[发明专利]一种安卓样本的病毒检测方法及装置

权利要求书

1.一种安卓样本的病毒检测方法，其中：

解析dex文件获取代码信息；所述代码信息包括：包、类、方法信息；

定位dex文件中与所述代码信息对应的程序体，并获取与所述程序体对应的opcode序列；

将所述opcode序列与病毒信息进行匹配，判断所述opcode序列是否包含病毒。

2.如权利要求1所述的方法，其特征在于：

从APK安装包中的dex文件头中获取方法名以及与方法名对应的程序体的位置信息；

根据所述程序体的位置信息定位到此程序体，并对所述程序体中的方法指令序列进行反汇编，获取所述opcode序列。

3.如权利要求2所述的方法，其特征在于：

从dex文件头中的方法列表中获取方法名、以及与方法名对应的进入标识、绝对偏移值；

根据所述进入标识、绝对偏移值定位到此方法的程序体，并驱动dalvik虚拟机指令反汇编引擎对此方法的程序体的指令序列进行反汇编，获取所述opcode序列。

4.如权利要求3所述的方法，其特征在于：

驱动多个病毒引擎联合进行病毒检测；

其中，将所述opcode序列与所述多个病毒引擎的病毒库文件中的记录进行匹配，如果匹配成功则判断所述opcode序列包含病毒；

所述多个病毒引擎包括：AVE引擎、AVM引擎、云查杀引擎、机器学习引擎。

5.如权利要求4所述的方法，其特征在于：

从dex文件头中的类名列表中获取类名，并驱动AVM引擎通过病毒检测脚本将所述类名与AVE引擎的病毒库文件中的类名特征值或规则进行匹配，如果匹配成功则判断此类为病毒；

当AVM引擎判断所述opcode序列包含病毒时，则进行告警信息上报并进行杀毒操作，在执行杀毒操作成功后，将病毒信息添加到病毒库文件中，并将查杀结果同步到其它的病毒引擎中；

所述病毒引擎包括：服务端和客户端；

所述服务端通过将所述opcode序列与病毒库文件中的记录匹配进行病毒检测；

所述服务端将病毒检测结果下发到所述客户端，并下发修复方案；所述修复方案包括：文件类型、与文件类型对应的查杀方法。

6.一种安卓样本的病毒检测装置，其特征在于，包括：

代码解析单元，用于解析dex文件获取代码信息；所述代码信息包括：包、类、方法信息；

指令序列获取单元，用于定位dex文件中与代码信息对应的程序体，并获取与所述程序体对应的opcode序列；

病毒查杀单元，用于将所述opcode序列与病毒信息进行匹配，判断所述opcode序列是否包含病毒。

7.如权利要求6所述的装置，其特征在于：

所述代码解析单元，还用于从APK安装包中的dex文件头中获取方法名以及与方法名对应的程序体的位置信息；

所述指令序列获取单元，还用于根据所述程序体的位置信息定位到此程序体，并对所述程序体中的方法指令序列进行反汇编，获取所述opcode序列。

8.如权利要求7所述的装置，其特征在于：

所述代码解析单元，还用于从dex文件头中的方法列表中获取方法名，以及与方法名对应的进入标识、绝对偏移值；

所述指令序列获取单元，还用于根据所述进入标识、绝对偏移值定位到此方法的程序体，并驱动dalvik虚拟机指令反汇编引擎对此方法的程序体的指令序列进行反汇编，获取所述opcode序列。

9.如权利要求8所述的装置，其特征在于：

所述病毒查杀单元，还用于驱动多个病毒引擎联合进行病毒检测，将所述opcode序列与所述多个病毒引擎的病毒库文件中的记录进行匹配，如果匹配成功则判断所述opcode序列包含病毒；所述多个病毒引擎包括：AVE引擎、AVM引擎、云查杀引擎、机器学习引擎。

10.如权利要求9所述的装置，其特征在于：

所述代码解析单元，还用于从dex文件头中的类名列表中获取类名；

所述病毒查杀单元，还用于驱动AVM引擎通过病毒检测脚本将所述类名与AVE引擎的病毒库文件中的类名特征值进行匹配，如果匹配成功则判断此类为病毒；

所述病毒查杀单元，还用于当AVM引擎判断所述opcode序列包含病毒时，则进行告警信息上报并进行杀毒操作，在执行杀毒操作成功后，将病毒信息添加到病毒库文件中。