[發明專利]一種安卓嫌疑軟件的同源識別方法及裝置

在審

• 申請號: 201510955904.4
• 申請日: 2015-12-18
• 公開（公告）號: CN106897615A
• 公開（公告）日: 2017-06-27
• 發明（設計）人: 楊穎;劉洪剛
• 申請（專利權）人: 卓望數碼技術（深圳）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 深圳市順天達專利商標代理有限公司44217
• 代理人: 李琴

1.一種安卓嫌疑軟件的同源識別方法，其特征在于，包括：

對APK進行靜態分析，從而定位所述APK的敏感行為，提取所述敏感行為的嫌疑路徑，獲取所述嫌疑路徑的觸發方式；

對所述APK與其同源軟件進行敏感行為比對；

對所述APK與其同源軟件進行所述敏感行為的嫌疑路徑比對；

對所述APK與其同源軟件進行所述嫌疑路徑的觸發方式比對。

2.根據權利要求1所述的同源識別方法，其特征在于，所述對APK進行靜態分析，從而定位所述APK的敏感行為，提取所述敏感行為的嫌疑路徑，獲取所述嫌疑路徑的觸發方式的步驟包括：

對所述APK進行反編譯，通過靜態分析方法對所述APK的代碼進行掃描，定位得到所述APK的敏感行為；

通過控制流分析提取所述敏感行為的嫌疑路徑；

根據所述嫌疑路徑的頭節點獲取所述觸發方式。

3.根據權利要求1所述的同源識別方法，其特征在于，所述對所述APK與其同源軟件進行敏感行為比對的步驟包括：

將所述敏感行為轉化為二進制字符串；

將所述APK的敏感行為的二進制字符串與同源軟件的敏感行為列表進行比對，若存在相同的字符串，則對所述APK與其同源軟件進行所述敏感行為的嫌疑路徑比對，若不存在相同的字符串，則認為所述APK為非嫌疑軟件。

4.根據權利要求3所述的同源識別方法，其特征在于，所述對所述APK與其同源軟件進行所述敏感行為的嫌疑路徑比對的步驟包括：

獲取所述敏感行為的嫌疑路徑的數量；

對所述APK與其同源軟件進行所述嫌疑路徑的數量比對，若所述APK的嫌疑路徑的數量與其同源軟件的嫌疑路徑的數量的差值處于預設范圍之內，則對所述APK與其同源軟件進行所述嫌疑路徑的觸發方式比對，若所述差值處于所述預設范圍之外，則認為所述APK為非嫌疑軟件。

5.根據權利要求4所述的同源識別方法，其特征在于，所述對所述APK與其同源軟件進行所述嫌疑路徑的觸發方式比對的步驟包括：

依據所述嫌疑路徑的頭節點確定所述觸發方式為系統觸發或UI觸發或其它觸發；

對所述APK與其同源軟件的每一嫌疑路徑進行觸發方式比對，若相同的觸發方式的數量處于預設范圍之內，則確認所述APK與其同源軟件屬于同一軟件組，并將所述APK進入所述同源軟件族中，若否，則認為所述APK為非嫌疑軟件。

6.一種安卓嫌疑軟件的同源識別裝置，其特征在于，包括：

靜態分析模塊，用于對APK進行靜態分析，從而定位所述APK的敏感行為，提取所述敏感行為的嫌疑路徑，獲取所述嫌疑路徑的觸發方式；

敏感行為比對模塊，用于對所述APK與其同源軟件進行敏感行為比對；

嫌疑路徑比對模塊，用于對所述APK與其同源軟件進行所述敏感行為的嫌疑路徑比對；

觸發方式比對模塊，用于對所述APK與其同源軟件進行所述嫌疑路徑的觸發方式比對。

7.根據權利要求6所述的同源識別裝置，其特征在于，所述靜態分析模塊包括：

敏感行為定位子模塊，用于對所述APK進行反編譯，通過靜態分析方法對所述APK的代碼進行掃描，定位得到所述APK的敏感行為；

嫌疑路徑提取子模塊，用于通過控制流分析提取所述敏感行為的嫌疑路徑；

觸發方式獲取子模塊，用于根據所述嫌疑路徑的頭節點獲取所述觸發方式。

8.根據權利要求6所述的同源識別裝置，其特征在于，所述敏感行為比對模塊包括：

字符串轉化子模塊，用于將所述敏感行為轉化為二進制字符串；

敏感行為比對子模塊，用于將所述APK的敏感行為的二進制字符串與同源軟件的敏感行為列表進行比對，若存在相同的字符串，則對所述APK與其同源軟件進行所述敏感行為的嫌疑路徑比對，若不存在相同的字符串，則認為所述APK為非嫌疑軟件。