuristics-based filtering
i>从远程未可信网站上动态下载Java二进制代码。
DexClassLoader 下载文件.apk .jar 广告库
Plankton spyware
ii>从本地动态下载原代码（native code）
DroidKungFu 在非默认路径里加载本地代码执行提取代码。
2）动态执行的监测 dynamic excution monitoring
i>对动态加载的jar和dex记录其API调用及参数
SendTextMessage
ii>对动态加载的native code 记录其发生的敏感系统调用
sys_mount
人工对这些日志进行分析。
3.评估
发现Plankton 下载jar文件前，会将一些权限通过远程服务器赋予app。