[發(fā)明專利]基于動(dòng)態(tài)激活及行為監(jiān)測(cè)的Android惡意代碼檢測(cè)裝置和方法

在審

• 申請(qǐng)?zhí)枺?/td>: 201410424250.8
• 申請(qǐng)日: 2014-08-26
• 公開（公告）號(hào): CN104182688A
• 公開（公告）日: 2014-12-03
• 發(fā)明（設(shè)計(jì)）人: 徐國(guó)愛;張淼
• 申請(qǐng)（專利權(quán)）人: 北京軟安科技有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56
• 代理公司: 北京德琦知識(shí)產(chǎn)權(quán)代理有限公司 11018
• 代理人: 夏憲富

1.一種基于動(dòng)態(tài)激活及行為監(jiān)測(cè)的Android惡意代碼檢測(cè)裝置，其特征在于：所述檢測(cè)裝置控制手機(jī)終端自動(dòng)安裝與啟動(dòng)準(zhǔn)備檢測(cè)的應(yīng)用，自動(dòng)激活應(yīng)用的行為；同時(shí)在應(yīng)用運(yùn)行的整個(gè)過程中，實(shí)時(shí)監(jiān)控該手機(jī)終端包括文件訪問、短信發(fā)送、網(wǎng)絡(luò)連接及其流量、系統(tǒng)資源占用和硬件資源訪問的信息，檢測(cè)惡意代碼進(jìn)行的惡意行為，并生成檢測(cè)報(bào)告提供給用戶，完成對(duì)所檢測(cè)的應(yīng)用的行為的動(dòng)態(tài)檢測(cè)；設(shè)有應(yīng)用行為動(dòng)態(tài)激活模塊、應(yīng)用行為實(shí)時(shí)監(jiān)控模塊和檢測(cè)結(jié)果分析處理模塊共三個(gè)組成模塊：其中：

應(yīng)用行為動(dòng)態(tài)激活模塊，負(fù)責(zé)對(duì)待檢測(cè)的Android應(yīng)用自動(dòng)完成應(yīng)用的安裝、啟動(dòng)和運(yùn)行，乃至卸載；且在運(yùn)行過程中，自動(dòng)激活應(yīng)用的操作行為，以便對(duì)其行為執(zhí)行后臺(tái)監(jiān)控，再將應(yīng)用的執(zhí)行結(jié)果發(fā)送給檢測(cè)結(jié)果分析處理模塊；設(shè)有：安裝啟動(dòng)單元、自動(dòng)化運(yùn)行單元和截圖分析單元共三個(gè)組件；

應(yīng)用行為實(shí)時(shí)監(jiān)控模塊，負(fù)責(zé)根據(jù)對(duì)常見的入侵操作過程以及Android操作系統(tǒng)工作原理的分析，從各種系統(tǒng)調(diào)用中甄別可能產(chǎn)生惡意行為的系統(tǒng)調(diào)用函數(shù)并重寫，且增加監(jiān)控功能后，被推送到手機(jī)終端，使其在完成動(dòng)態(tài)激活應(yīng)用行為的同時(shí)，對(duì)手機(jī)終端進(jìn)行實(shí)時(shí)監(jiān)控；還在應(yīng)用程序自動(dòng)運(yùn)行的整個(gè)過程中，分別監(jiān)控該手機(jī)終端文件是否被訪問、網(wǎng)絡(luò)連接及其流量、短信發(fā)送、系統(tǒng)資源占用和硬件資源訪問的多種信息，檢測(cè)惡意代碼是否產(chǎn)生惡意行為；再把應(yīng)用行為的監(jiān)控結(jié)果送到檢測(cè)結(jié)果分析處理模塊；設(shè)有下述六個(gè)組件：文件監(jiān)控單元、聯(lián)網(wǎng)監(jiān)控單元、短信發(fā)送監(jiān)控單元、系統(tǒng)資源占用監(jiān)測(cè)單元、硬件資源訪問監(jiān)控單元和內(nèi)核-用戶接口單元；

檢測(cè)結(jié)果分析處理模塊，負(fù)責(zé)分別接收應(yīng)用行為動(dòng)態(tài)激活模塊提交的截圖和從截圖中識(shí)別的文本，以及應(yīng)用行為實(shí)時(shí)監(jiān)控模塊提交的各種監(jiān)控記錄文件，然后進(jìn)行分析并生成檢測(cè)報(bào)告；設(shè)有文本及記錄分析單元和報(bào)告生成單元。

