[發明專利]一種對安卓惡意程序進行檢測的方法

有效

• 申請號: 202210363073.1
• 申請日: 2022-04-07
• 公開（公告）號: CN114722391B
• 公開（公告）日: 2023-03-28
• 發明（設計）人: 牛偉納;張洪彬;張小松;任熙璇;趙麗睿;邵淇奧
• 申請（專利權）人: 電子科技大學
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 成都正煜知識產權代理事務所(普通合伙) 51312
• 代理人: 袁宇霞

1.一種對安卓惡意程序進行檢測的方法，其特征在于，包括以下步驟：

步驟1：使用反編譯工具對安卓應用程序進行反編譯處理，獲得的反編譯文件，反編譯文件包括安卓清單文件和smali代碼文件；

步驟2：對于每個安卓應用程序，分別從清單文件和smali代碼文件中提取出聲明的權限和調用的API；

步驟3：提取APK、API和權限這三種實體間的五種類型的關系，用得到的實體和關系構建安卓異構信息網絡，其中APK是指安卓應用程序包；

步驟4：通過Metapath2vec算法基于安卓異構信息網絡中的多種元路徑對異構網絡進行圖嵌入處理，獲得同一安卓應用程序基于不同元路徑時的嵌入向量，通過嵌入向量構成特征矩陣；

步驟5：將特征矩陣作為多核學習模型中的不同內核，訓練APK分類器，并使用訓練好的分類器對安卓程序進行檢測和分類；

所述步驟3中的五種關系類型分別為API與權限的映射關系、權限的同組關系、API的共現關系、APK對API的包含關系和APK對權限的包含關系：

所述API與權限的映射關系，記為關系類型，是一組API調用與安卓應用程序可能請求的權限集合之間的一組映射；

所述權限的同組關系，記為關系類型，用于實現同一類功能的權限被歸為一組；

所述API的共現關系，記為關系類型，在smali代碼文件內的一個方法定義中調用到的API之間具有共現關系；

所述APK對API的包含關系，記為關系類型，用于表明安卓程序中調用到的API；

所述APK對權限的包含關系，記為關系類型，用于表明安卓程序中聲明的權限；

所述的五種關系類型的提取方法為：

根據PScout權限映射工具中提取的權限使用規范，提取出關系類型，其中保留的API為權限映射規范中的API集合與步驟2中提取的API的交集，記為/；保留的權限為權限映射規范中的權限集合與步驟2中提取的權限的交集，記為/；

收集安卓源碼文件中的AndroidManifest.xml文件，該文件中對所有權限的用途進行了注釋，被注釋為用于同一類功能的權限兩兩之間屬于一組，由此提取出關系類型，所述權限屬于集合/；

遍歷步驟1中的所有smali代碼文件，對于在同一個方法定義中出現的API，兩兩之間建立起共現關系，其中，smali代碼文件中方法定義的具體表現形式為“.method”到最近的“.end method”之間的內容，由此提取出關系類型，所述API屬于集合/；

根據APK對API的包含關系提取關系類型，如果APK包含某API，則建立該APK與該API的包含關系，所述API屬于集合/；

根據APK對權限的包含關系提取關系類型，如果APK包含某權限，則建立該APK與該權限的包含關系，所述權限屬于集合/。

2.根據權利要求1所述的一種對安卓惡意程序進行檢測的方法，其特征在于，所述步驟3中的安卓異構信息網絡中的節點包括所有的安卓程序樣本、集合/中的API和集合/中的權限。

3.根據權利要求1所述的一種對安卓惡意程序進行檢測的方法，其特征在于，所述步驟3中的安卓異構信息網絡中的邊包括：

根據關系類型構建的API與權限節點之間的邊的集合/；

根據關系類型構建的權限與權限節點之間的邊的集合/；

根據關系類型構建的API與API節點之間的邊的集合/；

根據關系類型構建的APK與API節點之間的邊的集合/；

根據關系類型構建的APK與權限節點之間的邊的集合/。

4.根據權利要求1所述的一種對安卓惡意程序進行檢測的方法，其特征在于，所述步驟3中的安卓異構信息網絡根據節點集合、/和/以及邊的集合/、/、/、/和/即可構建。

5.根據權利要求1所述的一種對安卓惡意程序進行檢測的方法，其特征在于，所述步驟4的具體步驟為：

步驟4.1：選擇安卓異構網絡中的多種元路徑，記為，其中/表示第/種元路徑；

步驟4.2：從集合中依次選擇一種元路徑/，使用Metapath2vec算法基于該元路徑對安卓異構網絡進行嵌入，獲得的APK節點的嵌入向量構成特征矩陣/。

6.根據權利要求1或5任一所述的一種對安卓惡意程序進行檢測的方法，其特征在于，所述步驟5中的具體步驟為：

步驟5.1：分別將特征矩陣進行標準化處理；

步驟5.2：將標準化處理后的特征矩陣作為多核學習模型中的不同內核，訓練分類器，并使用訓練好的分類器對安卓程序進行檢測和分類。