[發明專利]識別應用程序是否是惡意程序的方法、系統及存儲介質

有效

• 申請號: 201380050539.1
• 申請日: 2013-09-20
• 公開（公告）號: CN104685510B
• 公開（公告）日: 2017-12-19
• 發明（設計）人: O·特立普;R·紹茲曼;R·海;D·卡爾曼
• 申請（專利權）人: 國際商業機器公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 中國國際貿易促進委員會專利商標事務所11038
• 代理人: 吳信剛

1.一種用于識別第一應用程序是否是惡意程序的方法，該方法包括：

檢測第一應用程序正在被提供用于在處理系統上安裝；

通過由處理器執行的靜態分析掃描第一應用程序，以確定第一應用程序的用戶界面布局是否疑似處理系統上安裝的第二應用程序的用戶界面布局；

所述通過由處理器執行的靜態分析掃描第一應用程序以確定第一應用程序的用戶界面布局是否疑似處理系統上安裝的第二應用程序的用戶界面布局包括：

確定第一應用程序可能的用戶布局的總數；

并且，該方法進一步包括：

響應于靜態分析不能確定第一應用程序的用戶界面布局是否疑似第二應用的用戶界面布局，當第一應用程序被執行時，對第一應用程序進行運行時分析，以識別第一應用程序實現的每個用戶界面布局，并確定第一應用程序實現的每個用戶界面布局是否疑似第二應用程序的用戶界面布局；和

響應于運行時分析表明由運行時分析檢測的第一應用程序的用戶界面布局的總數等于由靜態分析確定的可能的用戶界面布局的總數，并且第一應用程序的每個用戶界面布局并不疑似處理系統上安裝的第二應用程序的用戶界面布局，確定第一應用程序是安全的。

2.按照權利要求1的方法，進一步包括：

響應于靜態分析不能確定第一應用程序的用戶界面布局是否疑似第二應用的用戶界面布局：

在第一應用程序被處理系統執行期間，執行對第一應用程序的運行時分析，運行時分析包括確定第一應用程序的用戶界面布局是否疑似第二應用的用戶界面布局；

響應于運行時分析指示第一應用程序的用戶界面布局疑似第二應用的用戶界面布局，產生指示第一應用程序是惡意程序的警報。

3.按照權利要求2的方法，還包括：

響應于運行時分析指示第一應用程序的用戶界面布局疑似第二應用的用戶界面布局，阻止第一應用程序存儲或傳送從處理系統收到的用戶輸入中收到的信息。

4.按照權利要求2或3的方法，其中，所述執行對第一應用程序的運行時分析還包括：

確定第一應用程序在運行時試圖、或請求訪問至少一個含有私人信息的過程間通信；和

當第一應用程序在運行時試圖、或請求訪問至少一個含有私人信息的過程間通信，確定第一應用程序是惡意程序。

5.按照權利要求2的方法，其中，所述執行對第一應用程序的運行時分析以確定第一應用程序的用戶界面布局疑似第二應用程序的用戶界面布局包括：

在第一應用程序運行時，確定第一應用程序的當前用戶界面布局是否疑似第二應用程序的用戶界面布局；

當第一應用程序的當前用戶界面布局不疑似第二應用程序的用戶界面布局時：

在第一應用程序運行時，確定第一應用程序的下一個用戶界面布局是否疑似第二應用程序的用戶界面布局。

6.按照權利要求1的方法，其中，所述通過處理器執行的靜態分析掃描第一應用程序進一步包括：

確定第一應用程序被配置得試圖、或請求訪問至少一個含有私人信息的過程間通信；和

當第一應用程序被配置得試圖、或請求訪問至少一個含有私人信息的過程間通信時，確定第一應用程序是惡意的。

7.按照權利要求1的方法，該方法包括：

檢測到第一應用程序被提供用于在處理系統上安裝；

通過處理器執行的靜態分析掃描第一應用程序，以確定第一應用程序是否是惡意的；

響應于靜態分析不能確定第一應用程序是否是惡意的：

在第一應用程序被處理系統執行期間，執行對第一應用程序的運行時分析，以確定第一應用程序是否是惡意的；和

響應于運行時分析指示第一應用程序是惡意的，產生指示第一應用程序是惡意程序的警報。

8.按照權利要求7的方法，其中，所述執行對第一應用程序的運行時分析還包括：

確定第一應用程序在運行時試圖、或請求訪問至少一個含有私人信息的過程間通信；和

當第一應用程序在運行時試圖、或請求訪問至少一個含有私人信息的過程間通信時，確定第一應用程序是惡意的；

當第一應用程序在運行時嘗試，或請求，訪問至少一個過程間通信，包含私人信息，確定第一應用程序是惡意的。