[發明專利]一種基于行為特征的安卓惡意應用分類方法及系統

有效

• 申請號: 201810037514.2
• 申請日: 2018-01-16
• 公開（公告）號: CN108090360B
• 公開（公告）日: 2021-04-13
• 發明（設計）人: 趙淦森;陳梓豪;梁軾文;劉全鳳;朱健飛;吳杰超;任雪琦;王欣明;張奇支;楊晉吉;葉衛東;溫贊亮;黃永聰
• 申請（專利權）人: 華南師范大學;東莞廣播電視臺
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F8/53;G06K9/62
• 代理公司: 廣州嘉權專利商標事務所有限公司 44205
• 代理人: 胡輝

1.一種基于行為特征的安卓惡意應用分類方法，其特征在于：包括以下步驟：

對輸入的安卓應用樣本進行反編譯，得到反編譯后的源文件；

對反編譯后的源文件進行語法分析和特征提取，得到安卓惡意應用的靜態特征和行為特征，所述安卓惡意應用的行為特征通過語法分析獲取并反映了安卓惡意應用開發者的行為偏好，其中，所述對反編譯后的源文件進行語法分析和特征提取，得到安卓惡意應用的靜態特征和行為特征這一步驟，包括以下步驟：

采用語法分析器從反編譯后的源文件中提取安卓惡意應用的行為特征；

其中，所述采用語法分析器從反編譯后的源文件中提取安卓惡意應用的行為特征這一步驟，包括以下步驟：

初始化語法分析器和權限列表字典樹，所述權限列表字典樹用于存儲安卓惡意應用向操作系統申請的權限并供語法分析器在進行語法分析時查詢；

將反編譯后的源文件輸入語法分析器進行語法分析，得到安卓惡意應用每個權限的類、函數和函數的使用路徑，并根據安卓惡意應用所有權限的類和函數定義繼承關系數據庫；

對安卓惡意應用每個權限的類和函數進行數據清洗，得到清洗完的類和函數的使用路徑；

根據清洗完的類和函數的使用路徑以及反編譯后的源文件，采用Shikra算法分析安卓惡意應用每個權限在各路徑上的使用情況，得到安卓惡意應用的行為特征；

根據得到的靜態特征和行為特征采用支持向量機分類器對待分類安卓應用進行分類，以將待分類安卓應用劃分為安卓惡意應用或安卓非惡意應用。

2.根據權利要求1所述的一種基于行為特征的安卓惡意應用分類方法，其特征在于：所述對輸入的安卓應用樣本進行反編譯，得到反編譯后的源文件這一步驟，具體包括：

輸入給定的安卓惡意應用樣本；

采用APKTOOL將安卓惡意應用樣本的APK包反編譯成Smali源代碼，得到反編譯后的源文件。

3.根據權利要求2所述的一種基于行為特征的安卓惡意應用分類方法，其特征在于：所述對反編譯后的源文件進行語法分析和特征提取，得到安卓惡意應用的靜態特征和行為特征這一步驟，具體還包括：

采用靜態分析法從反編譯后的源文件中提取安卓惡意應用的靜態特征；

根提取的靜態特征和行為特征得到復合特征。

4.根據權利要求3所述的一種基于行為特征的安卓惡意應用分類方法，其特征在于：所述靜態特征的類別包括Size類、Broadcast類和Permisson類，其中，Size類是指安卓應用的安裝包大小，Broadcast類和Permisson類均為反編譯后的源文件中安卓應用安裝時向操作系統申請的權限，Broadcast類和Permisson類的特征值均為0或1；Broadcast類的描述包括BOOT_COMPLETED、SMS_RECEIEVED、CONNECTIVITY_CHANGE、DATA_SMS_RECEIVED和AIRPLANE_MODE，Permisson類的描述包括READ_PHONE_STATE、SEND_SMS、RECEIVE_SMS、INSTALL_SHORTCUT、READ_SMS、WRITE_SETTINGS、READ_CONTACTS、CHANGE_WIFI_STATE和CHANGE_NETWORK_STATE，BOOT_COMPLETED、SMS_RECEIEVED、CONNECTIVITY_CHANGE、DATA_SMS_RECEIVED和AIRPLANE_MODE分別為安卓應用在啟動期間的操作、發送信息、聯網狀態更換、接收短信和轉變為飛行模式時所需要的權限，READ_PHONE_STATE、SEND_SMS、RECEIVE_SMS、INSTALL_SHORTCUT、READ_SMS、WRITE_SETTINGS、READ_CONTACTS、CHANGE_WIFI_STATE和CHANGE_NETWORK_STATE分別為安卓應用在讀取手機狀態、發送短信、接收短信、創建快捷方式、讀取短信、寫文件系統、讀取通訊錄、WIFI聯網狀態和聯網狀態查詢中所需的權限。