[發(fā)明專利]一種基于深度學(xué)習(xí)的Android惡意軟件檢測(cè)方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201810963774.2
• 申請(qǐng)日: 2018-08-23
• 公開(kāi)（公告）號(hào): CN109271788B
• 公開(kāi)（公告）日: 2021-10-12
• 發(fā)明（設(shè)計(jì)）人: 羅森林;張寒青;潘麗敏
• 申請(qǐng)（專利權(quán)）人: 北京理工大學(xué)
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56;G06K9/62;G06N3/04;G06N3/08
• 代理公司: 暫無(wú)信息
• 代理人: 暫無(wú)信息

1.一種基于深度學(xué)習(xí)的Android惡意軟件檢測(cè)方法，其特征在于所述方法包括如下步驟：

步驟1，獲取Android正負(fù)樣本文件，然后對(duì)文件進(jìn)行預(yù)處理，包括：選取正負(fù)Android應(yīng)用軟件，并對(duì)APK文件進(jìn)行解壓縮處理得到APK中文件中所有的文件；然后對(duì)class.dex文件進(jìn)行反編譯處理，提取出每個(gè)APK中每一份smalli文件里Dalvik操作碼；

步驟2，就步驟1得到的文件進(jìn)行特征提取并得到每一個(gè)軟件特征向量，包括：對(duì)步驟1得到的文件進(jìn)行處理得到APK文件的經(jīng)驗(yàn)特征、結(jié)構(gòu)特征和Dalvik指令集的N-gram統(tǒng)計(jì)特征，并將上述特征進(jìn)行數(shù)值化和歸一化處理后得到每一個(gè)軟件的特征向量，其中結(jié)構(gòu)化特征，包括APK申請(qǐng)的敏感權(quán)限，應(yīng)用包含的系統(tǒng)動(dòng)作、以及activity、service、BroadcastReceive、Content Provider數(shù)量共63維；經(jīng)驗(yàn)特征，它主要包括長(zhǎng)期惡意APK檢測(cè)分析的經(jīng)驗(yàn)總結(jié)的特征，包括資源文件中是否包含可執(zhí)行文件，assets文件夾中是否包含APK文件、APK文件中資源文件中包含的圖像文件個(gè)數(shù)和參數(shù)大于20的函數(shù)的個(gè)數(shù)共4維；Dalvik操作碼的N-gram統(tǒng)計(jì)特征1000維，考慮到惡意軟件實(shí)現(xiàn)惡意意圖的功能代碼都會(huì)集中在一個(gè)惡意文件中，因此在統(tǒng)計(jì)N-gram特征時(shí)以單個(gè)Smalli文件為單位，然后將每個(gè)文件統(tǒng)計(jì)的N-gram特征進(jìn)行加權(quán)和歸一化處理后作為最終的特征向量；

步驟3，根據(jù)步驟2提取的數(shù)據(jù)構(gòu)建分類模型，在構(gòu)建過(guò)程中在數(shù)據(jù)集上采用5折交叉驗(yàn)證方法對(duì)模型進(jìn)行評(píng)估，最后基于構(gòu)建神經(jīng)網(wǎng)絡(luò)分類器并對(duì)軟件進(jìn)行識(shí)別檢測(cè)，構(gòu)建惡意軟件分類模型時(shí)采用全聯(lián)接深度神經(jīng)網(wǎng)絡(luò)，一方面該模型適合處理高維數(shù)據(jù)的輸入；另一方面，深度學(xué)習(xí)能夠增強(qiáng)特征學(xué)習(xí)，模型學(xué)習(xí)過(guò)程中能對(duì)APK提取的1067維特征進(jìn)行相應(yīng)的組合變換，自動(dòng)挖掘特征間深層次聯(lián)系，以適應(yīng)不斷進(jìn)化的惡意軟件，實(shí)現(xiàn)較高的惡意軟件檢測(cè)準(zhǔn)確率。