[發明專利]一種智能手機惡意軟件檢測方法

在審

• 申請號: 202110271216.1
• 申請日: 2021-03-12
• 公開（公告）號: CN112860573A
• 公開（公告）日: 2021-05-28
• 發明（設計）人: 徐小龍;蔣帥;肖甫
• 申請（專利權）人: 南京郵電大學
• 主分類號: G06F11/36
• 分類號: G06F11/36;G06F8/53;G06N3/04;G06N3/08
• 代理公司: 南京縱橫知識產權代理有限公司 32224
• 代理人: 王麗霞

1.一種智能手機惡意軟件檢測方法，其特征在于，所述方法包括：

提取安卓軟件的靜態特征；

將所述安卓軟件的靜態特征輸入預先訓練好的智能手機惡意軟件檢測模型，得到指示該安卓軟件是否為惡意軟件的輸出結果；所述智能手機惡意軟件檢測模型至少包括第一DNN分類模型、第二DNN分類模型、CNN分類模型，和集合學習分類模型。

2.根據權利要求1所述的方法，其特征在于，所述提取安卓軟件的靜態特征，包括：

反向編譯安卓軟件的應用程序包，得到反編譯中間文件，從所述反編譯中間文件提取靜態特征。

3.根據權利要求2所述的方法，其特征在于，所述靜態特征包括4類有效的靜態行為特征，分別為權限、API、意圖組件、安卓系統簽名指令行為特征。

4.根據權利要求3所述的方法，其特征在于，所述靜態特征包括以0和1標注的196個靜態行為特征，其中，0表示不具有該靜態行為特征，1表示具有該靜態行為特征。

5.根據權利要求1所述的方法，其特征在于，預先訓練好的智能手機惡意軟件檢測模型的訓練步驟包括：

獲取帶標簽的安卓軟件靜態特征集，所述安卓軟件靜態特征集包含多個安卓軟件的靜態特征以及標記其是否為惡意軟件的標簽；

將所述安卓軟件的靜態特征，輸入第一DNN分類模型，獲取第一分類結果，以第一分類結果趨向于所述標簽訓練所述第一DNN分類模型；

將所述安卓軟件的靜態特征，輸入第二DNN分類模型，獲取第二分類結果，以第二分類結果趨向于所述標簽訓練所述第二DNN分類模型；

將所述安卓軟件的靜態特征轉換為特征圖，輸入CNN分類模型，獲取第三分類結果，以第三分類結果趨向于所述標簽訓練所述CNN分類模型；

集合學習分類模型根據第一分類結果、第二分類結果和第三分類結果，確定智能手機惡意軟件檢測模型的輸入結果。

6.根據權利要求5所述的方法，其特征在于，第一DNN分類模型包括輸入層、2個隱藏層，所述隱藏層為全連接層，每個全連接層有16個隱藏單元，使用Relu作為激活函數，每個全連接層附有Dropout層。

7.根據權利要求5所述的方法，其特征在于，第二DNN分類模型包括輸入層、4個隱藏層，所述隱藏層為全連接層，每個全連接層有32個隱藏單元，使用Relu作為激活函數，每個全連接層附有Dropout層。

8.根據權利要求5所述的方法，其特征在于，將所述安卓軟件的靜態特征轉換為特征圖，包括：通過張量變形運算，將所述安卓軟件的靜態特征轉換為一個14*14的灰度圖像。

9.根據權利要求8所述的方法，其特征在于，所述CNN分類模型包括卷積層C1、C2，池化層P1、P2，全連接層F1、F2，其連接次序為C1、P1、C2、P2、F1、F2；

其中，C1包括32個3*3的卷積核，P1執行2*2的最大池化操作，C2包括3*3的卷積核且其通道數為64，P2執行2*2的最大池化操作，卷積層C1、C2的激活函數為Relu，全連接層F1根據池化層P2的輸出結果確定第一全連接特征，全連接層F2根據第一全連接特征確定第二全連接特征，所述CNN分類模型的分類函數為SoftMax函數。

10.根據權利要求5所述的方法，其特征在于，集合學習分類模型根據第一分類結果、第二分類結果和第三分類結果，確定智能手機惡意軟件檢測模型的輸入結果，包括：集合學習分類模型根據第一分類結果、第二分類結果和第三分類結果的均值，確定智能手機惡意軟件檢測模型的輸入結果。