[發明專利]檢測移動終端中是否存在惡意軟件的方法和移動終端

有效

• 申請號: 201510609599.3
• 申請日: 2015-09-22
• 公開（公告）號: CN105320886B
• 公開（公告）日: 2018-04-06
• 發明（設計）人: 胡超博;劉云鵬
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件(北京)有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京中強智尚知識產權代理有限公司11448
• 代理人: 王書彪,劉艷芬

1.一種檢測移動終端中是否存在惡意軟件的方法，包括：

檢測所述移動終端的緩存中是否存在記錄上次收集信息的時間戳的文件，所述時間戳為應用程序的特征信息的入庫時間；

根據檢測結果收集所述移動終端中已安裝軟件的信息，具體為，若緩存中不存在記錄上次收集信息的時間戳的文件，則對所述移動終端中所有已安裝軟件進行全量掃描以收集信息；若緩存中存在記錄上次收集信息的時間戳的文件，則根據緩存中所述文件記錄的上次全量掃描時間戳和上次增量掃描時間戳與當前時間戳收集所述移動終端中已安裝軟件的信息；

將所收集的信息發送至服務器進行檢測，根據檢測結果將已安裝軟件劃分為安全、危險、謹慎和木馬四個安全級別；

其中所述服務器預設有非惡意軟件的信息，以用于與所收集的信息進行比較。

2.如權利要求1所述的方法，其中根據緩存中所述文件記錄的上次全量掃描時間戳和上次增量掃描時間戳與當前時間戳收集所述移動終端中已安裝軟件的信息包括：

比較緩存中所述文件記錄的上次全量掃描時間戳與當前時間戳；以及

根據比較結果收集所述移動終端中已安裝軟件的信息。

3.如權利要求2所述的方法，其中根據比較結果收集所述移動終端中已安裝軟件的信息包括：

若當前時間戳晚于緩存中所述文件記錄的上次全量掃描時間戳超過預定的第一閾值，則對所述移動終端中所有已安裝軟件進行掃描以收集信息；以及

若當前時間戳晚于緩存中所述文件記錄的上次全量掃描時間戳未超過預定的第一閾值，則根據緩存中所述文件記錄的上次增量掃描時間戳與當前時間戳收集所述移動終端中已安裝軟件的信息。

4.如權利要求3所述的方法，其中根據緩存中所述文件記錄的上次增量掃描時間戳與當前時間戳收集所述移動終端中已安裝軟件的信息包括：

若當前時間戳晚于緩存中所述文件記錄的上次增量掃描時間戳超過預定的第二閾值，則對所述移動終端中已安裝軟件的信息進行增量掃描以收集信息。

5.如權利要求4所述的方法，其中對所述移動終端中已安裝軟件的信息進行增量掃描以收集信息包括：

將所述移動終端中所有已安裝軟件的時間戳與緩存中所述文件記錄的上次增量掃描時間戳進行比較；以及

收集所述移動終端中時間戳晚于緩存中所述文件記錄的上次增量掃描時間戳的已安裝軟件的信息。

6.如權利要求1-5中任一項所述的方法，其中每個已安裝軟件的信息包括軟件的五元組信息。

7.如權利要求6所述的方法，其中所述軟件的五元組信息包括：app包名、app版本號、app版本名、app文件中META-INF/CERT.RSA的SHA1值以及app文件中AndroidManifest.xml的SHA1值。

8.如權利要求7所述的方法，其中根據檢測結果收集所述移動終端中已安裝軟件的信息包括：

獲取所述移動終端中已安裝軟件的app包名；

根據所述app包名確定已安裝軟件的安裝文件存儲路徑；

根據已安裝軟件的安裝文件存儲路徑，獲取并解壓已安裝軟件的安裝文件；以及

根據已解壓的文件獲取app版本號、app版本名、app文件中META-INF/CERT.RSA的SHA1值以及app文件中AndroidManifest.xml的SHA1值。

9.一種移動終端，包括：

檢測單元，用于檢測所述移動終端的緩存中是否存在記錄上次收集信息的時間戳的文件，所述時間戳為應用程序的特征信息的入庫時間；

收集單元，用于根據所述檢測單元的檢測結果收集所述移動終端中已安裝軟件的信息，具體為若所述檢測單元檢測到所述緩存中不存在記錄上次收集信息的時間戳的文件，則所述收集單元對所述移動終端中所有已安裝軟件進行全量掃描以收集信息，若所述檢測單元檢測到所述緩存中存在記錄上次收集信息的時間戳的文件，則所述收集單元根據所述緩存中所述文件記錄的上次全量掃描時間戳和上次增量掃描時間戳與當前時間戳收集所述移動終端中已安裝軟件的信息；

發送單元，用于將所收集的信息發送至服務器進行檢測，根據檢測結果將已安裝軟件劃分為安全、危險、謹慎和木馬四個安全級別；

其中所述服務器預設有非惡意軟件的信息，以用于與所收集的信息進行比較。