[發(fā)明專利]一種基于混合特征的Android惡意軟件檢測方法及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201610139936.1
• 申請日: 2016-03-11
• 公開（公告）號: CN107180190A
• 公開（公告）日: 2017-09-19
• 發(fā)明（設(shè)計）人: 張巍;任環(huán);姜青山
• 申請（專利權(quán)）人: 深圳先進技術(shù)研究院
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62
• 代理公司: 北京三友知識產(chǎn)權(quán)代理有限公司11127
• 代理人: 郭曉宇

1.一種基于混合特征的Android惡意軟件檢測方法，其特征在于，包括：

獲取Dalvik特征數(shù)據(jù)、API特征數(shù)據(jù)、權(quán)限特征數(shù)據(jù)；

利用Dalvik指令分類器、API分類器、權(quán)限分類器，分別對Dalvik特征數(shù)據(jù)、API特征數(shù)據(jù)、權(quán)限特征數(shù)據(jù)采用極限學習機的算法進行分類，建立分類模型，并根據(jù)該分類模型計算獲得預測標簽；

基于預測標簽及Dalvik指令分類器、API分類器、權(quán)限分類器的分類精度，利用線性組合方式進行融合，計算獲得預測值，根據(jù)該預測值進行惡意軟件的判斷。

2.根據(jù)權(quán)利要求1所述的基于混合特征的Android惡意軟件檢測方法，其特征在于，獲取Dalvik特征數(shù)據(jù)、API特征數(shù)據(jù)、權(quán)限特征數(shù)據(jù)，包括：

利用baksmali工具獲取Android應用軟件的Dalvik特征數(shù)據(jù)，通過反編譯dex文件，輸出Dalvik匯編文件，提取Dalvik特征數(shù)據(jù)，并使用特征向量表示該應用軟件；

利用Dedexer工具獲取API特征數(shù)據(jù)，通過操作指令將classes.dex文件反編譯成smali文件，在smali文件中提取該應用軟件的API特征數(shù)據(jù)；

通過解析AndroidManifest.xml文件獲取所述權(quán)限特征數(shù)據(jù)，并通過權(quán)限特征向量來表示該應用軟件。

3.根據(jù)權(quán)利要求1所述的基于混合特征的Android惡意軟件檢測方法，其特征在于，利用Dalvik指令分類器、API分類器、權(quán)限分類器，分別對Dalvik特征數(shù)據(jù)、API特征數(shù)據(jù)、權(quán)限特征數(shù)據(jù)采用極限學習機的算法進行分類，建立分類模型，并根據(jù)該分類模型計算獲得預測標簽，包括：

在訓練階段，隨機給已知樣本分配輸入權(quán)值與偏差，計算隱藏層節(jié)點的輸出，方法如下：

h_ij＝g(w_jx_i+b_j)；i＝1,2,…,N；j＝1,2,…,k； (1)

其中，h_ij是第j個隱藏層節(jié)點的輸出，w_j是連接第j個隱藏節(jié)點與輸入數(shù)據(jù)的權(quán)值，w_j＝[w_j1,w_j2,…,w_jn]^T，n為樣本的特征維度，T為在利用Dalvik指令分類器對Dalvik特征數(shù)據(jù)訓練時、利用API分類器對API特征數(shù)據(jù)訓練時或利用權(quán)限分類器對權(quán)限特征數(shù)據(jù)訓練時對應的已知樣本的分類標簽，x_i為第i個輸入樣本，b_j是第j個隱藏層節(jié)點偏差，N是樣本數(shù)量，k是隱藏層節(jié)點數(shù)量，g是激活函數(shù)；

根據(jù)隱藏層節(jié)點的輸出，隱藏層輸出矩陣記為H＝{h_ij}；

連接隱藏層與輸出層節(jié)點的權(quán)值向量記為計算方法為：

其中，是H的Moore-Penrose的廣義逆矩陣；

在測試階段，對于未知樣本，利用公式1計算未知樣本的隱藏層節(jié)點輸出H'，然后分別計算獲得未知樣本的預測標簽，計算方法為：

T′=H′β^;---(3)]]>

其中，T'為在利用Dalvik指令分類器、API分類器或權(quán)限分類器測試時對應的未知樣本的預測標簽。