腾讯御安全之AI反病毒引擎白皮书

腾讯御安全之AI反病毒引擎白皮书

【关键词：腾讯御安全，Android应用加固，应用安全，移动应用保护】

腾讯安全团队联合有关部门对×××诈骗、移动传销等网络犯罪进行有效打击，保障了亿万网民的信息与财产安全。

引言

2017年，《×××网络安全法》正式施行，网络安全从此有法可依，网络空间治理、网络信息传播秩序规范、网络犯罪惩治等从此翻开新篇章，对保障我国网络安全、维护国家总体安全具有深远而重大的意义。在顶层设计的指导下，安全厂商也给网络黑产带来了沉重打击。腾讯安全团队联合有关部门对×××诈骗、移动传销等网络犯罪进行有效打击，保障了亿万网民的信息与财产安全。

但值得警惕的是，网络安全形势依然严峻：WannaCry一夜之间全球爆发，至少150个国家、20万台电脑受到感染，且其中企业、教育机构、银行机构甚至政府机构为重灾区；WannaCry开启了勒索病毒元年，***者的目标将不再盯准个人电脑，而是大规模侵占教育机构、医疗机构、企业、银行甚至政府部门的网络设施，且***方式更加粗暴有效——病毒不再窃取资料以期变现，而是加密重要资料索要赎金。

与此同时，近年来被披露的APT***活动愈来愈多，针对企业、银行、政府机构等展开的有组织、有计划、有针对性的长时间不间断***一直在悄无声息的进行着；而随着国内互联网高速发展，中国的企业、政府机构将越来越多受国际关注，也将成为APT***对象。

2018年我国将正式启动网络强国建设三年行动，腾讯安全团队也必将响应国家号召，将AI技术更多的应用在终端安全建设，网络黑产打击等方面，以更为积极、开放式的心态，同企业、银行、政府部门合作，共同建设健康、安全的互联网生态，为建设网络强国贡献力量。

一、Android病毒传播加剧传统对抗方式挑战

Android病毒在当下的传播态势正在加剧传统对抗方式的挑战。2017年，Android平台新增病毒、风险包样本数达1494万，感染用户数1.88亿，数量依然骇人。受感染的终端用户中有近10%(1800 万)用户遭受0Day甚至NDay病毒威胁，导致隐私泄漏、财产受损。

另一方面，2017年，黑产制作恶意代码的技术水平持续提高，自动化免杀、恶意代码动态下发、恶意行为精准投放，产生大量0Day恶意代码。与此同时，黑产企业化作案，×××APP、应用推广成黑产“香饽饽”。而在×××APP诈骗后，“地下暗流”更是成为黑产主流产业链。

随着黑产从业者在技术能力纵深化、团队模式企业化、变现渠道多样化，Android终端病毒对抗加剧，传统反病毒引擎受到巨大挑战。

1.1 病毒“效能”增大，传统反病毒引擎难以提供实时保护

2017年每月Android平台新增病毒包数量平均为124万个，其中4月病毒包数量最多，达到170万个；2017年4月，腾讯安全团队先后协助武汉、大连、广东警方，捣毁了3个大型公司化运营×××诱导诈骗团伙及其黑色产业链。此后新增病毒包数持续呈下降趋势，证实联合打击活动起到一定效果。

然而值得注意的是，至犯罪团伙被打击抓捕前，已有近百万终端用户受感染，被骗金额累计达6亿。传统杀毒引擎虽然可以及时响应并查杀病毒，配合现有成熟的云查技术更是可以将响应时间降低至一天甚至数小时内，但响应再及时依然无法阻止已感染用户遭受病毒威胁，阻断用户隐私泄漏、财产损失。

2017年度，Android端感染病毒的用户总数为1.88亿。其中腾讯手机管家首次检出、查杀的、影响极大的“地下暗流”系列病毒，被安全人员发现时已感染超过千万用户；即，受病毒威胁用户中，有10%左右用户已遭受0Day或NDay病毒的威胁。

1.2 0Day病毒***技术提高，传统引擎对抗捉襟见肘

2017年腾讯安全团队共捕获新增加固应用超过400万个，其中7.2%为恶意应用，16%为含有广告插件的非官方应用。黑产不断提升恶意代码免杀技术，通过自动化免杀工具、动态下发加载playload、云控指令触发恶意行为等手段，制造大量0Day病毒绕过反病毒引擎查杀，给传统杀毒引擎带来了不小挑战。

