MASCOT-Android

MASCOT-Android是由马里兰大学巴尔的摩分校研究团队精心构建的Android恶意软件源代码数据集，旨在为安全研究提供高质量、可追溯的原始代码资源。该数据集包含1093个从GitHub平台收集的恶意软件源代码样本，时间跨度从2011年1月到2025年1月，覆盖后门、僵尸网络、钓鱼邮件等多种恶意软件类型，每个样本均经过人工审核并附带完整的元数据信息。数据集的创建过程通过关键词搜索、作者关联和代码分叉的雪球采样方法实现，并采用基于README文档的TF-IDF特征和LinearSVC分类器构建自动化收集管道，准确率达到96.28%。该数据集主要应用于恶意软件行为分析、代码重用模式研究、LLM辅助恶意软件开发检测以及符号信息对恶意软件检测性能的影响评估等领域，为解决Android恶意软件源代码稀缺性和分析深度不足的问题提供了重要基础。MASCOT-Android is a high-quality, traceable Android malware source code dataset meticulously constructed by the research team at the University of Maryland, Baltimore, designed to provide premium, traceable raw code resources for cybersecurity research. This dataset contains 1093 malware source code samples collected from GitHub, spanning from January 2011 to January 2025, covering a wide range of malware types including backdoors, botnets, and phishing malware. Each sample has undergone manual review and is accompanied by complete metadata. The dataset was developed through keyword searching, author association, and snowball sampling leveraging code forking. An automated collection pipeline was built using TF-IDF features extracted from README documents and a LinearSVC classifier, achieving an accuracy of 96.28%. This dataset is primarily utilized in research domains such as malware behavior analysis, code reuse pattern investigation, LLM-assisted malware development detection, and the evaluation of the impact of symbolic information on malware detection performance. It serves as a critical foundation for addressing the challenges of scarce Android malware source code and insufficient analytical depth.

搜集汇总

数据集介绍

构建方式

在移动安全领域，恶意软件源码相较于编译后的二进制文件能更直接地映射攻击者的原始意图，然而其稀缺性与人工审核的高昂成本长期制约着相关研究的开展。MASCOT-Android数据集正是在此背景下诞生，它通过关键词搜索、基于作者与分支的滚雪球采样以及迭代扩展等步骤，从GitHub平台上精心收集了1,093个经过人工审核的Android恶意软件源码样本。每个样本都附带了详尽的元数据，包括仓库名称、开发日期、发现线索以及URL，确保了数据集的完整性与可追溯性。数据集的时间跨度从2011年1月延伸至2025年1月，覆盖了后门、僵尸网络、钓鱼邮件等多种恶意软件类别。

特点

该数据集最显著的特点在于其源码级别的保真度，完整保留了开发者的逻辑、命名习惯与代码风格，避免了APK反编译引入的混淆与信息失真。与同源的MASCOT（Windows平台）数据集相比，MASCOT-Android展现出独特的平台特异性：Android样本中通过分支关系发现的代码复用比例更高（28.4%），而通过作者线索发现的样本比例更低，这揭示了Android恶意软件开发中派生变体更为普遍的生态特征。此外，该数据集提供了基于任务的可调置信度阈值机制，在本地评估中，仅依赖README文件的分类模型即达到了96.28%的准确率与1.06%的假阳性率，允许研究者根据需求在覆盖率与误报率之间灵活权衡。

使用方法

研究者可以直接利用该数据集进行恶意软件演化分析，通过构建代码复用网络并结合GPTZero与GPTSniffer等大语言模型痕迹检测工具，能够追溯大语言模型辅助恶意软件开发的时间趋势与传播路径。数据集的源码形态特别适用于符号信息消融实验，通过系统性地移除导入语句、注释、类名、函数名与变量名等不同符号组件，可以定量评估各类符号信息对恶意软件检测性能的贡献。此外，该数据集还能作为基准测试集，支持基于TF-IDF与LinearSVC等传统机器学习方法的恶意软件分类研究，其配套的自动化采集框架也可被扩展用于其他平台或新型威胁的持续监控。

