[发明专利]一种APK病毒特征码的提取方法及装置

说明书

技术领域

本申请涉及计算机安全的技术领域，特别是涉及一种APK病毒特征码的提取方法，以及，一种APK病毒特征码的提取装置。

背景技术

Android是一种以Linux为基础的开放源码操作系统，主要使用于手机等移动终端，目前尚未有统一中文名称。Android平台由操作系统、中间件、用户界面和应用软件组成。

APK是Android application package file的缩写，即Android安装包，也可以理解为Android终端上安装的应用软件。APK是类似Symbian Sis或Sisx的文件格式。通过将APK文件直接传到Android模拟器或Android终端中执行即可安装。apk文件和sis一样，把android sdk编译的工程打包成一个安装程序文件，格式为apk。APK文件其实是zip格式，但后缀名被修改为apk，通过UnZip解压后，可以看到Dex文件，Dex是DalvikVM executes的全称，即Android Dalvik执行程序，并非标准的Java字节码而是Dalvik字节码。Android在运行一个程序时首先需要UnZip，然后类似Symbian那样直接运行，和Windows Mobile中的PE文件有区别。

具体而言，APK文件的结构如下表所示：

在具体应用时，APK可以通过数据线导入移动终端，或者，直接通过market(工具软件，如安卓市场)、网页等方式下载安装。随着Android终端的普及和发展，各种各样的APK应运而生，这其中就包括了病毒APK，例如，一些APK通过诸如短信定制付费服务、拔打付费电话、备份用户手机中的敏感数据至特定服务器等恶意行为来损害用户的权益。

目前，已经出现了一些专门针对移动终端的安全软件(如手机杀毒软件)来对这些病毒APK进行查杀。这些现有的安全软件查杀病毒APK的方法主要有以下两种：

第一种是通过APK文件的HASH、签名、Package名字来对病毒APK进行识别，其原理是通过对APK使用HASH算法提取KEY，之后即可依据此KEY去识别病毒APK，或者，通过病毒APK制作者的APK数字签名、包名等对其进行识别。

然而，上述现有的基于APK文件的HASH进行识别的方式，很容易通过重新混淆、或者，在APK文件中添加新的资源文件乃至修改代码等方式，使通过HASH算法提取KEY发生改变，进而导致无法识别；上述现有的基于签名的识别方式可以通过更换签名的方式绕过；上述现有的基于Package名字来识别的方式也可通过修改包名的方式来绕过。而且更改混淆方式，修改APK文件(添加删除资源，代码等)或者更换签名对病毒制造者而言都很容易，所以病毒制造者很轻易地就可以制造新的病毒变种从而绕过安全软件的识别。

第二种是通过APK文件中的classes.dex中的类名对其进行识别，其原理是通过分析classes.dex中的类然后从中提取出若干个类的名字作为病毒特征码，之后即可解析病毒APK的classes.dex文件，看其中是否包含特定的类名来对其进行识别。

然而，这种通过扫描类名来进行识别的方式，一方面因为仅仅检查类名从而容易误报，另一方面也很容易被病毒制造者通过混淆或者直接修改类名而绕过。

因此，目前需要本领域技术人员解决的一个技术问题就是，提供一种病毒APK特征码的提取机制，用以准确、有效地提取出病毒APK特征码，以帮助提高病毒APK及其变种识别的效率和准确性，从而提高APK应用的安全性。

发明内容

本申请提供一种APK病毒特征码的提取方法，用以准确、有效地提取出病毒APK特征码，以帮助提高病毒APK及其变种识别的效率和准确性，从而提高APK应用的安全性。

本申请还提供了一种APK病毒特征码的提取装置，用以保证上述方法在实际中的应用及实现。

为了解决上述问题，本申请公开了一种APK病毒特征码的提取方法，包括：

扫描Android安装包APK中的指定文件；

提取所述指定文件中的操作指令，判断所述操作指令是否包含病毒信息；

若是，则根据所述操作指令生成病毒特征码。

优选的，所述指定文件包括可执行文件，所述可执行文件包括Dex文件，所述Dex文件包括classes.dex文件，扩展名为.jar的文件，以及，Dex格式的文件。

优选的，所述的方法，还包括：

提取所述可执行文件的常量池中的常量，判断所述常量中是否包含病毒信息；