[发明专利]恶意行为检测方法、移动终端及存储介质

权利要求书

1.一种恶意行为检测方法，其特征在于，所述恶意行为检测方法包括以下步骤：

对恶意应用程序样本进行静态解析和动态解析，以获取所述恶意应用程序样本对应的静态信息和动态信息；

基于所述静态信息和动态信息，挖掘各个种族恶意应用程序样本的组件特征、函数调用特征、以及系统调用特征；

基于挖掘出的所述组件特征、函数调用特征、以及系统调用特征，识别恶意应用程序。

2.如权利要求1所述的恶意行为检测方法，其特征在于，所述对恶意应用程序样本进行静态解析和动态解析，以获取所述恶意应用程序样本对应的静态信息和动态信息的步骤包括：

对恶意应用程序样本进行静态解析，以获取所述恶意应用程序样本对应的静态信息，其中，所述静态信息包括组件信息；

对恶意应用程序样本进行动态解析，以获取所述恶意应用程序样本对应的动态信息，其中，所述动态信息包括函数调用信息和系统调用信息。

3.如权利要求1所述的恶意行为检测方法，其特征在于，所述基于所述静态信息和动态信息，挖掘各个种族恶意应用程序样本的组件特征、函数调用特征、以及系统调用特征的步骤包括：

分别基于所述静态信息和动态信息包含的组件信息、函数调用信息、以及系统调用信息，获取对应的组件特征、函数调用特征、以及系统调用特征；

对所述组件特征、函数调用特征、以及系统调用特征进行标准化存储。

4.如权利要求3所述的恶意行为检测方法，其特征在于，所述分别基于所述静态信息和动态信息包含的组件信息、函数调用信息、以及系统调用信息，获取对应的组件特征、函数调用特征、以及系统调用特征的步骤包括：

在获取到所述组件信息时，基于各个种族分类对所述组件信息进行特征提取，以获取组件特征；

在获取函数调用信息和系统调用信息时，基于各个种族分类对所述函数调用信息和系统调用信息进行频繁模式挖掘，以获取函数调用特征和系统调用特征。

5.如权利要求1所述的恶意行为检测方法，其特征在于，所述基于挖掘出的所述组件特征、函数调用特征、以及系统调用特征，识别恶意应用程序的步骤包括：

在获取到待检测应用程序时，对所述待检测应用程序进行解析，以获取所述待检测应用程序对应的组件信息、函数调用信息及系统调用信息；

调取所述恶意应用程序样本对应的组件特征、函数调用特征以及系统调用特征，判断所述待检测应用程序的安全性。

6.如权利要求5所述的恶意行为检测方法，其特征在于，所述调取所述恶意应用程序样本对应的组件特征、函数调用特征以及系统调用特征，判断所述待检测应用程序的安全性的步骤包括：

调取标准化存储的所述组件特征、函数调用特征以及系统调用特征；

基于所述待检测应用程序对应的组件信息、函数调用信息及系统调用信息，确定所述待检测应用程序是否具备所述恶意应用程序样本对应的组件特征、函数调用特征以及系统调用特征；

在所述待检测应用程序具备所述组件特征、函数调用特征以及系统调用特征时，判断结果为所述待检测应用程序为危险应用程序。

7.如权利要求6所述的恶意行为检测方法，其特征在于，所述遍历所述待检测应用程序对应的组件信息、函数调用信息及系统调用信息，确定所述待检测应用程序是否具备所述恶意应用程序对应的组件特征、函数调用特征以及系统调用特征的步骤之后，所述方法还包括：

在所述待检测应用程序不具备所述组件特征、函数调用特征以及系统调用特征时，判断结果为所述待检测应用程序为安全应用程序。

8.如权利要求1至7任一项所述的恶意行为检测方法，其特征在于，所述对恶意应用程序样本进行静态解析和动态解析，以获取所述恶意应用程序样本对应的静态信息和动态信息的步骤之前，所述方法还包括：

收集恶意应用程序样本，建立恶意应用程序样本库，按照若干个维度划分所述恶意应用程序样本；

对于任意一个维度，将所述恶意应用程序样本划分成多个种族，按照预设规则调整所述划分后的多个种族。