Приложение за архивиране на телефон изисква достъп до хранилището, контактите, SMS-ите и регистрите с повиквания. Инструмент за управление на устройства изисква дори повече. Прекарайте което и да е от тях през скенер за зловреден код, базиран на машинно обучение, и то ще бъде маркирано като опасно.

Шест детектора за Android, широко използвани в изследователската дейност, включително Drebin, MalScan и MaskDroid, дадоха такъв резултат за повече от половината приложения в тестов набор от легитимни приложения, събран от 49 категории в Google Play. Най-слабо представилият се детектор, базиран на големи езикови модели (LLM) и наречен LAMD, е маркирал 80% от тях. Всеки, който филтрира магазин за приложения, корпоративно внедряване или конвейер за сглобяване (build pipeline) въз основа на тези присъди, ще работи с опашка, съставена предимно от легитимен софтуер.

Изследователи от Сингапурския университет по мениджмънт и Университета Нанкай са изградили този набор, като са изтеглили легитимни приложения от AndroZoo, класирали са ги според декларираните опасни разрешения и са запазили първите 270. Всяко приложение в него декларира поне девет разрешения. Техният детектор, наречен PRAXIS, е маркирал 13%.

Детекторите търсят съвпадения с модели от стар зловреден код

Drebin кодира функции от манифеста и кода във вектор и обучава върху него машина с опорни вектори (SVM). MalScan, MsDroid и MaskDroid работят върху графи на повикванията и подграфи на чувствителни API. Всеки от тях извлича разпределение от минал зловреден код и оценява новите приложения според съответствието им.

Широкият обхват на разрешенията корелира със зловредния софтуер. Той обаче корелира и с инструментите за архивиране, антивирусните програми, родителския контрол и всичко, което управлява дадено устройство. Тази корелация определя присъдата и легитимен софтуер с голяма повърхност от разрешения се озовава от грешната страна.

Изследователите свеждат този неуспех до три думи: „отклонението не е злонамереност“.

Една и съща операция се тълкува по различен начин в зависимост от това кой я е задействал и какво рекламира приложението. Приложение за съобщения чете входящи SMS-и. Приложение за архивиране в облак качва файлове във фонов режим без наблюдение от потребителя. И двете действия са обичайни. Банково приложение обаче, което тихомълком чете SMS-и и изпраща съдържанието им към отдалечен сървър, извършва атака за прихващане на еднократни пароли (OTP) – а извикванията на API в кода изглеждат по един и същ начин и в трите случая.

PRAXIS работи в три етапа. Той извлича разрешения и компоненти от манифеста, чувствителни API извиквания и неявни намерения (implicit intent actions) от байткода чрез Soot, както и имена на функции от компилирани библиотеки чрез Ghidra, след което предава събраната информация на голям езиков модел и изисква определяне на злонамерените намерения, които даден атакуващ би могъл да преследва с тях.

Всеки злонамерен замисъл се връща като предположение без указател към конкретния код. Вторият етап го представя като входна точка, източник и ефект, извлича кандидат-функции за всяка роля и запазва само тройките, които достигат една до друга в този ред чрез ребра на повикванията, преходи между компоненти или споделено поле. Хипотеза без достижима верига се отхвърля.

Третият етап оценява това, което е оцеляло. Поведение, достъпно само чрез фоново излъчване (background broadcast), се изпълнява без знанието на потребителя. Поведение, задействано от екрана, се проверява спрямо това, което този екран твърди, че прави.

При банков троянец, имитиращ Bank Mellat, тази верига започва от експортиран приемник SMS_RECEIVED, преминава през парсване на PDU до запис в HttpURLConnection, с форма за вход на Flutter отгоре и без никаква банкова инфраструктура отдолу.

Един етап определя успешното засичане

Ако се изпълнят и трите етапа, PRAXIS пропуска около една мостра от зловреден код на всеки девет. Ако се премахне етапът на контекста, той пропуска 95.3%.

Поведенията все още са там. Доказателствата в кода все още са там. Когато на модела се предостави същият материал с обикновена подкана за вземане на решение, той пропуска почти всичко. Финалната подкана носи по-голямата част от силата за засичане. Всичко по веригата нагоре я захранва.

Обобщаването на всяка специфична за приложението функция струва около 0.56 долара на приложение, преди моделът за засичане да е изразходвал каквото и да било. Тази цена е приемлива за анализатор, работещ с единична мостра. Тя обаче не е подходяща за магазин, който сканира всички изпратени приложения.

Етапът на преценка чете текст от потребителския интерфейс, етикети на приложения, имена на пакети и декомпилирани идентификатори. Даден атакуващ контролира и четирите елемента. Екран за вход, който по убедителен начин обяснява необходимостта от разрешение за SMS, атакува директно контекстуалното разсъждение и никой от анализите тук не обхваща опонент, който умее да го манипулира.

Освен това съществува въпросът с данните за обучение. Базовите модели за обучение са били преобучени с приложения от 2021 до 2023 г. и тествани срещу мостри, стигащи до 2026 г. PRAXIS работи с DeepSeek-V4-Pro, GPT-5.2 и GPT-5.4-mini – модели, чиито корпуси за обучение вероятно включват както тези мостри, така и публикуваните доклади на Kaspersky и ESET, които авторите са използвали за установяване на обективната истина. Разделът за заплахи за валидността обхваща обхвата на набора от данни, субективността на анотатора и отклоненията при декодирането. Замърсяването на данните обаче остава неспоменато.

Тринадесет легитимни приложения на всеки сто все още се определят като зловредни. Това означава опашка за преглед, в която трябва да участва човек, а защитна бариера на магазин, изградена върху същия процент грешки, би свалила работещ софтуер от пазара.