[發(fā)明專利]一種基于Dalvik指令和權限組合的安卓惡意軟件檢測方法

有效

• 申請?zhí)枺?/td>: 201410746314.6
• 申請日: 2014-12-08
• 公開（公告）號: CN104376262B
• 公開（公告）日: 2018-01-09
• 發(fā)明（設計）人: 張凱;姜青山
• 申請（專利權）人: 中國科學院深圳先進技術研究院
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 深圳市銘粵知識產(chǎn)權代理有限公司44304
• 代理人: 孫偉峰

1.一種基于Dalvik指令和權限組合的安卓惡意軟件檢測方法，其特征在于，所述方法包括：

S1、使用解壓縮工具打開安卓應用軟件包，得到classes.dex文件和AndroidManifest.xml文件；

S2、反編譯classes.dex文件構建Dalvik指令的頻率特征，然后采用檢測模型對安卓應用軟件包進行正常軟件和惡意軟件的檢測；

S3、反編譯AndroidManifest.xml文件提取權限特征，并構建權限特征向量，由分類算法建立分類器，進行正常軟件和惡意軟件的檢測，所述步驟S2中檢測模型的構建方法為：

Dalvik指令的頻率特征為：

absoluteFreq_i＝{C_i,freq_(i,1),freq_(i,2),…,freq_(i,j)|1≤j≤n}，

其中當且僅當C_i＝1時該軟件為惡意軟件，當且僅當C_i＝0時該軟件為正常軟件，n為Dalvik指令的個數(shù)，freq_(i,j)表示第i個應用軟件中出現(xiàn)第j個指令的絕對頻率；

將正常軟件與惡意軟件的樣本集合集制成一個特征矩陣FM，得到檢測模型，所述步驟S2還包括：

將Dalvik指令的絕對頻率轉(zhuǎn)化為相對頻率relativeFreq_i：

relativeFreqi={Ci,freq(i,1)s.um(i),freq(i,2)sum(i),...,freq(i,j)sum(i)|1≤j≤n},]]>

其中表示第i個軟件包所有Dalvik指令出現(xiàn)的次數(shù)總和，所述步驟S2還包括：

根據(jù)特征矩陣FM和閥值tp，提取有效區(qū)分正常軟件與惡意軟件的特征子集FS，所述步驟S2具體包括：

若Dalvik指令的頻率特征中C_i＝0，將該絕對頻率freq_(i,j)加入freq(i)_b中；

若Dalvik指令的頻率特征中C_i＝1，將該絕對頻率freq_(i,j)加入freq(i)_m中；

定義diff＝benignMeanFreq/malwareMeanFreq，其中：

benignMeanFreq={freq(1)bnumb,freq(2)bnumb,...,freq(n)bnumb},malwareMeanFreq={freq(1)mnumm,freq(2)mnumm,...,freq(n)mnumm};]]>

若diff(j)>閥值tp，則將該指令加入到特征子集FS中；freq(i)_b表示正常軟件中每一維指令的絕對頻率的總和，freq(i)_m表示惡意軟件中每一維指令的絕對頻率的總和，num_b表示正常軟件的個數(shù)，num_m表示惡意軟件的個數(shù)。

2.根據(jù)權利要求1所述的方法，其特征在于，所述步驟S3中的分類算法包括支持向量機算法、K最臨近算法、隨機森林算法、神經(jīng)網(wǎng)絡算法。