[發明專利]一種基于混合特征的Android惡意軟件檢測方法及系統

在審

• 申請號: 201610139936.1
• 申請日: 2016-03-11
• 公開（公告）號: CN107180190A
• 公開（公告）日: 2017-09-19
• 發明（設計）人: 張巍;任環;姜青山
• 申請（專利權）人: 深圳先進技術研究院
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62
• 代理公司: 北京三友知識產權代理有限公司11127
• 代理人: 郭曉宇

1.一種基于混合特征的Android惡意軟件檢測方法，其特征在于，包括：

獲取Dalvik特征數據、API特征數據、權限特征數據；

利用Dalvik指令分類器、API分類器、權限分類器，分別對Dalvik特征數據、API特征數據、權限特征數據采用極限學習機的算法進行分類，建立分類模型，并根據該分類模型計算獲得預測標簽；

基于預測標簽及Dalvik指令分類器、API分類器、權限分類器的分類精度，利用線性組合方式進行融合，計算獲得預測值，根據該預測值進行惡意軟件的判斷。

2.根據權利要求1所述的基于混合特征的Android惡意軟件檢測方法，其特征在于，獲取Dalvik特征數據、API特征數據、權限特征數據，包括：

利用baksmali工具獲取Android應用軟件的Dalvik特征數據，通過反編譯dex文件，輸出Dalvik匯編文件，提取Dalvik特征數據，并使用特征向量表示該應用軟件；

利用Dedexer工具獲取API特征數據，通過操作指令將classes.dex文件反編譯成smali文件，在smali文件中提取該應用軟件的API特征數據；

通過解析AndroidManifest.xml文件獲取所述權限特征數據，并通過權限特征向量來表示該應用軟件。

3.根據權利要求1所述的基于混合特征的Android惡意軟件檢測方法，其特征在于，利用Dalvik指令分類器、API分類器、權限分類器，分別對Dalvik特征數據、API特征數據、權限特征數據采用極限學習機的算法進行分類，建立分類模型，并根據該分類模型計算獲得預測標簽，包括：

在訓練階段，隨機給已知樣本分配輸入權值與偏差，計算隱藏層節點的輸出，方法如下：

h_ij＝g(w_jx_i+b_j)；i＝1,2,…,N；j＝1,2,…,k； (1)

其中，h_ij是第j個隱藏層節點的輸出，w_j是連接第j個隱藏節點與輸入數據的權值，w_j＝[w_j1,w_j2,…,w_jn]^T，n為樣本的特征維度，T為在利用Dalvik指令分類器對Dalvik特征數據訓練時、利用API分類器對API特征數據訓練時或利用權限分類器對權限特征數據訓練時對應的已知樣本的分類標簽，x_i為第i個輸入樣本，b_j是第j個隱藏層節點偏差，N是樣本數量，k是隱藏層節點數量，g是激活函數；

根據隱藏層節點的輸出，隱藏層輸出矩陣記為H＝{h_ij}；

連接隱藏層與輸出層節點的權值向量記為計算方法為：

其中，是H的Moore-Penrose的廣義逆矩陣；

在測試階段，對于未知樣本，利用公式1計算未知樣本的隱藏層節點輸出H'，然后分別計算獲得未知樣本的預測標簽，計算方法為：

T′=H′β^;---(3)]]>

其中，T'為在利用Dalvik指令分類器、API分類器或權限分類器測試時對應的未知樣本的預測標簽。