騰訊御安全之AI反病毒引擎白皮書

【關鍵詞：騰訊御安全，Android應用加固，應用安全，移動應用保護】

騰訊安全團隊聯合有關部門對色情詐騙、移動傳銷等網絡犯罪進行有效打擊，保障了億萬網民的信息與財產安全。

引言

2017年，《中華人民共和國網絡安全法》正式施行，網絡安全今後有法可依，網絡空間治理、網絡信息傳播秩序規範、網絡犯罪懲治等今後翻開新篇章，對保障我國網絡安全、維護國家整體安全具備深遠而重大的意義。在頂層設計的指導下，安全廠商也給網絡黑產帶來了沉重打擊。騰訊安全團隊聯合有關部門對色情詐騙、移動傳銷等網絡犯罪進行有效打擊，保障了億萬網民的信息與財產安全。

但值得警戒的是，網絡安全形勢依然嚴峻：WannaCry一晚上之間全球爆發，至少150個國家、20萬臺電腦受到感染，且其中企業、教育機構、銀行機構甚至政府機構爲重災區；WannaCry開啓了勒索病毒元年，攻擊者的目標將再也不盯準我的電腦，而是大規模侵佔教育機構、醫療機構、企業、銀行甚至政府部門的網絡設施，且攻擊方式更加粗暴有效——病毒再也不竊取資料以期變現，而是加密重要資料索要贖金。

與此同時，近年來被披露的APT攻擊活動越來越多，針對企業、銀行、政府機構等展開的有組織、有計劃、有針對性的長時間不間斷攻擊一直在悄無聲息的進行着；而隨着國內互聯網高速發展，中國的企業、政府機構將愈來愈多受國際關注，也將成爲APT攻擊對象。

2018年我國將正式啓動網絡強國建設三年行動，騰訊安全團隊也必將響應國家號召，將AI技術更多的應用在終端安全建設，網絡黑產打擊等方面，以更爲積極、開放式的心態，同企業、銀行、政府部門合做，共同建設健康、安全的互聯網生態，爲建設網絡強國貢獻力量。

1、Android病毒傳播加重傳統對抗方式挑戰

Android病毒在當下的傳播態勢正在加重傳統對抗方式的挑戰。2017年，Android平臺新增病毒、風險包樣本數達1494萬，感染用戶數1.88億，數量依然駭人。受感染的終端用戶中有近10%(1800 萬)用戶遭受0Day甚至NDay病毒威脅，致使隱私泄漏、財產受損。

另外一方面，2017年，黑產製做惡意代碼的技術水平持續提升，自動化免殺、惡意代碼動態下發、惡意行爲精準投放，產生大量0Day惡意代碼。與此同時，黑產企業化做案，色情APP、應用推廣成黑產「香餑餑」。而在色情APP詐騙後，「地下暗流」更是成爲黑產主流產業鏈。

隨着黑產從業者在技術能力縱深化、團隊模式企業化、變現渠道多樣化，Android終端病毒對抗加重，傳統反病毒引擎受到巨大挑戰。

1.1 病毒「效能」增大，傳統反病毒引擎難以提供實時保護

2017年每個月Android平臺新增病毒包數量平均爲124萬個，其中4月病毒包數量最多，達到170萬個；2017年4月，騰訊安全團隊前後協助武漢、大連、廣東警方，搗毀了3個大型公司化運營色情誘導詐騙團伙及其黑色產業鏈。此後新增病毒包數持續呈降低趨勢，證明聯合打擊活動起到必定效果。

然而值得注意的是，至犯罪團伙被打擊抓捕前，已有近百萬終端用戶受感染，被騙金額累計達6億。傳統殺毒引擎雖然能夠及時響應並查殺病毒，配合現有成熟的雲查技術更是能夠將響應時間下降至一天甚至數小時內，但響應再及時依然沒法阻止已感染用戶遭受病毒威脅，阻斷用戶隱私泄漏、財產損失。

2017年度，Android端感染病毒的用戶總數爲1.88億。其中騰訊手機管家首次檢出、查殺的、影響極大的「地下暗流」系列病毒，被安全人員發現時已感染超過千萬用戶；即，受病毒威脅用戶中，有10%左右用戶已遭受0Day或NDay病毒的威脅。

1.2 0Day病毒攻防技術提升，傳統引擎對抗捉襟見肘

2017年騰訊安全團隊共捕獲新增長固應用超過400萬個，其中7.2%爲惡意應用，16%爲含有廣告插件的非官方應用。黑產不斷提高惡意代碼免殺技術，經過自動化免殺工具、動態下發加載playload、雲控指令觸發惡意行爲等手段，製造大量0Day病毒繞過反病毒引擎查殺，給傳統殺毒引擎帶來了不小挑戰。

