[发明专利]一种移动终端恶意代码分析设备及分析方法

说明书

本发明提供一种移动终端恶意代码分析设备，所述分析设备包括Linux内核监视器、异常行为检测模块、逆向分析模块和处理模块，通过四个器件的协同操作，完成对移动终端恶意代码的逆向分析。本发明还提供一种移动终端恶意代码分析方法。使用本发明，能够在应用程序运行后对异常行为进行逆向分析，来检测应用程序是否含有恶意代码，以此来加强移动终端的安全性，保护用户的隐私。

技术领域

本发明涉及终端病毒防控领域，尤指一种移动终端恶意代码分析设备及分析方法。

背景技术

随着移动互联网的发展，移动安全问题日益突出，针对移动终端的病毒、恶意行为越来越多，且呈现增长趋势。

目前，移动应用程序呈现爆发的趋势，但相应的移动终端系统的安全防护技术却没有相应的跟上，造成大量的手机病毒爆发。

现在的移动终端对恶意行为的防护大部门是通过静态分析或动态分析技术来实现，他们不可避免的会对一些应用程序的恶意行为遗漏。

为了对遗漏的应用程序的恶意行为进行检测，需要一种在应用程序运行后对异常行为进行逆向分析的技术，用于检测应用程序是否含有恶意代码，以此来加强移动终端系统的安全性，保持用户的隐私。

发明内容

本发明为了解决上述技术容易遗漏移动终端上某些应用程序的恶意行为的问题，提供一种移动终端恶意代码分析设备及分析方法，在应用程序运行后，自动监控应用程序的各项行为，对恶意行为进行预先判断和云端逆向分析，以在确定为恶意行为后停止相关应用程序的进程，保护移动终端数据安全。

为了实现上述目的，本发明提供了一种移动终端恶意代码分析设备，所述分析设备包括：

Linux内核监视器，用于监视应用程序的行为，并在应用程序的行为与异常行为检测模块预存异常行为匹配时，自动暂停应用程序的行为，将暂停的应用程序的行为发送到逆向分析模块；

异常行为检测模块，用于预存各种异常行为；

逆向分析模块，用于逆向分析引起暂停的应用程序的行为的进程、应用程序和系统代码，支持云端自动分析；

处理模块，用于在逆向分析模块确定暂停的应用程序的行为是恶意代码引起的时，自动中止引起暂停的应用程序的行为的进程的运行，并提示用户进行相关操作，在逆向分析模块确定引起暂停的应用程序的行为不是恶意代码引起的时，继续引起暂停的应用程序的行为的进程的运行。

可选地，所述分析设备中：Linux内核监视器自动暂停应用程序的行为包括，将引起暂停的应用程序的行为的进程所占用的CPU资源强制回收，使引起暂停的应用程序的行为的进程进入阻塞状态，等待处理模块的后续动作。

可选地，所述分析设备中：Linux内核监视器对进程的操作是由其进程控制块进行。

可选地，所述分析设备中：异常行为检测模块所预存的各种异常行为包括修改系统代码、对敏感信息读写、可疑的网络行为和流量、获取位置信息。

可选地，所述分析设备中：逆向分析模块对引起暂停的应用程序的行为的进程的逆向分析包括对进程的数据流的分析；逆向分析模块对引起暂停的应用程序的行为的应用程序的逆向分析包括：将应用程序上传到云端，由云端依次进行应用程序解码、反汇编和功能分析，根据功能分析结果确定引起暂停的应用程序的行为是否为恶意代码引起的；逆向分析模块对引起暂停的应用程序的行为的系统代码的逆向分析包括对系统代码的关键模块HASH值的分析。

本发明还提供了一种移动终端恶意代码分析方法，所述分析方法包括：

步骤1：监视应用程序的行为，并在应用程序的行为与预存异常行为匹配时，自动暂停应用程序的行为；

步骤2：逆向分析引起暂停的应用程序的行为的进程、应用程序和系统代码，其中使用云端自动分析；