[发明专利]一种面向Android的移动网络终端恶意软件多特征检测方法

摘要

本发明公开了一种面向Android的移动网络终端恶意软件多特征检测方法。包括以下步骤：步骤1，获取Android软件数据集，包括恶意样本和非恶意样本；步骤2，分析恶意软件的安装包，提取软件的安装包特征，构造安装包特征向量；步骤3，获取软件申请的权限，构建权限列表；步骤4，反编译恶意软件的安装包，构建软件的敏感行为图，提取软件的敏感行为集；步骤5，对恶意样本中属于同一恶意软件家族的软件特征进行统计分析，构建恶意软件家族特征库；步骤6，提取软件特征，并进行恶意性判定及恶意家族分类。本发明选取软件包特征、权限特征和软件敏感行为调用特征作为恶意软件判定的依据，可提高软件恶意行为检测的准确性，同时具有恶意软件家族分类的能力。

主权项

1.一种面向Android的移动网络终端恶意软件多特征检测方法，其特征在于，包括以下步骤：步骤1、获取Android恶意软件样本，并标记各样本所属的Android恶意软件家族，然后获取非恶意软件样本，从而构建恶意和非恶意软件样本数据集；步骤2、提取软件的安装包特征，包括：是否存在.so文件、是否存在用于root系统的文件、是否存在异常文件、以及是否存在子程序，从而构造安装包特征向量F；步骤3、使用反编译工具处理Android软件样本，解析AndroidManifest.xml文件，根据xml中的标记字段，提取软件申请的权限列表P；步骤4、反编译安装包，构建软件函数调用图，定位其中的安全敏感方法，构建软件的敏感行为图SBG，然后采用数据流分析方法获得安全敏感方法的上下文信息，将被直接或间接调用的安全敏感方法构成软件的敏感行为集SBS；步骤5、对恶意样本中属于同一恶意软件家族的软件特征进行统计分析，获取各特征分量出现的概率，构建Android恶意软件家族多特征模型M，从而构建恶意软件家族特征库；步骤6、使用步骤2～4的方法提取待测软件的特征，将待测软件的特征与恶意软件家族特征库进行特征匹配，得到与之相似度最高的恶意软件家族名称，若相似度超过阈值则输出该软件为恶意软件，并输出其所属的恶意软件家族，否则输出该软件为良性软件。