[发明专利]基于程序流程图的Android恶意软件检测方法

摘要

本发明公开了一种基于程序流程图的Android恶意软件检测方法。对于一个待检测的APK应用程序，首先根据反编译后生成的smali文件，分析程序的基本块并得到其流程图，将API全路径哈希编码值与其连接关系组成的图指纹作为恶意行为特征，然后利用子图同构理论进行恶意软件的行为匹配。相对于传统的利用文件签名方案进行恶意软件检测的系统，本方法可以有效识别出恶意软件的变种，并能有效抵抗恶意代码篡改等签名方案无法检测的病毒类型。

主权项

一种基于程序流程图的Android恶意软件检测方法，其特征在于，包括如下步骤：1)建立恶意行为特征库；2)检测APK应用程序，包括：a，对于待检测的APK应用程序提取其dex代码文件并对其反编译生成smali文件；b，利用深度优先遍历算法遍历每个smali文件，对于每一个smali文件根据词法特征得到代码的基本块，并生成每个smali文件的程序流程图；c，在步骤b中生成的流程图中，删除不含invoke指令的结点，并连接剩余的结点，得到新的只包含API调用关系的程序流程图；d，对于步骤c中生成的新的只包含API调用关系的程序流程图，利用子图同构理论与步骤1)中建立的恶意行为特征库中的每条恶意行为记录进行匹配，若匹配成功，则检测为恶意样本；所述步骤1)中恶意行为特征库包含每种恶意行为的一条记录，每条记录由Android(Java)的API函数的全路径哈希编码以及其连接关系组成；所述步骤c还包括，在步骤b得到的程序流程图中标记不同的不包含invoke指令的结点组成的环，最后删除不同的不包含invoke指令的结点组成的环，并重新连接程序流程图。