[发明专利]一种恶意软件家族归属判定方法、系统及存储介质

权利要求书

1.一种恶意软件家族归属判定方法，其特征在于，所述方法包括如下步骤：

获取包含恶意软件的安卓安装包；

从所述安卓安装包中获取API函数节点信息；

针对恶意软件家族使用的每个敏感API，结合API函数节点信息分别构建函数调用图；

根据函数调用图计算函数调用图间存在的最大同构子图；

将某一恶意软件家族样本基于同一敏感API得到的函数调用图作为训练集，对最大同构子图进行同构分析，得到恶意软件家族特征；

利用恶意软件家族特征对恶意软件进行家族归属判定。

2.根据权利要求1所述的恶意软件家族归属判定方法，其特征在于，从所述安卓安装包中获取API函数节点信息的方法包括如下步骤：

对安卓安装包进行反编译，得到包含dalvik字节码的smali文件；

对smali文件中的“incoke-xxxx”语句进行分析，得到安卓安装包中所包含的API函数节点；

将父类中的API函数节点替换子类中继承的API函数节点，将API函数节点间的间接调用关系转换为直接调用关系，获取API调用序列。

3.根据权利要求2所述的恶意软件家族归属判定方法，其特征在于，获取API函数节点信息的方法还包括对涉及第三方的软件开发工具包的API函数节点进行过滤。

4.根据权利要求1所述的恶意软件家族归属判定方法，其特征在于，所述函数调用图采用下述三元组表示：

G_i＝(S_i,V_i,E_i)

其中：G_i表示基于第i个敏感API构建的函数调用图；S_i表示第i个敏感API；V_i表示第i个敏感API调用序列上所有函数节点的集合；E_i表示第i个敏感API函数节点间的调用关系。

5.根据权利要求1所述的恶意软件家族归属判定方法，其特征在于，根据函数调用图计算函数调用图间存在的最大同构子图的方法包括：

将多张基于不同敏感API的函数调用图以敏感API节点为图匹配的约束条件，利用子图同构算法得到最大同构子图。

6.根据权利要求5所述的恶意软件家族归属判定方法，其特征在于，利用子图同构算法得到最大同构子图的方法包括：

对于“图-图”同构及“子图-图”同构，采用VF2子图同构算法计算得到最大同构子图；

对于“子图-子图”同构，采用SimRank算法计算函数调用图间各节点关于敏感API节点的相似度，根据相似度构建最大同构子图。