[发明专利]一种面向Android的移动网络终端恶意软件多特征检测方法

说明书

本发明公开了一种面向Android的移动网络终端恶意软件多特征检测方法。包括以下步骤：步骤1，获取Android软件数据集，包括恶意样本和非恶意样本；步骤2，分析恶意软件的安装包，提取软件的安装包特征，构造安装包特征向量；步骤3，获取软件申请的权限，构建权限列表；步骤4，反编译恶意软件的安装包，构建软件的敏感行为图，提取软件的敏感行为集；步骤5，对恶意样本中属于同一恶意软件家族的软件特征进行统计分析，构建恶意软件家族特征库；步骤6，提取软件特征，并进行恶意性判定及恶意家族分类。本发明选取软件包特征、权限特征和软件敏感行为调用特征作为恶意软件判定的依据，可提高软件恶意行为检测的准确性，同时具有恶意软件家族分类的能力。

技术领域

本发明属于移动软件分析及信息安全领域，具体涉及一种面向Android的移动网络终端恶意软件多特征检测方法。

背景技术

Android恶意代码多标签检测问题，是在学术界和工业界中具有挑战性的难题。在判定软件恶意性的同时还应给出其所属家族。当前智能手机的应用已经涉及到人们生活的各个方面，而Android系统在智能手机中占有大量的份额，因此准确的检测Android恶意代码，对于保护Android用户隐私和财产安全具有重要的意义和应用价值。

现有的Android恶意软件检测技术主要分为2类：分别为基于静态分析和基于动态分析的检测技术。动态分析方法模拟软件的执行，能够绕过静态方法遇到的代码混淆和加密等问题；但是动态测试代码覆盖率低,并且有些恶意程序可以防止自身在模拟器下运行。静态分析方法主要研究使用反编译技术或者在smali中间代码上进行控制流和数据流分析技术，能够对软件进行自动化分析，具有较高的检测效率，代码覆盖率高，适用于对大量软件样本进行分析；缺点是需要解决静态方法难以检测的代码混淆、加密以及在动态执行中才解码恶意代码的问题。为了应对该问题，已有研究者在恶意软件检测中考虑了加密、代码动态加载、Native代码动态加载等技术，如Riskranker和DroidRanger等。

目前已有许多学者针对Android恶意软件的多标签检测方法进行了相关研究。如Daniel Arp等人提出了基于静态分析方法的Android恶意代码多标签检测方法，在软件安装包中提取了大量的静态特征，并使用支持向量机进行分类，实现了高效检测；Yu Feng等人提出了描述Android恶意家族的特征描述语言，并使用特征匹配算法对待测软件进行分类，实现了基于语义的Android恶意软件检测；Chao Yang等人使用两级行为图表示方法描述软件的逻辑行为，结合静态污点分析和组件间的行为图，通过恶意行为模式分析判断软件的恶意性，并实现了对恶意家族的分类。

然而，现有的Android恶意软件多标签检测技术的研究，多选取恶意软件的所有样本进行分析，提取恶意软件所具有的特征，并以此作为待测软件恶意性判定的依据。而属于不同家族的恶意软件具有不同的恶意行为，其恶意性所表现出来的特征也具有较大差异。同一恶意软件家族的恶意软件，具有相似的恶意行为。但是，现有的恶意软件检测工具对于恶意软件的多标签检测能力较弱，如McAfee对于Genome数据集中的恶意样本进行检测时，将其中超过90％的样本检测为Trojan或Downloader，而实际上属于多个不同的恶意软件家族(如DroidDream等)。因此，速度和准确性均有待进一步提升，需要研究高效的恶意软件多标签检测方法。

发明内容

本发明的目的在于提供一种面向Android的移动网络终端恶意软件多特征检测方法，从而有效的提取Android恶意软件的特征，提高Android恶意软件检测的精度，并具有Android恶意家族分类的能力。

实现本发明的技术解决方案为：一种面向Android的移动网络终端恶意软件多特征检测方法，具体包括以下步骤：

步骤1、获取Android恶意软件样本，并标记各样本所属的Android恶意软件家族，然后获取非恶意软件样本，从而构建恶意和非恶意软件样本数据集；