2017年全球黑客大會BlackHat USA上，知名黑客發佈自動化免殺工具AVPASS，任何黑客可經過此工具快速構造大量Android免殺病毒躲避傳統殺軟查殺。經過實驗證實傳統殺毒引擎對於經過AVPASS工具批量化製造的免殺病毒查殺率僅爲5.8%。

除此之以外，騰訊安全團隊還曾監測到，目前存在大量0Day病毒應用，經過精準的雲控惡意代碼投放，避免大範圍的通殺，有效作到大量用戶感染，躲避殺毒軟件查殺，精準惡意代碼觸發。

2017年騰訊安全團隊監測到一個現象：VirtualApp技術被普遍使用於黑產中，VirtualApp是一個App虛擬化引擎（簡稱VA），運行在VA中的APK無需在外部安裝，即VA支持免安裝運行APK。

根據騰訊安全團隊監測發現，目前使用VA技術的應用中，44.01%爲風險應用，1.85%爲病毒應用，僅8.86%爲安全應用。

1.3 黑產企業化做案，Android終端安全對抗加重

2017年，騰訊安全團隊陸續發現大量「地下暗流」系列病毒，這個系列病毒經過在用戶不知情的狀態下，暗中推送大量APP賺取廣告費，其推送的APP多爲主流推廣應用(投入大量廣告費用於推廣)和惡意應用。

騰訊安全團隊首次查殺此係列病毒時，已有累計近1000萬用戶感染此係列病毒，並已遭受隱私泄漏、資費消耗等威脅。 黑產逐步完成自身產業洗牌、升級，做案愈來愈企業化、高技術化，傳統反病毒引擎亟需提高對於0Day病毒的實時查殺、響應能力。

揭祕控制百萬肉雞的GhostFramework

今年9月，騰訊安全反詐騙實驗室發現一惡意後門程序GhostFramework已感染將近200萬手機用戶。中招的手機將成爲「肉雞」，被GhostFramework從雲端下發的控制命令執行三項做惡行爲：

1. 對百度搜索、360搜索、天貓、等廣告平臺經過模擬點擊廣告、模擬搜索、模擬表單填寫、下載等操做進行刷量
2. 對手機彈惡意推廣廣告
3. 對手機安裝不明應用

經過騰訊安全團隊對線索的溯源分析，GhostFramework感染區域高度彙集, 大部分的影響用戶都位於浙江省境內, 主要影響寧波、杭州、溫州、台州、嘉興、金華等地，根據多方面綜合信息，推測這些應用觸及用戶的渠道，主要在線下手機營業廳。

Magiclamp廣告病毒家族：寄生於應用市場的廣告牛皮蘚

無獨有偶，2017年11月騰訊安全反詐騙實驗室監測某黑產團伙開發一種有免殺功能的病毒性SDK, 這種名叫Magiclamp廣告病毒經過和開發者合做、重打包等方式植入到大量應用中, 經過應用市場、軟件下載站等渠道被用戶下載安裝，主要的危害是對用戶進行惡意廣告推廣，並以此方式盈利。

地下暗流系列：TigerEyeing病毒雲控推廣上千應用

2017年12月，騰訊安全反詐騙實驗室經過自研AI引擎——騰訊TRP-AI反病毒引擎從海量樣本中監測到一個後門病毒家族TigerEyeing，經過開源插件框架DroidPlugin來實現惡意插件動態下發，經過雲端配置惡意插件列表來實現應用惡意推廣、流氓廣告等行爲。

經過AI聚類關聯發現，TigerEyeing病毒主要經過如下方式進行傳播： 遊戲、僞色情應用等root類病毒注入系統rom內 假裝成系統應用並經過線下渠道進行推廣

1.4 鎖屏勒索病毒成黑客亞文化，引青少年入歧途

雖然2017年，Android終端勒索病毒樣本數量與感染用戶數並未達到駭人的地步，但其帶來的社會影響卻十分惡劣。

經過對勒索病毒樣本開發者進行溯源能夠發現，勒索病毒開發者創建了各類QQ羣、興趣部落，這些QQ羣一方面做爲解鎖贖金收取渠道，另外一方面羣內還經過百度雲、貼吧等方式售賣鎖機源碼、教程、插件、教學視頻，傳播勒索病毒。