2017年全球***大会BlackHat USA上，知名***发布自动化免杀工具AVPASS，任何***可通过此工具快速构造大量Android免杀病毒躲避传统杀软查杀。通过实验证明传统杀毒引擎对于通过AVPASS工具批量化制造的免杀病毒查杀率仅为5.8%。

除此之之外，腾讯安全团队还曾监测到，目前存在大量0Day病毒应用，通过精准的云控恶意代码投放，避免大范围的通杀，有效做到大量用户感染，躲避杀毒软件查杀，精准恶意代码触发。

2017年腾讯安全团队监测到一个现象：VirtualApp技术被广泛使用于黑产中，VirtualApp是一个App虚拟化引擎（简称VA），运行在VA中的APK无需在外部安装，即VA支持免安装运行APK。

根据腾讯安全团队监测发现，目前使用VA技术的应用中，44.01%为风险应用，1.85%为病毒应用，仅8.86%为安全应用。

1.3 黑产企业化作案，Android终端安全对抗加剧

2017年，腾讯安全团队陆续发现大量“地下暗流”系列病毒，这个系列病毒通过在用户不知情的状态下，暗中推送大量APP赚取广告费，其推送的APP多为主流推广应用(投入大量广告费用于推广)和恶意应用。

腾讯安全团队首次查杀此系列病毒时，已有累计近1000万用户感染此系列病毒，并已遭受隐私泄漏、资费消耗等威胁。
黑产逐步完成自身产业洗牌、升级，作案越来越企业化、高技术化，传统反病毒引擎亟需提升对于0Day病毒的实时查杀、响应能力。

揭秘控制百万肉鸡的GhostFramework

今年9月，腾讯安全反诈骗实验室发现一恶意后门程序GhostFramework已感染将近200万手机用户。中招的手机将成为“肉鸡”，被GhostFramework从云端下发的控制命令执行三项作恶行为：

1. 对百度搜索、360搜索、天猫、等广告平台通过模拟点击广告、模拟搜索、模拟表单填写、下载等操作进行刷量
2. 对手机弹恶意推广广告
3. 对手机安装不明应用

通过腾讯安全团队对线索的溯源分析，GhostFramework感染区域高度聚集, 大部分的影响用户都位于浙江省境内, 主要影响宁波、杭州、温州、台州、嘉兴、金华等地，根据多方面综合信息，推测这些应用触及用户的渠道，主要在线下手机营业厅。

Magiclamp广告病毒家族：寄生于应用市场的广告牛皮藓

无独有偶，2017年11月腾讯安全反诈骗实验室监测某黑产团伙开发一种有免杀功能的病毒性SDK, 这种名叫Magiclamp广告病毒通过和开发者合作、重打包等方式植入到大量应用中, 通过应用市场、软件下载站等渠道被用户下载安装，主要的危害是对用户进行恶意广告推广，并以此方式盈利。

地下暗流系列：TigerEyeing病毒云控推广上千应用

2017年12月，腾讯安全反诈骗实验室通过自研AI引擎——腾讯TRP-AI反病毒引擎从海量样本中监测到一个后门病毒家族TigerEyeing，通过开源插件框架DroidPlugin来实现恶意插件动态下发，通过云端配置恶意插件列表来实现应用恶意推广、流氓广告等行为。

通过AI聚类关联发现，TigerEyeing病毒主要通过以下方式进行传播：
游戏、伪×××应用等root类病毒注入系统rom内
伪装成系统应用并通过线下渠道进行推广

1.4 锁屏勒索病毒成***亚文化，引青少年入歧途

虽然2017年，Android终端勒索病毒样本数量与感染用户数并未达到骇人的地步，但其带来的社会影响却十分恶劣。

通过对勒索病毒样本开发者进行溯源可以发现，勒索病毒开发者建立了各种QQ群、兴趣部落，这些QQ群一方面作为解锁赎金收取渠道，另一方面群内还通过百度云、贴吧等方式售卖锁机源码、教程、插件、教学视频，传播勒索病毒。

