[發明專利]一種基于卷積神經網絡的Android勒索軟件檢測方法

有效

• 申請號: 202110783769.5
• 申請日: 2021-07-12
• 公開（公告）號: CN113378171B
• 公開（公告）日: 2022-06-21
• 發明（設計）人: 史聞博;王思雨;李丹;潘潤邦;魯寧
• 申請（專利權）人: 東北大學秦皇島分校
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F8/53;G06N3/04;G06N3/08
• 代理公司: 沈陽東大知識產權代理有限公司 21109
• 代理人: 李珉

1.一種基于卷積神經網絡的Android勒索軟件檢測方法，其特征在于，包括以下步驟：

步驟1：安卓應用軟件特征提取，對不平衡數據集中的Android非勒索軟件和勒索軟件的原始安裝文件進行特征提取，具體包括行為特征以及結構特征；

所述行為特征為從XML文件中提取權限和API函數，具體包括以下步驟：

步驟S1：反編譯：使用apk反編譯工具對應用程序進行分解，并獲得應用程序的配置文件；

步驟S2：解析程序包中Manifest.xml配置文件以提取應用程序請求的權限；通過掃描對應用程序的分解獲得的SMALI裝配文件代碼以提取應用程序調用的系統API函數；

步驟S3：生成特征向量：基于步驟S2中提取的應用程序權限和API函數，生成二進制特征向量，即行為特征；

所述結構特征為從DEX文件中提取軟件應用程序的全部操作指令以及運行數據，具體包括以下步驟：

步驟D1：反編譯：使用apk反編譯工具對應用程序進行分解，并獲得應用程序的DEX文件；

步驟D2：通過反向工程獲取的DEX文件中的編碼格式，直接用作解析文件；

步驟D3：生成特征向量：解析所獲得編碼格式，生成十六進制特征向量，即結構特征；

步驟2：建立特征向量圖片，具體包括兩種映射關系圖以及一種DEX特征圖；

步驟2中所述映射關系圖，根據步驟S3獲得的行為特征，在每個Android軟件樣本中，如果權限或API的調用被解析為映射關系，則標注該位置為對應關系，根據標注的映射關系，獲得映射關系的二進制特征向量，將二進制特征向量轉換為十進制值矩陣，并將轉化后的十進制值矩陣生成映射關系圖，分別是權限-API映射關系圖和API-權限映射關系圖，這兩種圖片作為行為特征提取的結果；

所述DEX特征圖，讀取步驟D3中解析應用程序后所獲取的十六進制特征向量，將特征向量轉換為十進制值，并將十進制矩陣生成DEX特征圖，即得到一種特征向量圖片，為DEX特征圖，作為結構特征提取的結果；

步驟3：讀取映射關系圖以及特征向量圖片，生成numpy數組,用作卷積神經網絡CNN的輸入；所述numpy數組是提取特征的最終形式，其表示Android軟件安裝包APK文件所代表的特征信息；

步驟4：訓練卷積神經網絡CNN；根據神經網絡的誤測精度反向傳播進行權重和參數的調整，直至CNN滿足條件或訓練周期結束，得到訓練好的卷積神經網絡模型；

步驟4中所述卷積神經網絡CNN包括卷積層、池化層、Flatten層、Dropout層，全連接層；卷積神經網絡CNN采用焦損函數，通過降低多數樣本的損失來降低對整體損失的貢獻，焦損函數用于估計模型輸出與實際值之間的間隙，以實現預測標簽生成的錯誤的反向化和樣本的實際標簽，以指導網絡參數學習和表示學習，并指導模型優化的方向，交叉熵測量同一隨機變量中的兩個不同概率分布之間的差異程度，聯結的值越小，模型預測效果越好；

首先構建序貫模型Sequential，將numpy數組放入卷積層中，使用卷積核進行模型訓練，得到訓練后的numpy數組；使用池化層降低信息冗余，得到更新后的numpy數組，將更新后的numpy數組輸入至Flatten層，得到一維數組；

使用自定義的全連接權重矩陣進行訓練，將輸出維度設定為一維數組，得到的新的矩陣，并輸入至Dropout層，防止矩陣訓練過程中過擬合現象的發生；

使用自定義的全連接權重矩陣繼續進行訓練，將輸出維度仍保持為不變，得到的新的矩陣，輸出的一維數組并再次輸入至Dropout層，再次防止矩陣訓練過程中過擬合現象的發生；

將全連接矩陣變成1*1的矩陣獲得最終結果，即預測應用的概率，設置概率N(1N0)作為判斷待檢測應用程序是勒索軟件或非勒索軟件的判定界限；

步驟5：安卓勒索軟件與非勒索軟件檢測識別；對待檢測Android勒索應用程序，獲取其特征向量圖片；將特征向量圖片的numpy數組格式輸入訓練好的卷積神經網絡CNN中，并輸出是否屬于勒索軟件的分類結果。