受害者加入羣以後，每每被誘惑成爲黑產下線，利用羣內兜售的教程向他人發起二次攻擊，轉變爲「菜鳥黑客」，進一步擴大病毒的傳播範圍，影響惡劣。其中00後、90後等學生是被誘惑的主體對象，青少年每每因感受「黑客」很酷、勒索病毒「很牛」而向製做者「拜師學藝」，成爲下一個病毒製做者。

當前市面在傳播中的移動終端勒索病毒，其開發、免殺技術都十分稚嫩，感染人羣也十分有限；但其造成的「黑客」亞文化對青少年的價值觀、道德觀有嚴重的誤導能力，引誘一批批青少年成爲以勒索他人、炫耀「黑客」技術爲榮的黑產下線，帶來了極其惡劣的社會影響。

1.5 商業間諜軟件橫行，嚴重威脅企業和國家安全

移動智能終端已成爲人們生活、工做中必不可少的部分，移動辦公也被愈來愈多互聯網公司接受並逐步施行。而攻擊者的目光也盯上了企業員工的移動設備。

2017年4月，卡巴斯基披露了一款跨iOS和Android平臺的商業間諜軟件——Pegasus。Pegasus出自專門開發間諜軟件的以色列公司——NSO集團之手，利用三個iOS 0Day漏洞靜默越獄目標設備並監控目標設備：讀取短信、郵件、監聽電話、捕捉屏幕、記錄按鍵、竊取瀏覽器歷史記錄、通信錄等。而在Android設備上則使用Framaroot獲取root權限，全天候監控目標設備。

2017年12月，趨勢科技的安全研究人員發現一款新型移動惡意軟件「GnatSpy」，據分析推測該惡意軟件與臭名昭著的威脅組織APT-C-23（「雙尾蠍」）有關。研究人員認爲，GnatSpy是「雙尾蠍」經常使用的VAMP移動惡意軟件的變種，且比VAMP更加危險。2016年 5月至2017年3月，「雙尾蠍」組織瞄準中東地區，對巴勒斯坦教育機構、軍事機構等重要領域展開了有組織、有計劃、有針對性的長時間不間斷攻擊，攻擊平臺主要包括Windows 與 Android。

商業間諜軟件每每具備更高的技術水平、更長的研發週期、更完善的間諜功能，其所面向的客戶每每爲商業間諜甚至國家間諜；攻擊者每每不吝於花高額的軟件費，將商業間諜軟件用於企業間、組織間甚至國家間的間諜活動。

隨着移動設備愈來愈多參與到企業辦公網絡甚至內網中，而移動設備每每難以明確劃分員工我的生活與辦公的邊界，使得商業甚至國家級的APT活動更多的開始利用移動設備做爲突破口。

面對商業間諜軟件的橫行，企業、重點機構乃至政府部門急需更爲完善、有效、安全的反APT安全解決方案。

2、下一代反病毒引擎勢在必行

隨着當前病毒大量使用免殺、加固、動態加載等技術，同時經過大規模的公司化、企業化運做躲避安全廠商查殺，惡意代碼每每經過雲端進行定時、定向、可控的下發傳播，執行完惡意行爲後即潛伏下來等待下一次指令(更有甚者會刪除自身)。

傳統反病毒引擎應對方案逐漸捉襟見肘，愈來愈多響應不及時、難以及時止損、0Day病毒發現難等問題擺在反病毒引擎運營人員面前。安全廠商亟需利用新的技術或解決方案突破當前反病毒困局。

2.1 當前傳統反病毒引擎困局

傳統反病毒引擎應對策略大體流程以下：

從上圖能夠看到，傳統反病毒引擎要查殺某病毒，首先必須經過主動或被動的採集方式(網絡爬蟲、蜜罐、業內樣本交換、用戶上報等方式)獲取病毒樣本，而後利用已有的安全運營人員和系統對病毒樣本進行細緻化的代碼逆向分析、動態行爲分析，瞭解病毒的運行機制與做案原理後，安全運營人員會提取特徵碼或設定病毒查殺策略下發至反病毒引擎的特徵庫中，至此，傳統反病毒引擎便可對病毒進行查殺。