受害者加入群之后，往往被诱惑成为黑产下线，利用群内兜售的教程向他人发起二次***，转变为“菜鸟***”，进一步扩大病毒的传播范围，影响恶劣。其中00后、90后等学生是被诱惑的主体对象，青少年往往因感觉“***”很酷、勒索病毒“很牛”而向制作者“拜师学艺”，成为下一个病毒制作者。

当前市面在传播中的移动终端勒索病毒，其开发、免杀技术都十分稚嫩，感染人群也十分有限；但其形成的“***”亚文化对青少年的价值观、道德观有严重的误导能力，引诱一批批青少年成为以勒索他人、炫耀“***”技术为荣的黑产下线，带来了极其恶劣的社会影响。

1.5 商业间谍软件横行，严重威胁企业和国家安全

移动智能终端已成为人们生活、工作中必不可少的部分，移动办公也被越来越多互联网公司接受并逐步施行。而***者的目光也盯上了企业员工的移动设备。

2017年4月，卡巴斯基披露了一款跨iOS和Android平台的商业间谍软件——Pegasus。Pegasus出自专门开发间谍软件的以色列公司——NSO集团之手，利用三个iOS 0Day漏洞静默越狱目标设备并监控目标设备：读取短信、邮件、监听电话、捕捉屏幕、记录按键、窃取浏览器历史记录、通讯录等。而在Android设备上则使用Framaroot获取root权限，全天候监控目标设备。

2017年12月，趋势科技的安全研究人员发现一款新型移动恶意软件“GnatSpy”，据分析推测该恶意软件与臭名昭著的威胁组织APT-C-23（“双尾蝎”）有关。研究人员认为，GnatSpy是“双尾蝎”常用的VAMP移动恶意软件的变种，且比VAMP更加危险。2016年 5月至2017年3月，“双尾蝎”组织瞄准中东地区，对巴勒斯坦教育机构、军事机构等重要领域展开了有组织、有计划、有针对性的长时间不间断***，***平台主要包括Windows 与 Android。

商业间谍软件往往具有更高的技术水平、更长的研发周期、更完善的间谍功能，其所面向的客户往往为商业间谍甚至国家间谍；***者往往不吝于花高额的软件费，将商业间谍软件用于企业间、组织间甚至国家间的间谍活动。

随着移动设备越来越多参与到企业办公网络甚至内网中，而移动设备往往难以明确划分员工个人生活与办公的边界，使得商业甚至国家级的APT活动更多的开始利用移动设备作为突破口。

面对商业间谍软件的横行，企业、重点机构乃至政府部门急需更为完善、有效、安全的反APT安全解决方案。

二、下一代反病毒引擎势在必行

随着当前病毒大量使用免杀、加固、动态加载等技术，同时通过大规模的公司化、企业化运作躲避安全厂商查杀，恶意代码往往通过云端进行定时、定向、可控的下发传播，执行完恶意行为后即潜伏下来等待下一次指令(更有甚者会删除自身)。

传统反病毒引擎应对方案逐渐捉襟见肘，越来越多响应不及时、难以及时止损、0Day病毒发现难等问题摆在反病毒引擎运营人员面前。安全厂商亟需利用新的技术或解决方案突破当前反病毒困局。

2.1 当前传统反病毒引擎困局

传统反病毒引擎应对策略大致流程如下：

从上图可以看到，传统反病毒引擎要查杀某病毒，首先必须通过主动或被动的采集方式(网络爬虫、蜜罐、业内样本交换、用户上报等方式)获取病毒样本，然后利用已有的安全运营人员和系统对病毒样本进行细致化的代码逆向分析、动态行为分析，了解病毒的运行机制与作案原理后，安全运营人员会提取特征码或设定病毒查杀策略下发至反病毒引擎的特征库中，至此，传统反病毒引擎即可对病毒进行查杀。