2.根據(jù)權(quán)利要求1所述的裝置，其特征在于：所述應(yīng)用行為動(dòng)態(tài)激活模塊中的各個(gè)組件的功能如下：

安裝啟動(dòng)單元，用于通過數(shù)據(jù)線，將手機(jī)終端連接到電腦，并確保兩者之間能夠正常傳遞信息后，安裝并啟動(dòng)應(yīng)用；

自動(dòng)化運(yùn)行單元，用于與手機(jī)終端進(jìn)行套接字Socket通信，獲取并解析控件數(shù)據(jù)流信息，從數(shù)據(jù)流信息中解析出坐標(biāo)數(shù)據(jù)，利用這些坐標(biāo)數(shù)據(jù)計(jì)算得到控件絕對(duì)坐標(biāo)，自動(dòng)化生成觸摸腳本、輸入腳本、截圖腳本和返回腳本并執(zhí)行之，模擬人工點(diǎn)擊應(yīng)用，動(dòng)態(tài)激活應(yīng)用的行為；

截圖分析單元，用于在應(yīng)用運(yùn)行過程中不斷獲取當(dāng)前界面的截圖，并使用設(shè)定的圖片識(shí)別方法解析截取的圖片，獲取該圖片的文本內(nèi)容，一起提交到檢測(cè)結(jié)果分析處理模塊中的文本及記錄分析單元。

3.根據(jù)權(quán)利要求1所述的裝置，其特征在于：所述應(yīng)用行為實(shí)時(shí)監(jiān)控模塊中的各個(gè)組件的功能如下：

文件監(jiān)控單元，用于捕獲用戶在配置文件中規(guī)定的需要監(jiān)控的文件，然后對(duì)這些文件實(shí)施監(jiān)控：將測(cè)試過程中任何惡意應(yīng)用對(duì)該被監(jiān)控文件的讀寫操作都進(jìn)行存儲(chǔ)備案，再傳遞給內(nèi)核-用戶接口單元；

聯(lián)網(wǎng)監(jiān)控單元，用于監(jiān)測(cè)應(yīng)用程序?qū)W(wǎng)絡(luò)通道的操控情況，實(shí)時(shí)監(jiān)測(cè)手機(jī)終端的上網(wǎng)流量，甄別利用網(wǎng)絡(luò)收發(fā)惡意數(shù)據(jù)信息的行為，并監(jiān)測(cè)和記錄非用戶行為的數(shù)據(jù)流量的流失信息，再將上述信息傳遞給內(nèi)核-用戶接口單元；

短信發(fā)送監(jiān)控單元，用于監(jiān)測(cè)應(yīng)用程序?qū)Χ绦磐ǖ赖牟倏厍闆r，甄別發(fā)送/接收惡意短信的行為，并監(jiān)控并記錄后臺(tái)偷發(fā)短信行為，再將上述信息傳遞給內(nèi)核-用戶接口單元；

系統(tǒng)資源占用監(jiān)測(cè)單元，用于監(jiān)測(cè)應(yīng)用程序?qū)ο到y(tǒng)中軟硬件資源的占用情況，包括應(yīng)用程序在監(jiān)測(cè)過程中各個(gè)采樣時(shí)間使用的CPU、內(nèi)存和閃存的硬件信息，甄別和記錄破壞系統(tǒng)運(yùn)行環(huán)境的惡意行為，再將上述信息傳遞給內(nèi)核-用戶接口單元；

硬件資源訪問監(jiān)控單元，因應(yīng)用使用手機(jī)終端硬件實(shí)現(xiàn)的功能都是通過內(nèi)核中的硬件驅(qū)動(dòng)程序完成的，故該單元用于監(jiān)控手機(jī)終端中的各種硬件驅(qū)動(dòng)程序的調(diào)用，從而監(jiān)控并記錄相應(yīng)的應(yīng)用操作行為，再將該信息傳遞給內(nèi)核-用戶接口單元；

內(nèi)核-用戶接口單元，用于將所述各個(gè)監(jiān)控單元傳送來的各種監(jiān)控信息傳遞到用戶態(tài)的程序中，保存為相應(yīng)的監(jiān)控報(bào)告，再提交給檢測(cè)結(jié)果分析處理模塊。