[发明专利]恶意程序的扫描方法和装置

权利要求书

1.一种恶意程序的扫描方法，包括：

在所述ARM平台的操作系统中创建用于查毒的虚拟操作系统环境；

将待扫描的程序模块导入所述虚拟操作系统环境中，并运行所述待扫描的程序模块；

监测并获取所述待扫描的程序模块在所述虚拟操作系统环境中所发生的行为；

根据所述发生的行为确定所述程序模块是否为恶意程序。

2.根据权利要求1所述的方法，其中，所述在所述ARM平台的操作系统中创建用于查毒的虚拟操作系统环境，包括：

在所述ARM平台的操作系统中建立虚拟机；

在所述虚拟机中创建与所述ARM平台的文件系统相同类型的文件系统；

创建用于支持待扫描的程序模块运行的进程、环境变量以及网络接口；

创建用于所述待扫描的程序模块在所述虚拟操作系统环境使用的SHELL命令接口。

3.根据权利要求2所述的方法，其中，

所述支持待扫描的程序模块运行的进程包括以下进程中的至少一种：

servicemanager、sh、sdcard、netd、mediaserver；

所述支持待扫描的程序模块运行的环境变量包括以下变量中的至少一种：

PATH、HOME、LANG、SHELL、HOSTNAME、USER；

所述支持待扫描的程序模块运行的网络接口包括以下接口中的至少一种：

建立TCP、UDP连接，读写、获取网络信息，断开、设置网络信息。

4.根据权利要求1至3任一项所述的方法，其中，所述将待扫描的程序模块导入所述虚拟操作系统环境中，并运行所述待扫描的程序模块，包括：

根据所述待扫描的程序模块的文件格式对所述待扫描的程序模块进行解析，得到所述待扫描的程序模块的导出表；

根据所述导出表将所述待扫描的程序模块加载到内存中；

在所述内存中对所述待扫描的程序模块按字节分析得到多个指令，并运行所述多个指令。

5.根据权利要求4所述的方法，其中，所述待扫描的程序模块为共享库SO文件，所述SO文件的文件格式为可执行链接ELF格式。

6.根据权利要求1至5任一项所述的方法，其中，所述监测并获取所述待扫描的程序模块在所述虚拟操作系统环境中所发生的行为，包括：

对所述虚拟操作系统环境中的指定函数进行监测；

当所述指定函数被调用时，记录所述指定函数返回的参数和值；

根据所述指定函数返回的参数和值确定所述待扫描的程序模块在所述虚拟操作系统环境中所发生的行为。

7.根据权利要求6所述的方法，其中，所述指定函数包括以下中的任意一种：

文件系统函数：fopen fread fwrite fclose stat；

文件权限控制函数：chmod；

进程操作函数exec*系列：system、fork、exit；

线程控制函数：pthread_create；

内存控制函数：mmap munmap。

8.根据权利要求6或7所述的方法，其中，所述根据所述发生的行为确定所述程序模块是否为恶意程序，包括：

筛选所述发生的行为中的指定行为；

根据所述指定行为确定所述程序模块是否为恶意程序。

9.根据权利要求8所述的方法，其中，所述指定行为包括如下任意一种：

弹窗行为、获取root权限的行为、文件操作行为、进程操作行为、短信发送行为、通话行为、通讯录操作行为、网络通信行为。

10.一种恶意程序的扫描装置，包括：

建立模块，配置为在所述ARM平台的操作系统中创建用于查毒的虚拟操作系统环境；

运行模块，配置为将待扫描的程序模块导入所述虚拟操作系统环境中，并运行所述待扫描的程序模块；

监测模块，配置为监测并获取所述待扫描的程序模块在所述虚拟操作系统环境中所发生的行为；

确定模块，配置为根据所述发生的行为确定所述程序模块是否为恶意程序。