当前大部分反病毒引擎通过引入云查模式来优化流程，降低响应时长，但依然是传统反病毒引擎的应对模式，仅能做到尽量降低响应时长，而未能跳出传统反病毒引擎固有模式。

而随着当前病毒***技术的提高，自动化免杀工具、payload动态下发、加载技术的使用，使得“0Day”病毒越来越多，样本捕获难度高(捕获周期长、捕获渠道少)、逆向/动态分析对抗严重，造成当前传统反病毒引擎捕获难、分析成本高的困局。
传统反病毒引擎在与当前病毒对抗中，从人力、终端权限、***战术站位上均处于劣势，这也是安全厂商亟需解决的反病毒引擎困局。

(***方天然优势——***者可通过各种手段，从各个入口，只要找到一个薄弱点对其进行***即可达到目的，而防守方则需要考虑到方方面面，稍有疏忽则会被***者抓住漏洞。)

2.2 下一代引擎：实时行为检测—抗免杀、实时响应

当前黑产通过企业化作案，利用完善的自动化免杀、动态下发、加载甚至VA等技术，提升恶意代码的隐藏能力，延长了传统反病毒引擎的响应窗口期，在窗口期快速感染大量用户，并远程控制用户终端设备多渠道、多方式的进行快速变现。

下一代反病毒引擎必将通过技术手段弥补传统反病毒引擎的不足，通过实时的敏感行为检测技术，实时监测未知应用的敏感后台操作，结合已知病毒行为知识库，对病毒行为进行跟踪与预测，对未知应用的恶意操作做到监测、预测、感知与阻断。

通过实时行为检测技术，下一代反病毒引擎必然可以对0Day病毒、自动化免杀病毒、动态下发&加载型病毒进行实时监测与恶意行为阻断，0s响应时间保护用户终端安全。

2.3 下一代引擎：AI反病毒—更智能、泛化

2017 年无疑是 AI 蓬勃发展的一年。当前，AI技术在语音、图像、人机交互等领域取得了巨大成就，甚至AI在黑产领域也得到了“有效”应用——国内最大打码平台“快啊答题”利用AI破解登录验证码。

而在移动互联网终端上，AI的发展也十分快速：
2017-12-5 Android 8.1 神经网络API支持TensorFlow，Caffe2
2017-12-7 高通骁龙845，加速SNPE神经网络引擎SDK
2017-9-6 华为麒麟970芯片推出AI计算单元 NPU
2018年 Q1 联发科和三星也即将推出AI智能芯片

随着越来越多终端设备支持AI计算，AI将越来越广泛的应用于终端设备的图像识别、语音识别、自然语言处理等场景。

同时，下一代反病毒引擎也将把AI应用于终端安全场景，利用AI技术实现更加智能化的病毒对抗；通过机器深度学习，下一代引擎将保持持续的自学习自适应能力，自动化、智能化跟进病毒的行为演进，并快病毒一步的进行病毒行为预测和识别、阻断。

三、腾讯TRP—AI反病毒引擎解决方案

传统引擎响应时间成为当前恶意代码突破口，大量恶意代码通过自动化免杀、加固、动态下发恶意代码、云控指令绕过反病毒引擎查杀，并在传统反病毒引擎发现至响应的空白窗口时间内进行作恶，这个窗口期越长，给用户带来的危害越大。

虽然通过成熟的云查反病毒技术可以尽量缩减此窗口期，但窗口期依然存在，这就需要安全厂商升级反病毒引擎，提供一个实时响应、抗免杀技术强、非样本库依赖的更加智能的反病毒引擎。

腾讯安全团队为应对未来严峻的安全挑战，配合腾讯高度成熟的AI技术，基于AI芯片的独立计算能力，自主研发了AI反病毒引擎——腾讯TRP-AI反病毒引擎，通过成熟的AI技术对应用行为的深度学习，配合系统层的行为监控能力，基于AI芯片的独立、高效的计算能力，配合传统安全引擎，有效解决未知应用所带来的安全风险，实时识别并阻断恶意行为，做到低功耗、高智能的实时终端安全防护。

3.1 腾讯TRP-AI反病毒引擎架构简介

腾讯TRP-AI反病毒引擎，是基于Tencent AI Lab先进的AI应用场景研究，结合腾讯安全团队长期对Android平台恶意代码检测、对抗的工作经验，设计的实时行为监测、抗免杀技术强、深度学习的AI反病毒引擎。

