[發明專利]一種檢測Android惡意軟件的方法、系統及設備

有效

• 申請號: 201210376038.X
• 申請日: 2012-09-29
• 公開（公告）號: CN102945347A
• 公開（公告）日: 2013-02-27
• 發明（設計）人: 程紹銀;李子鋒;巫妍;蔣凡
• 申請（專利權）人: 中興通訊股份有限公司;中國科學技術大學
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京派特恩知識產權代理事務所(普通合伙) 11270
• 代理人: 蔣雅潔;王黎延

1.一種檢測Android惡意軟件的方法，其特征在于，該方法包括：

服務器模擬執行待檢測軟件，將待檢測軟件調用的函數的敏感特征信息，與本地保存的敏感特征信息進行匹配，若匹配成功，則標識該函數調用為敏感行為；

將敏感行為中被調用函數的惡意特征信息，與本地保存的惡意特征信息進行匹配，若匹配成功，則標識該函數調用為惡意行為，以確定待檢測軟件為惡意軟件。

2.根據權利要求1所述的方法，其特征在于，

所述敏感特征信息包括：函數名、函數類名、函數參數類型和函數參數個數；

所述惡意特征信息包括：函數名、函數參數常量值。

3.根據權利要求2所述的方法，其特征在于，所述服務器模擬執行待檢測軟件之前，該方法還包括：

服務器接收用戶通過客戶端上傳的待檢測軟件的安裝包，對安裝包中的字節碼文件進行反匯編，根據反匯編出的程序代碼，構建程序結構并求解程序執行路徑。

4.根據權利要求3所述的方法，其特征在于，該方法還包括：

服務器分析程序執行路徑中的指令，并在所述指令為常量值引入指令時，記錄引入的常量值并將常量值在程序執行路徑中向下傳播。

5.根據權利要求1、2、3或4所述的方法，其特征在于，該方法還包括：

服務器評定被惡意行為的危險等級，結合惡意行為危險等級生成檢測結果并保存在本地，并在模擬執行完畢待檢測軟件后，將本地檢測結果通過客戶端用戶界面UI報告用戶。

6.一種服務器，其特征在于，該服務器包括模擬執行單元，檢測規則存儲單元、標識單元、敏感行為匹配單元和惡意行為匹配單元；其中，

所述模擬執行單元，用于模擬執行待檢測軟件；

所述檢測規則存儲單元，用于存儲敏感特征信息和惡意特征信息；

所述敏感行為匹配單元，用于所述模擬執行單元調用函數時，將所述被調用函數的敏感特征信息與檢測規則存儲單元中的敏感特征信息進行匹配；

所述標識單元，用于在所述敏感行為匹配單元匹配敏感特征信息成功時，標識所述函數調用為敏感行為；

所述惡意行為匹配單元，用于在所述標識單元標識所述函數調用為敏感行為時，將所述函數調用中被調用函數的惡意特征信息與檢測規則存儲單元中的惡意特征信息進行匹配；

所述標識單元，還用于在所述惡意行為匹配單元匹配惡意特征信息成功時，標識所述函數調用為惡意行為，以確定待檢測軟件為惡意軟件。

7.根據權利要求6所述的服務器，其特征在于，

所述敏感特征信息包括：函數名、函數類名、函數參數類型和函數參數個數；

所述惡意特征信息包括：函數名、函數參數常量值。

8.根據權利要求6或7所述的服務器，其特征在于，該服務器還包括：預處理單元、程序結構構建單元、程序執行路徑求解單元和常量值分析單元；其中，

所述預處理單元，用于接收用戶通過客戶端上傳的待檢測軟件的安裝包，并對安裝包中的字節碼文件進行反匯編；

所述程序結構構建單元，用于在所述預處理單元根據字節碼文件反匯編出程序代碼后，根據所述程序代碼構建程序結構；

所述程序執行路徑求解單元，用于在所述程序結構構建單元構建出程序結構后，根據所述程序結構求解程序執行路徑；

所述模擬執行單元，具體用于根據所述程序執行路徑求解單元求解出的程序執行路徑，順序分析程序執行路徑中的指令；

所述常量值分析單元，用于在所述模擬執行單元分析出程序執行路徑中的指令為常量值引入指令時，記錄引入的常量值并在程序執行路徑中將常量值向下傳播。

9.根據權利要求6或7所述的服務器，其特征在于，該服務器還包括：危險等級評定單元、檢測結果保存單元和惡意行為報告單元；其中，

所述危險等級評定單元，用于在所述標識單元標識所述函數調用為惡意行為，以確定待檢測軟件為惡意軟件時，評定惡意行為危險等級，結合惡意行為危險等級生成檢測結果；

所述檢測結果保存單元，用于保存所述危險等級評定單元生成的檢測結果；

所述惡意行為報告單元，用于在所述模擬執行單元模擬執行待檢測軟件完畢后，將所述檢測結果保存單元保存的檢測結果發送給客戶端，以通過客戶端UI報告給用戶。