當前大部分反病毒引擎經過引入雲查模式來優化流程，下降響應時長，但依然是傳統反病毒引擎的應對模式，僅能作到儘可能下降響應時長，而未能跳出傳統反病毒引擎固有模式。

而隨着當前病毒攻防技術的提升，自動化免殺工具、payload動態下發、加載技術的使用，使得「0Day」病毒愈來愈多，樣本捕獲難度高(捕獲週期長、捕獲渠道少)、逆向/動態分析對抗嚴重，形成當前傳統反病毒引擎捕獲難、分析成本高的困局。 傳統反病毒引擎在與當前病毒對抗中，從人力、終端權限、攻防戰術站位上均處於劣勢，這也是安全廠商亟需解決的反病毒引擎困局。

(攻擊方自然優點——攻擊者可經過各類手段，從各個入口，只要找到一個薄弱點對其進行攻擊便可達到目的，而防守方則須要考慮到方方面面，稍有疏忽則會被攻擊者抓住漏洞。)

2.2 下一代引擎：實時行爲檢測—抗免殺、實時響應

當前黑產經過企業化做案，利用完善的自動化免殺、動態下發、加載甚至VA等技術，提高惡意代碼的隱藏能力，延長了傳統反病毒引擎的響應窗口期，在窗口期快速感染大量用戶，並遠程控制用戶終端設備多渠道、多方式的進行快速變現。

下一代反病毒引擎必將經過技術手段彌補傳統反病毒引擎的不足，經過實時的敏感行爲檢測技術，實時監測未知應用的敏感後臺操做，結合已知病毒行爲知識庫，對病毒行爲進行跟蹤與預測，對未知應用的惡意操做作到監測、預測、感知與阻斷。

經過實時行爲檢測技術，下一代反病毒引擎必然能夠對0Day病毒、自動化免殺病毒、動態下發&加載型病毒進行實時監測與惡意行爲阻斷，0s響應時間保護用戶終端安全。

2.3 下一代引擎：AI反病毒—更智能、泛化

2017 年無疑是 AI 蓬勃發展的一年。當前，AI技術在語音、圖像、人機交互等領域取得了巨大成就，甚至AI在黑產領域也獲得了「有效」應用——國內最大打碼平臺「快啊答題」利用AI破解登陸驗證碼。

而在移動互聯網終端上，AI的發展也十分快速： 2017-12-5 Android 8.1 神經網絡API支持TensorFlow，Caffe2 2017-12-7 高通驍龍845，加速SNPE神經網絡引擎SDK 2017-9-6 華爲麒麟970芯片推出AI計算單元 NPU 2018年 Q1 聯發科和三星也即將推出AI智能芯片

隨着愈來愈多終端設備支持AI計算，AI將愈來愈普遍的應用於終端設備的圖像識別、語音識別、天然語言處理等場景。

同時，下一代反病毒引擎也將把AI應用於終端安全場景，利用AI技術實現更加智能化的病毒對抗；經過機器深度學習，下一代引擎將保持持續的自學習自適應能力，自動化、智能化跟進病毒的行爲演進，並快病毒一步的進行病毒行爲預測和識別、阻斷。

3、騰訊TRP—AI反病毒引擎解決方案

傳統引擎響應時間成爲當前惡意代碼突破口，大量惡意代碼經過自動化免殺、加固、動態下發惡意代碼、雲控指令繞過反病毒引擎查殺，並在傳統反病毒引擎發現至響應的空白窗口時間內進行做惡，這個窗口期越長，給用戶帶來的危害越大。

雖然經過成熟的雲查反病毒技術能夠儘可能縮減此窗口期，但窗口期依然存在，這就須要安全廠商升級反病毒引擎，提供一個實時響應、抗免殺技術強、非樣本庫依賴的更加智能的反病毒引擎。

騰訊安全團隊爲應對將來嚴峻的安全挑戰，配合騰訊高度成熟的AI技術，基於AI芯片的獨立計算能力，自主研發了AI反病毒引擎——騰訊TRP-AI反病毒引擎，經過成熟的AI技術對應用行爲的深度學習，配合系統層的行爲監控能力，基於AI芯片的獨立、高效的計算能力，配合傳統安全引擎，有效解決未知應用所帶來的安全風險，實時識別並阻斷惡意行爲，作到低功耗、高智能的實時終端安全防禦。

3.1 騰訊TRP-AI反病毒引擎架構簡介

騰訊TRP-AI反病毒引擎，是基於Tencent AI Lab先進的AI應用場景研究，結合騰訊安全團隊長期對Android平臺惡意代碼檢測、對抗的工做經驗，設計的實時行爲監測、抗免殺技術強、深度學習的AI反病毒引擎。