通过简单的集成，腾讯TRP-AI反病毒引擎即可通过framework层监控桩点对应用敏感行为进行监控，并将行为数据脱敏构造成行为序列；利用腾讯先进的AI反病毒模型，基于AI芯片的计算能力进行独立、安全的反病毒检测，判断应用行为是否恶意；前端通过安全应用进行结果展示和用户授权交互，可及时阻断恶意行为，卸载恶意应用，为用户提供实时安全防护。

云端搭建大量集群用于沙箱体系构造、海量样本行为提取、深度学习，实时训练生成最新的AI模型用以保障前端用户AI引擎的模型更新；同时，为减轻终端设备计算压力，腾讯TRP-AI反病毒引擎同时支持行为向量安全云查服务，利用云端集群计算能力保障前端响应的实时性和低计算压力。

腾讯TRP-AI反病毒引擎具有如下特性：
 基于真实运行行为，无需收集样本，即可查杀未知病毒
 基于系统层监控，从底层有效对抗免杀技术
 终端行为实时不间断监控，精准查杀潜伏***，防止隐私窃取
 AI模型云端训练，终端借助AI芯片检测，低CPU消耗、低时延、省流量
 基于神经网络的AI模型，训练过程完全自动化，运营成本大大降低，发现未知病毒的周期大大缩短

3.2 腾讯TRP-AI反病毒引擎集成方案及检测效果

腾讯TRP-AI反病毒引擎集成的工作量不大。腾讯将向合作方提供完整的桩点列表和SDK接口说明，合作方(OEM厂商)开发人员仅需参照列表在framework层打上桩点，和AI引擎对接上即可，其余所有组件都由腾讯以SDK的形式提供。

相较于传统引擎，腾讯TRP-AI反病毒引擎具有抗免杀、高性能、实时防护、可检测0Day病毒等优势，腾讯TRP-AI反病毒引擎测试数据如下：
病毒检测的覆盖率90%
病毒检测准确率98%
病毒发现能力提升8%
病毒发现速度提升12%
病毒发现快于病毒传播的占比提升到92%
检测耗时30ms，远低于传统引擎的100~200ms
平均性能消耗保障对设备使用体验零影响

关于腾讯安全反诈骗实验室

腾讯安全反诈骗实验室系中国首个安全实验室矩阵——腾讯安全联合实验室旗下的子实验室之一，与科恩实验室、玄武实验室、湛泸实验室、云鼎实验室、反病毒实验室、移动安全实验室，共同组成体系性的安全解决方案，专注安全技术研究及安全***体系搭建，安全防范和保障范围覆盖了连接、系统、应用、信息、设备、云六大互联网关键领域。

其中，腾讯御安全专注于个人和企业移动应用开发者的应用安全服务，拥有丰富的漏洞特征与病毒库，能够全面覆盖已知漏洞，可对99%的应用进行漏洞风险扫描；同时，应用加固服务具有防篡改、防逆向、防调试功能，应用在加固发布后，有效防止应用被二次打包，不被***。

作为联合业界一起基于大数据的方法，构建基于终端、管道和云端全覆盖的创新黑产分析和阻击模式的研究中心，腾讯安全反诈骗实验室目前以安全云库，智能反诈骗引擎，反诈骗专家智库三大核心利器守护网络安全。

不断深耕安全能力的同时，腾讯安全反诈骗实验秉承开放、联合、共享持续赋能社会各界。在刚刚过去的2017年中，腾讯安全反诈骗实验室先后与国家食药总局、国家工商总局、北京市金融工作局、深圳市金融办达成战略合作，共同探索政企合作打击黑产模式，并创建互联网食药大数据监管指数平台、网络传销态势感知平台、大数据金融安全监管科技平台，协助国家政府职能机构提升在食药安全、反传销、反金融欺诈等领域的监管能力。

同时为了更加高效地打击愈来愈“产业化、智能化、国际化”的网络犯罪，腾讯安全反诈骗实验室通过灵鲲、神侦、网络态势感知、鹰眼、麒麟、神羊、神荼等十余款反诈骗产品共同组建而成的反诈骗智慧大脑，构建了全链条的防护体系，能够在诈骗的事前、事中以及案情分析等关键环节起到作用,为警方以及金融、食品药监、通讯等监管部门提供了全方位的人工智能+大数据反诈骗体系。