[發明專利]APP應用惡意行為檢測方法及裝置

有效

• 申請號: 201710524463.1
• 申請日: 2017-06-30
• 公開（公告）號: CN109214178B
• 公開（公告）日: 2021-03-16
• 發明（設計）人: 季凌禹
• 申請（專利權）人: 中國電信股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 中國貿促會專利商標事務所有限公司 11038
• 代理人: 方亮

1.一種APP應用惡意行為檢測方法，其特征在于，包括：

對APP應用進行靜態檢測，獲取所述APP應用的代碼所包含的敏感API；

其中，對所述APP應用的代碼進行反匯編，獲取所述APP應用的第一反匯編代碼；檢測所述第一反匯編代碼中是否存在所述敏感API；

對在運行過程中的所述APP應用進行檢測，獲取與所述敏感API相關的調用關系序列；

其中，采用遞歸下降算法并基于與所述敏感API相關控制流，對所述APP應用以及調用所述敏感API的其它應用進行反匯編，轉換為第二反匯編代碼；在所述第二反匯編代碼中確定所述敏感API出現的位置以及與所述敏感API相關的調用關系，建立與所述敏感API相關的調用關系序列；

根據所述敏感API和所述調用關系序列確定所述APP應用是否為惡意應用；

其中，對所述第一反匯編代碼進行掃描，從所述第一反匯編代碼中提取與所述敏感API相關的特征數據集合；將所述特征數據集合輸入到BP神經網絡算法模型，根據預設的惡意數據樣本進行分類識別，用以確定所述APP應用是否為惡意應用以及所屬的惡意應用的類型；

采用遠程控制方式與安裝有所述APP應用的終端用戶界面進行動態交互操作；觸發執行所述APP應用的相應動作；獲取與所述APP應用相關的網絡傳輸信息和日志文件，基于所述網絡傳輸信息和日志文件確定所述APP應用是否為惡意應用。

2.如權利要求1所述的方法，其特征在于，所述根據所述敏感API和所述調用關系序列確定所述APP應用是否為惡意應用包括：

根據所述調用關系序列分析所述敏感API對于所述APP應用以及其它應用安全性的影響；

基于分析的結果確定所述APP應用是否為惡意應用。

3.一種APP應用惡意行為檢測裝置，其特征在于，包括：

靜態檢測模塊，用于對APP應用進行靜態檢測，獲取所述APP應用的代碼所包含的敏感API；

其中，所述靜態檢測模塊，包括：

第一預處理單元，用于對所述APP應用的代碼進行反匯編，獲取所述APP應用的第一反匯編代碼；

敏感API檢測單元，用于檢測所述第一反匯編代碼中是否存在所述敏感API；

行為序列分析模塊，用于對在運行過程中的所述APP應用進行檢測，獲取與所述敏感API相關的調用關系序列；

其中，所述行為序列分析模塊，包括：

第二預處理單元，用于采用遞歸下降算法并基于與所述敏感API相關控制流，對所述APP應用以及調用所述敏感API的其它應用進行反匯編，轉換為第二反匯編代碼；

調用分析單元，用于在所述第二反匯編代碼中確定所述敏感API出現的位置以及與所述敏感API相關的調用關系，建立與所述敏感API相關的調用關系序列；

惡意應用確定模塊，用于根據所述敏感API和所述調用關系序列確定所述APP應用是否為惡意應用；

所述惡意應用確定模塊，包括：

第一惡意應用分析單元，對所述第一反匯編代碼進行掃描，從所述第一反匯編代碼中提取與所述敏感API相關的特征數據集合；將所述特征數據集合輸入到BP神經網絡算法模型，根據預設的惡意數據樣本進行分類識別，用以確定所述APP應用是否為惡意應用以及所屬的惡意應用的類型；

動態分析模塊，用于采用遠程控制方式與安裝有所述APP應用的終端用戶界面進行動態交互操作；觸發執行所述APP應用的相應動作；獲取與所述APP應用相關的網絡傳輸信息和日志文件，基于所述網絡傳輸信息和日志文件確定所述APP應用是否為惡意應用取與所述APP應用相關的網絡傳輸信息和日志文件，基于所述網絡傳輸信息和日志文件確定所述APP應用是否為惡意應用。

4.如權利要求3所述的裝置，其特征在于，

所述惡意應用確定模塊，包括：

第二惡意應用分析單元，用于根據所述調用關系序列分析所述敏感API對于所述APP應用以及其它應用安全性的影響，基于分析的結果確定所述APP應用是否為惡意應用。