背景与挑战

背景概述

MASCOT-Android数据集由马里兰大学巴尔的摩分校的研究团队于2026年创建，旨在应对安卓恶意软件源代码稀缺且难以收集的严峻挑战。该数据集聚焦于从GitHub平台系统性地搜集和整理安卓恶意软件源代码样本，以弥补现有数据集多集中于二进制或反编译代码的不足。通过构建一个包含1,093个经过人工审查的样本及丰富元数据的语料库，研究者能够更直接地理解攻击者的原始意图与恶意逻辑。该数据集覆盖2011年至2025年间的多种恶意软件类别，为分析恶意代码演化、代码复用模式以及大语言模型辅助开发等前沿问题提供了宝贵的基础资源，在安全领域具有重要的开创性影响。

当前挑战

该数据集所应对的核心领域挑战在于传统安卓恶意软件研究依赖二进制或反编译文件，这些文件易受混淆与反编译过程影响，难以还原开发者真实意图与符号信息。构建过程中面临的显著挑战包括：一是恶意软件源代码本身稀缺、碎片化且易消失，手动收集耗时费力，过去类似工作耗时数年仅获数百样本；二是在自动收集流程中，如何仅利用仓库级README文档的字符级TF-IDF特征，训练出能够高效区分恶意与良性仓库的分类模型，并实现96.28%的准确率与1.06%的假阳性率；三是实际部署时需处理多语言、短描述及结构丰富但文本稀疏的复杂README文件，通过置信度阈值平衡检出率与误报率，确保数据集质量。

常用场景

经典使用场景

在移动安全研究领域，MASCOT-Android数据集为分析Android恶意软件的源代码形态提供了宝贵资源。其最经典的使用场景是作为恶意软件检测和分类研究的基准训练与测试集。由于该数据集中的样本均经人工审核，并保留了完整的开发逻辑、命名惯例和注释信息，研究者能借此训练更精准的检测模型，或进行细粒度的恶意软件家族分类，而不必受限于经过混淆或反编译后失真的二进制代码。

衍生相关工作

该数据集直接催生了两项具有启发意义的衍生工作：其一，通过构建恶意软件代码复用网络并借助GPTZero与GPTSniffer进行LLM痕迹标注，研究者发现大语言模型已在一定程度上参与了恶意代码的开发与传播，尤其是在2022年后代码复用网络中LLM辅助信号更为密集；其二，通过符号信息消融实验，系统量化了import语句、变量名、注释等不同符号成分在恶意软件检测中的贡献差异，为后续设计更高效、更鲁棒的检测特征奠定了实验基础。

数据集最近研究

最新研究方向

当前，MASCOT-Android数据集的研究前沿聚焦于利用源代码级信息揭示恶意软件的演化规律与攻击者意图。在移动安全领域，随着2025年上半年针对移动设备的攻击同比激增48%，该数据集为深入理解恶意逻辑提供了无混淆、保留符号信息的珍贵蓝本。前沿研究一方面通过构建代码复用网络并融合LLM痕迹检测技术，揭示了大语言模型已在一定程度上渗入恶意软件开发与传播链条，尤其是在代码迭代与功能增强环节。另一方面，针对源代码中导入语句、注释、类名等不同符号成分的消融实验表明，导入语句所隐含的API依赖关系是区分恶意与良性样本的最强判别信号，而其他符号信息在分类任务中贡献有限。这些发现不仅为自动化恶意代码收集管线（准确率达96.28%）奠定了可靠基础，也推动了从代码表征层面理解恶意软件生命周期与检测机理的前沿探索。

相关研究论文

• MASCOT-Android: A Curated Dataset and Automated Collection Pipeline for Android Malware Source Code Specimens

  马里兰大学巴尔的摩分校 · 2026年