[發明專利]一種動靜檢測融合的勒索病毒檢測系統及方法

在審

• 申請號: 202110696841.0
• 申請日: 2021-06-23
• 公開（公告）號: CN113343236A
• 公開（公告）日: 2021-09-03
• 發明（設計）人: 韓剛;王贇玲;羅維
• 申請（專利權）人: 西安郵電大學
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 西安亞信智佳知識產權代理事務所(普通合伙) 61241
• 代理人: 張西娟

1.一種動靜檢測融合的勒索病毒檢測系統，應用于安卓系統的電子設備，其特征在于，包括：

動態檢測分析組件，用于實例化Observer組件并實時監控APK文件信息熵值，當所述APK文件信息熵值變大時判斷所述APK文件為勒索病毒文件；

靜態檢測分析組件，包括：

信息提取模塊，用于獲取APK文件的基本信息，所述基本信息至少包括文件包名和API版本號；

文件提取模塊，用于獲取所述APK文件的源碼文件和資源文件；

檢測分析模塊，至少包括簽名分析子模塊、權限分析子模塊、API調用分析子模塊和資源文件分析子模塊中的一個；所述簽名分析子模塊用于根據所述APK文件中的開發者簽名信息判斷所述APK文件是否為勒索病毒文件；所述權限分析子模塊用于根據所述APK文件權限判斷所述APK文件是否為勒索病毒文件；所述API調用分析子模塊用于調用所述源碼文件，通過分析所述源碼文件判斷所述APK文件是否為勒索病毒文件；所述資源文件分析子模塊用于調用所述資源文件，通過分析所述資源文件判斷所述APK文件是否為勒索病毒文件；

綜合分析組件，用于當所述動態檢測分析組件、簽名分析子模塊、權限分析子模塊、API調用分析子模塊和資源文件分析子模塊中至少一個的判斷結果為勒索病毒文件時，判定所述電子設備具有勒索病毒。

2.根據權利要求1所述動靜檢測融合的勒索病毒檢測系統，其特征在于，所述文件提取模塊包括：

反編譯單元，用于對所述APK文件進行反編譯從而得到源碼文件和資源文件；

發送單元，用于將所述源碼文件發送至所述API調用分析子模塊和將所述資源文件發送至所述資源文件分析子模塊。

3.根據權利要求2所述動靜檢測融合的勒索病毒檢測系統，其特征在于，所述簽名分析子模塊包括：

開發者存儲單元，用于存儲的勒索病毒開發者名單；

簽名比對單元，用于將所述APK文件中的開發者簽名信息與所述勒索病毒開發者名單進行比對；

第一判斷單元，用于當所述勒索病毒開發者名單中存在所述APK文件中的開發者簽名信息時判斷所述APK文件為勒索病毒文件。

4.根據權利要求2所述動靜檢測融合的勒索病毒檢測系統，其特征在于，所述權限分析子模塊包括：

權限存儲單元，用于存儲已知的勒索病毒種類及與各種類勒索病毒分別對應的權限類型；

權限比對單元，用于將所述APK文件權限類型與所述權限存儲單元的權限類型進行比對；

第二判斷單元，用于當所述APK文件權限類型均存在于所述權限存儲單元中時，判斷所述APK文件為勒索病毒文件。

5.根據權利要求4所述動靜檢測融合的勒索病毒檢測系統，其特征在于，所述第二判斷單元還用于當所述APK文件權限類型均存在于所述權限存儲單元中且均屬于某一勒索病毒種類所對應的權限類型時，判斷所述APK文件為勒索病毒文件并獲知其勒索病毒種類。

6.根據權利要求2所述動靜檢測融合的勒索病毒檢測系統，其特征在于，所述API調用分析子模塊包括：

程序化單元，用于調用所述源碼文件，對所述源碼文件中的各函數序列進行程序化處理，重構出所述各函數執行的調用關系；

還原單元，通過所述各函數執行的調用關系還原所述源碼文件原本執行的功能；

第三判斷單元，用于根據所述功能判斷所述APK文件是否為勒索病毒文件。

7.根據權利要求2所述動靜檢測融合的勒索病毒檢測系統，其特征在于，所述資源文件包括：字符串、圖片和文件庫。

8.根據權利要求7所述動靜檢測融合的勒索病毒檢測系統，其特征在于，所述資源文件分析子模塊包括：

字符串分析單元，用于分析所述字符串，當所述字符串中含有預設敏感詞匯時，判斷所述APK文件為勒索病毒文件；

圖片分析單元，用于分析所述圖片，當所述圖片中含有預設敏感詞匯時，判斷所述APK文件為勒索病毒文件；

文件庫分析單元，用于分析所述文件庫，當發現所述文件庫被篡改時，判斷所述APK文件為勒索病毒文件。