[发明专利]一种病毒APK的识别方法及装置

说明书

本发明专利申请是申请日为2012年5月4日、申请号为201210137453.X、名称为“一种病毒APK的识别方法及装置”的中国发明专利申请的分案申请。

技术领域

本申请涉及网络信息安全的技术领域，特别是涉及一种病毒APK的识别方法，以及，一种病毒APK的识别装置。

背景技术

Android是一种以Linux为基础的开放源码操作系统，主要使用于手机等移动终端，目前尚未有统一中文名称。Android平台由操作系统、中间件、用户界面和应用软件组成。

APK是Android application package file的缩写，即Android安装包，也可以理解为Android终端上安装的应用软件。APK是类似Symbian Sis或Sisx的文件格式。通过将APK文件直接传到Android模拟器或Android终端中执行即可安装。apk文件和sis一样，把android sdk编译的工程打包成一个安装程序文件，格式为apk。APK文件其实是zip格式，但后缀名被修改为apk，通过UnZip解压后，可以看到Dex文件，Dex是Dalvik VM executes的全称，即Android Dalvik执行程序，并非标准的Java字节码而是Dalvik字节码。Android在运行一个程序时首先需要UnZip，然后类似Symbian那样直接运行，和Windows Mobile中的PE文件有区别。

具体而言，APK文件的结构如下表所示：

在具体应用时，APK可以通过数据线或者无线数据传输的方式导入移动终端，或者，直接通过market(工具软件，如安卓市场)、网页等方式下载安装。随着Android终端的普及和发展，各种各样的APK应运而生，这其中就包括了病毒APK，例如，一些APK通过诸如短信定制付费服务、拨打付费电话、备份用户手机中的敏感数据至特定服务器等恶意行为来损害用户的权益。

目前，已经出现了一些专门针对移动终端的安全软件(如手机杀毒软件)来对这些病毒APK进行查杀。这些现有的安全软件查杀病毒APK的方法主要有以下两种：

第一种是通过APK文件的HASH、签名、Package名字来对病毒APK进行识别，其原理是通过对APK使用HASH算法提取KEY，之后即可依据此KEY去识别病毒APK，或者，通过病毒APK制作者的APK数字签名、包名等对其进行识别。

然而，上述现有的基于APK文件的HASH进行识别的方式，很容易通过重新混淆、或者，在APK文件中添加新的资源文件乃至修改代码等方式，使通过HASH算法提取KEY发生改变，进而导致无法识别；上述现有的基于签名的识别方式可以通过更换签名的方式绕过；上述现有的基于Package名字来识别的方式也可通过修改包名的方式来绕过。而且更改混淆方式，修改APK文件(添加删除资源，代码等)或者更换签名对病毒制造者而言都很容易，所以病毒制造者很轻易地就可以制造新的病毒变种从而绕过安全软件的识别。

第二种是通过APK文件中的classes.dex中的类名对其进行识别，其原理是通过分析classes.dex中的类然后从中提取出若干个类的名字作为病毒特征码，之后即可解析病毒APK的classes.dex文件，看其中是否包含特定的类名来对其进行识别。

然而，这种通过扫描类名来进行识别的方式，一方面因为仅仅检查类名从而容易误报，另一方面也很容易被病毒制造者通过混淆或者直接修改类名而绕过。

因此，目前需要本领域技术人员解决的一个技术问题就是，提供一种病毒APK的识别机制，用以快速、准确、有效地识别出病毒APK及其变种，提高APK应用的安全性。

发明内容

本申请提供一种病毒APK的识别方法，用以快速、准确、有效地识别出病毒APK及其变种，提高APK应用的安全性。

本申请还提供了一种病毒APK的识别装置，用以保证上述方法在实际中的应用及实现。

为了解决上述问题，本申请公开了一种病毒APK的识别方法，包括：

预置病毒数据库，所述病毒数据库中包括病毒特征码及对应的权重值；

检测目标Android安装包APK的指定文件中是否包含病毒特征码，若是，则统计所述病毒特征码对应的权重值之和；

若所述权重值之和大于等于某病毒判定阈值，则判定所述目标Android安装包APK中存在相应类型的病毒。

优选地，所述的方法，还包括：

生成所述目标Android安装包APK中存在该类型病毒的提示信息。