[發明專利]一種基于虛擬化的安卓惡意程序檢測方法

在審

• 申請號: 201910542297.7
• 申請日: 2019-06-21
• 公開（公告）號: CN110334511A
• 公開（公告）日: 2019-10-15
• 發明（設計）人: 朱小軍;楊志晗;李鑫;韓皓
• 申請（專利權）人: 南京航空航天大學
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F21/53
• 代理公司: 南京蘇高專利商標事務所(普通合伙) 32204
• 代理人: 王安琪

1.一種基于虛擬化的安卓惡意程序檢測方法，其特征在于，包括如下步驟：

(1)確定敏感應用程序接口API的范圍，建立數據收集框架，在虛擬平臺上編寫插件收集敏感API調用情況；

(2)采集來源于公開、正規應用市場的應用作為正樣本，采集公開已知的惡意軟件為負樣本，在數據收集框架下運行正負樣本，記錄敏感API調用情況作為正負樣本；

(3)訓練分配模型，樣本的屬性分為三類，分別為每兩個敏感API的組合、長度為3的敏感API序列以及敏感API的調用頻率，每類屬性建立一個分類器，共計3個分類器，最終訓練每個分類器的投票權重，采用加權求合的方式判斷應用程序是否為惡意程序。

(4)在線檢測和分類器調整，用戶在虛擬框架運行程序，監聽應用程序的運行并給出安全指數，收集到用戶的反饋后會進一步調整分類器。

2.如權利要求1所述的基于虛擬化的安卓惡意程序檢測方法，其特征在于，步驟(1)中，確定敏感應用程序接口API的范圍，建立數據收集框架，在虛擬平臺上編寫插件收集敏感API調用情況包括以下步驟：

(11)確定敏感API范圍時的原則是該API能夠影響到用戶的隱私安全；

(12)建立的數據收集框架能夠在智能終端上運行，并且不需要root。

3.如權利要求1所述的基于虛擬化的安卓惡意程序檢測方法，其特征在于，步驟(2)所述的公開、正規應用市場包括百度應用市場、華為應用市場，所述公開已知的惡意軟件為看雪安全論壇、吾愛破解論壇所公開的惡意軟件。

4.如權利要求1所述的基于虛擬化的安卓惡意程序檢測方法，其特征在于，步驟(3)具體包括以下步驟：

(31)以每兩個敏感API的組合作為屬性時，屬性個數為(API個數)*(API個數-1)/2，以決策樹模型建立分類器；

(32)以長度為3的敏感API序列作為屬性時，屬性個數為(API個數)的三次方，以支持向量機作為分類器；

(33)以敏感API的調用頻率為屬性時，屬性個數等于API個數，以樸素貝葉斯分類器為分類器；

(34)在訓練綜合分類器時，使用多響應線性回歸作為次級算法，對初級分類器的結果進行綜合，訓練投票權重。

5.如權利要求1所述的基于虛擬化的安卓惡意程序檢測方法，其特征在于，步驟(4)使用用戶反饋信息具體為：用戶在使用應用程序時，提示應用程序的安全指數，如果用戶將應用程序標記為安全或者不安全，則該信息將被發送到后臺服務器，后臺服務器重新運行步驟(3)的分類算法，更新分類器。