[發明專利]基于API依賴關系圖的安卓惡意代碼檢測方法

有效

• 申請號: 201710009886.X
• 申請日: 2017-01-06
• 公開（公告）號: CN106874762B
• 公開（公告）日: 2019-09-17
• 發明（設計）人: 官全龍;羅偉其;張煥明;張凌燕
• 申請（專利權）人: 暨南大學
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 廣州市華學知識產權代理有限公司 44245
• 代理人: 李斌

1.一種基于API依賴關系圖的安卓惡意代碼檢測方法，用于審核軟件開發者提交的安卓應用軟件，檢測軟件是否帶有惡意行為，其特征在于，該方法包括下述步驟：

S1、對應用軟件的語義進行分析，生成API依賴關系圖；

S2、在數據庫中使用基于聚合的索引方法對給定的API依賴關系圖進行相似度查詢，存在正常代碼和惡意代碼的API依賴關系圖API-DRG數據庫，在API-DRG數據庫中查詢與給定的圖最相似的依賴關系圖，使用基于聚合的索引方法去提高查詢效率和可擴展性，每個聚合由與API-DRG數據庫中API相關聯的位矢量組成，位矢量表示該API所在的軟件包是否出現在該依賴關系圖中，將給定軟件的位矢量和聚合里的矢量相比較，找到相應的索引，從而查詢到與給定軟件相匹配的依賴關系圖；

步驟S2中，還包括將兩個依賴關系圖的相似度進行量化，計算圖形相似度，圖形相似度是這個圖形轉變另外一個圖形的成本，即為了變成另外一個圖形，刪除舊的點和新建點的成本，而這個成本被稱為帶權重圖形的編輯距離，以下有兩個公式得出兩張圖之間轉變成：

公式一：

公式一中，wgdist(G,G',α)為圖形G轉變至圖形G’的最小成本，α是統一計算權重的函數，V和V’分別是兩個圖形的頂點，V_I和V_D分別是在圖形G新增的邊和在圖形G刪除的邊；

公式二：

公式二中，wgmaxdw(G,G',α)為圖形G和G’之間轉變的最大編輯成本，φ為空圖；

S3、通過數據庫NormalDB和MalwareDB分別完成異常檢測和簽名檢測，然后完成惡意代碼檢測與分類，利用異常檢測去探測該軟件是否是惡意軟件；如果該軟件是惡意軟件，使用簽名檢測去確定該惡意軟件的病毒類型。

2.根據權利要求1所述基于API依賴關系圖的安卓惡意代碼檢測方法，其特征在于，步驟S1中，對應用軟件的語義進行分析的具體方法為：

結合JAVA分析工具Soot框架，使用靜態分析方法，執行圖形生成程序，將安卓軟件的字節碼轉換為相應的API依賴關系圖API-DRG，該分析過程包括分析API的調用，利用上下文感知、數據流感知和模塊間的數據流的分析方法，獲得API調用引用參數和調用返回值，提取常量參數，確定API調用之間的數據依賴關系。

3.根據權利要求2所述基于API依賴關系圖的安卓惡意代碼檢測方法，其特征在于，還包括基類的調用入口發現步驟，通過遞歸回溯的算法確定基類的調用入口，具體過程如下：任意選擇一個調用，遞歸回溯分析它與前一個調用存在的依賴關系，直至發現一個不被其它API調用的入口，這即是唯一一個該類的入口。

4.根據權利要求2所述基于API依賴關系圖的安卓惡意代碼檢測方法，其特征在于，所述API依賴關系圖由一些擁有依賴關系的API組成，在依賴關系圖中，API作為點、API之間的依賴關系為邊，而對于邊的標記分為兩類，一種是由API原型、入口點、常量系統組成；第二種是涉及安卓安全級別的權重。

5.根據權利要求1所述基于API依賴關系圖的安卓惡意代碼檢測方法，其特征在于，步驟S2中，還包括API依賴關系圖中關鍵API的選擇，因為為每個API分配權重和進行相似性匹配是不現實的，所以需選擇與系統安全相關的關鍵API，為了能發現這些API，采用概念學習方式，通過惡意代碼的正面樣本集合和正常代碼的反面樣本集合出現的頻率來決定關鍵API標記，所選的API將對惡意代碼更加敏感。

6.根據權利要求1所述基于API依賴關系圖的安卓惡意代碼檢測方法，其特征在于，步驟S2中，還包括API依賴關系圖中API的權重分配能自動化，為了最優化給API自動分配權重，將API-DRG中同類型的圖形相似度與不同類型的圖形相似度之間的差值最大化，此時的權重矢量即是最優化的權重分配，通過以下公式求得最佳權重矢量：

當v是關鍵API頂點時，1≤α(v)≤δ；否則α(v)＝1；

公式中α是權重函數，δ是最大的權重值；

結合上面公式，通過使用局部擇優的算法，通過循環計算該公式，求得最佳的權重矢量。