[发明专利]检测智能终端中恶意代码的方法及装置

说明书

技术领域

本发明涉及智能终端安全技术领域，具体涉及一种检测智能终端中恶意代码的方法及装置。

背景技术

随着科技发展，智能终端具有越来越多的功能。例如，人们的手机从传统的GSM、TDMA数字手机转向了拥有能够处理多媒体资源、提供网页浏览、电话会议、电子商务等多种信息服务的智能手机。然而，品种日益繁多的手机恶意代码攻击以及形势日益严峻的个人数据安全问题也随之而来，越来越多的手机病毒让智能手机用户饱受其苦。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的检测智能终端中恶意代码的方法及装置。

依据本发明的一个方面，提供一种检测智能终端中恶意代码的方法，包括：从智能终端操作系统的应用程序层，获取应用程序的虚拟机执行文件；对所述虚拟机执行文件进行反编译，得到反编译的函数信息结构；解析所述反编译的函数信息结构，提取出所述反编译的函数信息结构中的函数调用序列；利用预先设置的恶意代码特征库，对所述函数调用序列进行匹配，如果匹配成功，则确定所述应用程序的虚拟机执行文件包含恶意代码。

优选地，还包括：通过解析所述反编译的函数信息结构，得到虚拟机助记符序列；从所述虚拟机助记符序列中提取得到所述函数调用序列。

优选地，所述函数调用序列为多个；所述方法还包括：通过分析按照顺序执行的多个函数调用序列的指令，确定所述函数的功能。

优选地，所述多个函数调用序列按照顺序执行的指令包括：解密字符串、创建消息签名实例、获取字符串子针、哈希加密。

优选地，所述利用预先设置的恶意代码特征库，对所述函数调用序列进行匹配包括：利用预先设置的恶意代码特征库，对所述函数调用序列进行函数相似度匹配，和／或，对所述函数调用序列进行函数特征模糊匹配。

优选地，将所述多个函数调用序列构成的具有一定功能的函数作为目标特征；所述利用预先设置的恶意代码特征库，对所述函数调用序列进行匹配包括：利用预先设置的恶意代码特征库，对所述目标特征进行函数相似度匹配，和／或，对所述目标特征进行函数特征模糊匹配。

优选地，对所述虚拟机执行文件进行样本特征查杀、基于虚拟机查杀、启发式查杀，和／或，相似样本聚类。

优选地，所述对所述虚拟机执行文件进行反编译，得到反编译的函数信息结构包括：根据虚拟机执行文件格式对虚拟机执行文件进行解析，得到每个类的函数信息结构体；根据所述函数信息结构体中的字段，确定所述虚拟机执行文件的函数的位置及大小，得到所述反编译的函数信息结构。

优选地，所述根据函数信息结构体中的字段，确定所述虚拟机执行文件的函数的位置及大小包括：解析所述函数信息结构体，得到指示虚拟机执行文件的函数位置的字节码数组字段以及指示虚拟机执行文件的函数大小的列表长度字段；根据所述字节码数组字段以及所述列表长度字段，确定所述虚拟机执行文件的函数的位置及大小。

优选地，所述对所述虚拟机执行文件进行反编译，得到反编译的函数信息结构包括：利用虚拟机执行文件反编译工具，将所述虚拟机执行文件反编译为虚拟机字节码。

优选地，所述从智能终端操作系统的应用程序层，获取应用程序的虚拟机执行文件包括：从智能终端操作系统的应用程序层，查找到所述应用程序的安装包；解析所述安装包，得到所述应用程序的虚拟机执行文件。

优选地，所述操作系统是指安卓系统。

依据本发明的另一个方面，提供一种检测智能终端中恶意代码的装置，包括：文件获取单元，用于从智能终端操作系统的应用程序层，获取应用程序的虚拟机执行文件；反编译单元，用于对所述虚拟机执行文件进行反编译，得到反编译的函数信息结构；提取单元，用于解析所述反编译的函数信息结构，提取出所述反编译的函数信息结构中的函数调用序列；检测单元，用于利用预先设置的恶意代码特征库，对所述函数调用序列进行匹配，如果匹配成功，则确定所述应用程序的虚拟机执行文件包含恶意代码。

优选地，还包括：解析单元，用于通过解析所述反编译的函数信息结构，得到虚拟机助记符序列；所述提取单元是从所述虚拟机助记符序列中提取得到所述函数调用序列的。

优选地，所述函数调用序列为多个；所述装置还包括：函数功能确定单元，用于通过分析按照顺序执行的多个函数调用序列的指令，确定所述函数的功能。

优选地，所述函数功能确定单元确定的多个函数调用序列按照顺序执行的指令包括：解密字符串、创建消息签名实例、获取字符串子针、哈希加密。