[發明專利]一種惡意Android應用程序檢測方法和系統

有效

• 申請號: 201110382248.5
• 申請日: 2011-11-25
• 公開（公告）號: CN103136471A
• 公開（公告）日: 2013-06-05
• 發明（設計）人: 焦四輩;蘇璞睿;應凌云;楊軼
• 申請（專利權）人: 中國科學院軟件研究所
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京君尚知識產權代理事務所(普通合伙) 11200
• 代理人: 余長江

1.一種惡意Android應用程序檢測方法，其步驟為：

1)將待測Andorid應用程序中的行為劃分為若干類別；將待測Android應用程序中每個頁面上的每個按鈕與一個或多個類別行為對應，得到應用程序按鈕----行為模型；

2)采集硬件模擬器執行按鈕時的應用程序信息，識別出當前操作對應的按鈕；根據所述應用程序按鈕----行為模型得到該按鈕要執行的操作行為；

3)采集當前按鈕觸發的硬件模擬器底層API調用序列，根據API序列模型得到該按鈕對應執行的操作行為；所述API序列模型記錄API序列與步驟1)所劃分行為類別的對應關系；

4)將步驟2)確定的操作行為與步驟3)確定的操作行為進行對比，如果不一致則將該待測Android應用程序確定為惡意程序。

2.如權利要求1所述的方法，其特征在于所述類別包括：聯網，短信，訪問地址薄，訪問sim卡信息，訪問多媒體數據，執行程序。

3.如權利要求1或2所述的方法，其特征在于采集所述API調用序列的方法為：首先實時監控硬件模擬器CPU運行，通過反匯編引擎反匯編硬件模擬器的CPU指令；然后根據反匯編的指令調用地址，在API表里查找對應的API，記錄調用的API，得到所述API調用序列。

4.如權利要求3所述的方法，其特征在于采用一hash表記錄所述API調用序列的API地址和API。

5.如權利要求1或2所述的方法，其特征在于所述識別出當前操作對應的按鈕的方法為：首先采集硬件模擬器中的各種點擊、滑動以及晃動操作；然后通過模式匹配識別出目前操作為待測Android應用程序中哪個頁面中的哪個按鈕。

6.如權利要求1或2所述的方法，其特征在于建立所述API序列模型的方法為：根據Android應用程序的開發文檔確定Android應用程序中每一API的作用；然后對每一所述行為進行API序列驗證，得到每一所述行為的API序列。

7.一種惡意Android應用程序檢測系統，其特征在于包括一硬件模擬器，一應用程序行為定義模塊，一應用程序行為分析模塊，一底層API獲取模塊，一API序列分析模塊，一安全分析模塊；其中：

所述硬件模擬器用于模擬Android應用程序運行環境；

所述應用程序行為定義模塊用于將待測Andorid應用程序中的行為劃分為若干類別，并將待測Android應用程序中每個頁面上的每個按鈕與一個或多個類別行為對應，建立應用程序按鈕----行為模型；

所述應用程序行為分析模塊用于從所述硬件模擬器中采集Android應用程序信息，識別出操作對應的按鈕，并根據所述應用程序按鈕----行為模型得到該按鈕要執行的操作行為；

所述底層API獲取模塊用于從所述硬件模擬器中采集按鈕觸發的硬件模擬器底層API調用序列；

所述API序列分析模塊用于根據獲取的API調用序列，利用API序列模型得到該按鈕對應執行的操作行為；所述API序列模型記錄API序列與所述應用程序行為定義模塊所劃分行為類別的對應關系；

所述安全分析模塊用于根據所述所述應用程序行為分析模塊確定的操作行為與所述API序列分析模塊確定的操作行為進行對比，如果不一致則確定待測Android應用程序為惡意程序。

8.如權利要求7所述的系統，其特征在于所述類別包括：聯網，短信，訪問地址薄，訪問sim卡信息，訪問多媒體數據，執行程序。

9.如權利要求7或8所述的系統，其特征在于采用一hash表記錄所述API調用序列的API地址和API。

10.如權利要求7或8所述的系統，其特征在于采集的所述Android應用程序信息包括所述操作是哪個頁面中的哪個按鈕。