[发明专利]一种动静检测融合的勒索病毒检测系统及方法

权利要求书

1.一种动静检测融合的勒索病毒检测系统，应用于安卓系统的电子设备，其特征在于，包括：

动态检测分析组件，用于实例化Observer组件并实时监控APK文件信息熵值，当所述APK文件信息熵值变大时判断所述APK文件为勒索病毒文件；

静态检测分析组件，包括：

信息提取模块，用于获取APK文件的基本信息，所述基本信息至少包括文件包名和API版本号；

文件提取模块，用于获取所述APK文件的源码文件和资源文件；

检测分析模块，至少包括签名分析子模块、权限分析子模块、API调用分析子模块和资源文件分析子模块中的一个；所述签名分析子模块用于根据所述APK文件中的开发者签名信息判断所述APK文件是否为勒索病毒文件；所述权限分析子模块用于根据所述APK文件权限判断所述APK文件是否为勒索病毒文件；所述API调用分析子模块用于调用所述源码文件，通过分析所述源码文件判断所述APK文件是否为勒索病毒文件；所述资源文件分析子模块用于调用所述资源文件，通过分析所述资源文件判断所述APK文件是否为勒索病毒文件；

综合分析组件，用于当所述动态检测分析组件、签名分析子模块、权限分析子模块、API调用分析子模块和资源文件分析子模块中至少一个的判断结果为勒索病毒文件时，判定所述电子设备具有勒索病毒。

2.根据权利要求1所述动静检测融合的勒索病毒检测系统，其特征在于，所述文件提取模块包括：

反编译单元，用于对所述APK文件进行反编译从而得到源码文件和资源文件；

发送单元，用于将所述源码文件发送至所述API调用分析子模块和将所述资源文件发送至所述资源文件分析子模块。

3.根据权利要求2所述动静检测融合的勒索病毒检测系统，其特征在于，所述签名分析子模块包括：

开发者存储单元，用于存储的勒索病毒开发者名单；

签名比对单元，用于将所述APK文件中的开发者签名信息与所述勒索病毒开发者名单进行比对；

第一判断单元，用于当所述勒索病毒开发者名单中存在所述APK文件中的开发者签名信息时判断所述APK文件为勒索病毒文件。

4.根据权利要求2所述动静检测融合的勒索病毒检测系统，其特征在于，所述权限分析子模块包括：

权限存储单元，用于存储已知的勒索病毒种类及与各种类勒索病毒分别对应的权限类型；

权限比对单元，用于将所述APK文件权限类型与所述权限存储单元的权限类型进行比对；

第二判断单元，用于当所述APK文件权限类型均存在于所述权限存储单元中时，判断所述APK文件为勒索病毒文件。

5.根据权利要求4所述动静检测融合的勒索病毒检测系统，其特征在于，所述第二判断单元还用于当所述APK文件权限类型均存在于所述权限存储单元中且均属于某一勒索病毒种类所对应的权限类型时，判断所述APK文件为勒索病毒文件并获知其勒索病毒种类。

6.根据权利要求2所述动静检测融合的勒索病毒检测系统，其特征在于，所述API调用分析子模块包括：

程序化单元，用于调用所述源码文件，对所述源码文件中的各函数序列进行程序化处理，重构出所述各函数执行的调用关系；

还原单元，通过所述各函数执行的调用关系还原所述源码文件原本执行的功能；

第三判断单元，用于根据所述功能判断所述APK文件是否为勒索病毒文件。

7.根据权利要求2所述动静检测融合的勒索病毒检测系统，其特征在于，所述资源文件包括：字符串、图片和文件库。

8.根据权利要求7所述动静检测融合的勒索病毒检测系统，其特征在于，所述资源文件分析子模块包括：

字符串分析单元，用于分析所述字符串，当所述字符串中含有预设敏感词汇时，判断所述APK文件为勒索病毒文件；

图片分析单元，用于分析所述图片，当所述图片中含有预设敏感词汇时，判断所述APK文件为勒索病毒文件；

文件库分析单元，用于分析所述文件库，当发现所述文件库被篡改时，判断所述APK文件为勒索病毒文件。