[發(fā)明專利]惡意應(yīng)用檢測方法、介質(zhì)、設(shè)備及裝置

有效

• 申請?zhí)枺?/td>: 201911213998.2
• 申請日: 2019-12-02
• 公開（公告）號: CN111027070B
• 公開（公告）日: 2022-05-03
• 發(fā)明（設(shè)計(jì)）人: 馮超;葉超林;張映民;黃聯(lián)芬;林英;葉國華;黃繼翔;王威
• 申請（專利權(quán)）人: 廈門大學(xué);福建聯(lián)迪商用設(shè)備有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F16/35
• 代理公司: 廈門創(chuàng)象知識產(chǎn)權(quán)代理有限公司 35232
• 代理人: 崔建鋒;陳文戎

1.一種惡意應(yīng)用檢測方法，其特征在于，包括以下步驟：

獲取應(yīng)用文件，并對所述應(yīng)用文件進(jìn)行反編譯，以獲取所述應(yīng)用文件的靜態(tài)信息；

運(yùn)行所述應(yīng)用文件，并獲取所述應(yīng)用文件在運(yùn)行過程中產(chǎn)生的動(dòng)態(tài)信息；

分別提取所述靜態(tài)信息和所述動(dòng)態(tài)信息對應(yīng)的第一文本特征，并計(jì)算每個(gè)所述第一文本特征對應(yīng)的第一特征向量；

將所述第一文本特征和對應(yīng)的第一特征向量輸入到場感知因子分解機(jī)進(jìn)行分類器的訓(xùn)練，以得到惡意應(yīng)用檢測模型；

獲取待檢測應(yīng)用文件，并提取所述待檢測應(yīng)用文件的第二文本特征和對應(yīng)的第二特征向量，以及將所述第二文本特征和對應(yīng)的第二特征向量輸入到所述惡意應(yīng)用檢測模型，以通過所述惡意應(yīng)用檢測模型判斷待檢測應(yīng)用文件中的應(yīng)用軟件是否為惡意應(yīng)用。

2.如權(quán)利要求1所述的惡意應(yīng)用檢測方法，其特征在于，所述靜態(tài)信息包括：靜態(tài)應(yīng)用權(quán)限信息、組件信息、監(jiān)聽信息、靜態(tài)關(guān)鍵API調(diào)用信息和靜態(tài)網(wǎng)絡(luò)通信信息。

3.如權(quán)利要求1所述的惡意應(yīng)用檢測方法，其特征在于，所述動(dòng)態(tài)信息包括：動(dòng)態(tài)網(wǎng)絡(luò)通信信息、加密信息、實(shí)際調(diào)用API信息、動(dòng)態(tài)應(yīng)用權(quán)限信息和反射調(diào)用信息。

4.如權(quán)利要求1所述的惡意應(yīng)用檢測方法，其特征在于，所述惡意應(yīng)用檢測模型通過以下公式進(jìn)行表述：

其中，w₀表示惡意應(yīng)用檢測模型的常數(shù)項(xiàng)，w_i表示第i個(gè)文本特征的參數(shù)，f_i表示第i個(gè)文本特征對應(yīng)的特征向量，＜v_i，v_j＞表示向量v_i和向量v_j之間的內(nèi)積，x_i表示當(dāng)前惡意應(yīng)用是否含有第i個(gè)特征：x_i＝1表示含有第i個(gè)特征，x_i＝0表示不含有第i個(gè)特征。

5.一種計(jì)算機(jī)可讀存儲介質(zhì)，其特征在于，其上存儲有惡意應(yīng)用檢測程序，該惡意應(yīng)用檢測程序被處理器執(zhí)行時(shí)實(shí)現(xiàn)如權(quán)利要求1-4中任一項(xiàng)所述的惡意應(yīng)用檢測方法。

6.一種計(jì)算機(jī)設(shè)備，包括存儲器、處理器及存儲在存儲器上并可在處理器上運(yùn)行的計(jì)算機(jī)程序，其特征在于，所述處理器執(zhí)行所述程序時(shí)，實(shí)現(xiàn)如權(quán)利要求1-4中任一項(xiàng)所述的惡意應(yīng)用檢測方法。

7.一種惡意應(yīng)用檢測裝置，其特征在于，包括：

第一獲取模塊，所述第一獲取模塊用于獲取應(yīng)用文件，并對所述應(yīng)用文件進(jìn)行反編譯，以獲取所述應(yīng)用文件的靜態(tài)信息；

第二獲取模塊，所述第二獲取模塊用于運(yùn)行所述應(yīng)用文件，并獲取所述應(yīng)用文件在運(yùn)行過程中產(chǎn)生的動(dòng)態(tài)信息；

特征提取模塊，所述特征提取模塊用于分別提取所述靜態(tài)信息和所述動(dòng)態(tài)信息對應(yīng)的第一文本特征，并計(jì)算每個(gè)所述第一文本特征對應(yīng)的第一特征向量；

訓(xùn)練模塊，所述訓(xùn)練模塊用于將所述第一文本特征和對應(yīng)的第一特征向量輸入到場感知因子分解機(jī)進(jìn)行分類器的訓(xùn)練，以得到惡意應(yīng)用檢測模型；

第三獲取模塊，所述第三獲取模塊用于獲取待檢測應(yīng)用文件，并提取所述待檢測應(yīng)用文件的第二文本特征和對應(yīng)的第二特征向量；

檢測模塊，所述檢測模塊用于將所述第二文本特征和對應(yīng)的第二特征向量輸入到所述惡意應(yīng)用檢測模型，并通過所述惡意應(yīng)用檢測模型判斷待檢測應(yīng)用文件中的應(yīng)用軟件是否為惡意應(yīng)用。

8.如權(quán)利要求7所述的惡意應(yīng)用檢測裝置，其特征在于，所述靜態(tài)信息包括：靜態(tài)應(yīng)用權(quán)限信息、組件信息、靜態(tài)關(guān)鍵API調(diào)用信息和靜態(tài)網(wǎng)絡(luò)通信信息。

9.如權(quán)利要求7所述的惡意應(yīng)用檢測裝置，其特征在于，所述動(dòng)態(tài)信息包括：動(dòng)態(tài)網(wǎng)絡(luò)通信信息、加密信息、實(shí)際調(diào)用API信息、動(dòng)態(tài)應(yīng)用權(quán)限信息和反射調(diào)用信息。

10.如權(quán)利要求7所述的惡意應(yīng)用檢測裝置，其特征在于，所述惡意應(yīng)用檢測模型通過以下公式進(jìn)行表述：

其中，w₀表示惡意應(yīng)用檢測模型的常數(shù)項(xiàng)，w_i表示第i個(gè)文本特征的參數(shù)，f_i表示第i個(gè)文本特征對應(yīng)的特征向量，＜v_i，v_j＞表示向量v_i和向量v_j之間的內(nèi)積，x_i表示當(dāng)前惡意應(yīng)用是否含有第i個(gè)特征：x_i＝1表示含有第i個(gè)特征，x_i＝0表示不含有第i個(gè)特征。