[發明專利]一種移動終端上的惡意軟件檢測方法、裝置和系統

有效

• 申請號: 201310326191.6
• 申請日: 2013-07-30
• 公開（公告）號: CN103400076A
• 公開（公告）日: 2013-11-20
• 發明（設計）人: 廖崇糧
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 唐華明

1.一種移動終端上的惡意軟件檢測方法，其特征在于，包括：

獲取需要檢測的軟件的安裝包；

對所述安裝包進行解壓，得到解壓后安裝包；

對所述解壓后安裝包進行檢測，得到第一檢測結果；

發送所述解壓后安裝包給云端系統；

接收云端系統返回的第二檢測結果，所述第二檢測結果為云端系統對所述解壓后安裝包進行惡意軟件檢測所得到的結果；

若所述第一檢測結果和/或第二檢測結果指示所述解壓后安裝包中存在異常，則確定所述需要檢測的軟件為惡意軟件。

2.根據權利要求1所述的方法，其特征在于，所述對所述解壓后安裝包進行檢測，得到第一檢測結果，包括：

對所述解壓后安裝包進行啟發式掃描，得到第一掃描結果；

對所述解壓后安裝包中的特征碼進行二進制掃描，得到第二掃描結果；

對所述解壓后安裝包進行權限文件掃描，得到第三掃描結果；

若所述第一掃描結果、第二掃描結果和/或第三掃描結果指示所述解壓后安裝包中存在異常，則在第一檢測結果中指示所述解壓后安裝包中存在異常。

3.根據權利要求2所述的方法，其特征在于，所述對所述解壓后安裝包進行啟發式掃描，得到第一掃描結果，包括：

分別對所述解壓后安裝包的安裝根目錄、資源文件和基礎依賴庫進行掃描，得到第一掃描結果。

4.根據權利要求3所述的方法，其特征在于，所述分別對所述解壓后安裝包的安裝根目錄、資源文件和基礎依賴庫進行掃描，得到第一掃描結果，包括：

對所述解壓后安裝包中的安裝根目錄進行掃描，若所述安裝根目錄中不存在預置常規文件，或所述安裝根目錄中存在異常文件且所述異常文件是可執行文件，則在第一掃描結果中指示所述解壓后安裝包中存在異常；

對所述解壓后安裝包中的資源文件進行掃描，若存在除預置文件類型之外的其他文件，則在第一掃描結果中指示所述解壓后安裝包中存在異常；

對所述解壓后安裝包中的基礎依賴庫進行掃描，若存在除預置文件類型之外的其他文件或文件格式不符合預置規范，則在第一掃描結果中指示所述解壓后安裝包中存在異常。

5.根據權利要求2所述的方法，其特征在于，所述對所述解壓后安裝包中的特征碼進行二進制掃描，得到第二掃描結果，包括：

對所述解壓后安裝包中的特征碼進行二進制掃描，若存在于預置病毒樣本相似的特征碼，則在第二掃描結果中指示所述解壓后安裝包中存在異常。

6.根據權利要求2所述的方法，其特征在于，所述對所述解壓后安裝包進行權限文件掃描，得到第三掃描結果，包括：

對所述解壓后安裝包進行權限文件掃描，若存在危險的權限組合，則在第三掃描結果中指示所述解壓后安裝包中存在異常。

7.根據權利要求2所述的方法，其特征在于，所述云端系統對所述解壓后安裝包進行惡意軟件檢測，包括：

云端系統對所述解壓后安裝包中的權限文件進行分析，得到分析結果；

云端系統將所述解壓后安裝包中的可執行文件中的代碼與預置的樣本文件中的代碼進行相似性比較，得到第一比較結果；

云端系統將所述解壓后安裝包中的可執行文件的應用程序接口調用樹與預置的樣本文件中的應用程序接口調用樹進行相似性比較，得到第二比較結果；

若所述分析結果、第一比較結果和/或第二比較結果指示所述解壓后安裝包中存在異常，則在第二檢測結果中指示所述解壓后安裝包中存在異常。

8.根據權利要求7所述的方法，其特征在于，所述云端系統對所述解壓后安裝包中的權限文件進行分析，得到分析結果，包括：

云端系統確定所述解壓后安裝包中的權限文件中的數據包名稱與預置數據庫中的病毒包名稱相同或相似時，在分析結果中指示所述解壓后安裝包中存在異常；

云端系統確定所述解壓后安裝包請求的權限組合數量高于所述需要檢測的軟件所屬類型的權限組合數量時，在分析結果中指示所述解壓后安裝包中存在異常；

云端系統確定所述解壓后安裝包中的權限文件中的簽名和與預置數據庫中的病毒的簽名相同或相似時，在分析結果中指示所述解壓后安裝包中存在異常。