經過簡單的集成，騰訊TRP-AI反病毒引擎便可經過framework層監控樁點對應用敏感行爲進行監控，並將行爲數據脫敏構形成行爲序列；利用騰訊先進的AI反病毒模型，基於AI芯片的計算能力進行獨立、安全的反病毒檢測，判斷應用行爲是否惡意；前端經過安全應用進行結果展現和用戶受權交互，可及時阻斷惡意行爲，卸載惡意應用，爲用戶提供實時安全防禦。

雲端搭建大量集羣用於沙箱體系構造、海量樣本行爲提取、深度學習，實時訓練生成最新的AI模型用以保障前端用戶AI引擎的模型更新；同時，爲減輕終端設備計算壓力，騰訊TRP-AI反病毒引擎同時支持行爲向量安全雲查服務，利用雲端集羣計算能力保障前端響應的實時性和低計算壓力。

騰訊TRP-AI反病毒引擎具備以下特性：  基於真實運行行爲，無需收集樣本，便可查殺未知病毒  基於系統層監控，從底層有效對抗免殺技術  終端行爲實時不間斷監控，精準查殺潛伏木馬，防止隱私竊取  AI模型雲端訓練，終端藉助AI芯片檢測，低CPU消耗、低時延、省流量  基於神經網絡的AI模型，訓練過程徹底自動化，運營成本大大下降，發現未知病毒的週期大大縮短

3.2 騰訊TRP-AI反病毒引擎集成方案及檢測效果

騰訊TRP-AI反病毒引擎集成的工做量不大。騰訊將向合做方提供完整的樁點列表和SDK接口說明，合做方(OEM廠商)開發人員僅需參照列表在framework層打上樁點，和AI引擎對接上便可，其他全部組件都由騰訊以SDK的形式提供。

相較於傳統引擎，騰訊TRP-AI反病毒引擎具備抗免殺、高性能、實時防禦、可檢測0Day病毒等優點，騰訊TRP-AI反病毒引擎測試數據以下： 病毒檢測的覆蓋率90% 病毒檢測準確率98% 病毒發現能力提高8% 病毒發現速度提高12% 病毒發現快於病毒傳播的佔比提高到92% 檢測耗時30ms，遠低於傳統引擎的100~200ms 平均性能消耗保障對設備使用體驗零影響

關於騰訊安全反詐騙實驗室

騰訊安全反詐騙實驗室系中國首個安全實驗室矩陣——騰訊安全聯合實驗室旗下的子實驗室之一，與科恩實驗室、玄武實驗室、湛瀘實驗室、雲鼎實驗室、反病毒實驗室、移動安全實驗室，共同組成體系性的安全解決方案，專一安全技術研究及安全攻防體系搭建，安全防範和保障範圍覆蓋了鏈接、系統、應用、信息、設備、雲六大互聯網關鍵領域。

其中，騰訊御安全專一於我的和企業移動應用開發者的應用安全服務，擁有豐富的漏洞特徵與病毒庫，可以全面覆蓋已知漏洞，可對99%的應用進行漏洞風險掃描；同時，應用加固服務具備防篡改、防逆向、防調試功能，應用在加固發佈後，有效防止應用被二次打包，不被攻擊。

做爲聯合業界一塊兒基於大數據的方法，構建基於終端、管道和雲端全覆蓋的創新黑產分析和阻擊模式的研究中心，騰訊安全反詐騙實驗室目前以安全雲庫，智能反詐騙引擎，反詐騙專家智庫三大核心利器守護網絡安全。

不斷深耕安全能力的同時，騰訊安全反詐騙實驗秉承開放、聯合、共享持續賦能社會各界。在剛剛過去的2017年中，騰訊安全反詐騙實驗室前後與國家食藥總局、國家工商總局、北京市金融工做局、深圳市金融辦達成戰略合做，共同探索政企合做打擊黑產模式，並建立互聯網食藥大數據監管指數平臺、網絡傳銷態勢感知平臺、大數據金融安全監管科技平臺，協助國家政府職能機構提高在食藥安全、反傳銷、反金融欺詐等領域的監管能力。

同時爲了更加高效地打擊越來越「產業化、智能化、國際化」的網絡犯罪，騰訊安全反詐騙實驗室經過靈鯤、神偵、網絡態勢感知、鷹眼、麒麟、神羊、神荼等十餘款反詐騙產品共同組建而成的反詐騙智慧大腦，構建了全鏈條的防禦體系，可以在詐騙的事前、事中以及案情分析等關鍵環節起到做用,爲警方以及金融、食品藥監、通信等監管部門提供了全方位的人工智能+大數據反詐騙體系。