CN102438233B - 一种手机蠕虫检测方法 - Google Patents

Abstract

本发明提出了一种针对具有通过包含URL短信进行传播的特征的手机蠕虫检测方法，包括：提取包含URL手机短信的相关信息，放入队列中进行分析，要是发件人发该短信给多个用户且该短信被自动转发，就标记所对应的URL链接包含可疑蠕虫样本。该检测方法运行在短信网关上，可以有效的防御包含URL短信传播的蠕虫。

Description

一种手机蠕虫检测方法

技术领域

本发明属于移动互联网安全领域，尤其涉及移动终端智能手机蠕虫检测方法。

背景技术

随着移动互联网技术的发展，智能手机数量以及性能的提高，伴随而来是的更加丰富的手机应用程序，同时手机厂商提供了手机平台开发接口。这为手机蠕虫的发展提供了基础。手机蠕虫对用户的危害越来越大，比如2010年2月爆发的“手机骷髅”感染了10万多部智能手机，造成直接经济损失超过2000万元。又如2010年6月，上百万用户成为手机蠕虫“僵尸网络”的“肉鸡”。手机蠕虫从起初的系统破坏、恶意扣费，扩展到隐私窃取、金融盗号和窃听监控等，给用户带来巨大的经济损失。而2010年6月出现的“安卓短信卧底”作为世界上首款安卓(Android)平台的手机蠕虫，也预示着手机蠕虫全面向新平台扩展。

从2004年Cabir的出现至今手机蠕虫已经经过了7年时间的发展。据统计网上可供下载的手机应用程序中有6％都是手机蠕虫或含有恶意插件，蠕虫传播范围逐渐扩大，且变种速度越来越快，手机安全问题日趋严重。

因此，对手机蠕虫检测已成为当下手机安全的一个重要问题。尤其是针对利用短信息进行攻击的手机蠕虫(例如‘手机骷髅’)，这种手机蠕虫不依赖于手机漏洞，对所有操作系统都适用，只需要用户点击就可以进行传播。这类手机蠕虫的特征如下：当用户收到一条带有URL的短信，只有用户点击URL就自动下载蠕虫样本并运行，蠕虫样本将会搜寻该用户手机的通讯录，然后群发该条包含URL的短信。由于接收者是发送者的好友，接收者用户很容易去点击该短信的URL，按同理将会被下载蠕虫样本并运行之，然后再会群发该条短信，以此类推，将造成大量蠕虫的传播。如图1所示，发件人A把短信群发给B、C、D而B、C、D收到A的短信之后，因为A是自己的好友，所以看到URL并点击之。随后B、C、D手机被感染，在B、C、D上的蠕虫样本会自动搜索其通讯录，包含URL的该短信将自动转发给自己的好友。

现有的检测手机蠕虫的技术大多是针对利用手机漏洞来攻击手机的蠕虫病毒，通过提取手机蠕虫的特征码建成特征码库，这些技术虽能成功的检测已知攻击，但攻击者稍稍改变特征，便可绕过特征码的匹配检测，对未知的手机蠕虫检测效果不太明显。而且一般这些手机反病毒软件运行在手机上消耗资源，且手机一般具有电池有限的缺点，所以实际效果不明显。一般用户也不太会以浪费电池作为代价来使用这些反病毒软件来保证手机安全，而且也不能解决上述利用包含URL短信传播的蠕虫所带来的安全问题。

发明内容

因此，本发明的目的在于克服上述现有技术的缺陷，提供在短信网关上进行检测包含URL短信传播的手机蠕虫的方法。

为了实现上述发明目的，本发明提供了一种手机蠕虫检测方法，包括以下步骤：

步骤1)在短信网关上提取含有URL的短信信息，所述短信信息包括发送短信的手机号码、接收短信的手机号码、短信中所包含的URL；

步骤2)对在步骤1)所提取的短信信息的集合中每个发送短信的手机号码统计其重复出现的次数，并且选出该次数大于第一阈值的手机号码发送的短信信息；

步骤3)对在步骤2)所选出的短信信息的集合中每个接收短信的手机号码统计其重复出现在该集合中发送短信的手机号码中的次数，并且选出该次数大于第二阈值的手机号码接收的短信信息；

步骤4)对步骤3)所选出的短信信息的集合中每个URL统计其重复出现的次数，将该次数大于第三阈值的URL标记为可疑的手机蠕虫。

根据本发明实施例的手机蠕虫检测方法，其中所述第一阈值和第二阈值为200至300之间的自然数。

根据本发明实施例的手机蠕虫检测方法，其中所述第三阈值为1000。

根据本发明实施例的手机蠕虫检测方法，所述短信信息包括发送短信的手机号码、接收短信的手机号码、短信中所包含的URL和重复值Count，所述步骤2)包括以下步骤：

步骤2-1：如果第一个队列A未满，对新的带有URL的短信，按时间顺序进队列A，查看发送该短信的手机号码是否存在于队列A中，若存在，转入步骤2-2，若不存在转入步骤2-3；

步骤2-2：将队列A中所有该手机号码发送的短信信息中的对应的重复值Count加1，将新的短信信息存入队列，其count值与队列中已有的重复值一致；

步骤2-3：直接将新的短信信息存入队列A中，其重复值count设为1。

步骤2-4：如果队列A已满，则查看位于队列头部的短信信息中的重复值count是否大于第一阈值，若小于第一阈值，删除该短信信息，若不小于该值，将该短信信息输入到第二个队列B，删除该短信信息。

根据本发明实施例的手机蠕虫检测方法，根据服务器内存或用户需求来设置所述队列A长度。

根据本发明实施例的手机蠕虫检测方法，其中步骤3)包括以下步骤：

步骤3-1：查找要进入队列B的新的短信信息的发送号码是否和已存在队列B中的短信信息中的接收号码相同，若不存在，转入步骤3-2；若存在，转入步骤3-3。

步骤3-2：直接进队列，将该短信信息中的重复值count设置为-1。

步骤3-3：查看该接收号码对应的短信信息中的重复值count是否是小于0，若小于0，则将该短信信息和新的短信信息中的count都加1；若大于等于0，将队列B中与新短信信息的发送号码相同的接收号码所对应的短信信息中的重复值加1，并将其中一个重复值赋值给新短信信息的重复值；

步骤3-4：如果队列B已满，则查看位于队列头部的短信信息中的重复值count是否大于第二阈值，若小于第二阈值，删除位于该短信信息，否则，将该短信信息输入到第三个队列C，删除该短信信息。

根据本发明实施例的手机蠕虫检测方法，根据服务器内存或用户需求来设置所述队列B的长度。

根据本发明实施例的手机蠕虫检测方法，其中步骤4)包括以下步骤：

步骤4-1：判断要进入队列C的新的短信信息中的URL是否存在于队列C，若存在，将队列C中所有包含相同URL的对应短信信息中的重复值加1，若不存在，将新的短信信息按顺序存入队列C，其重复值设为1；

步骤4-2：如果队列C满，则查看位于队列头部的短信信息中的重复值Count是否大于第三阈值；若不大于第三阈值，直接删除该短信信息，否则，将该短信信息拷贝到线性表中，并从队列C中删除该短信信息；所述线性表中存储着可疑URL链接。

根据本发明实施例的手机蠕虫检测方法，根据服务器内存或用户需求来设置所述队列C长度。

与现有技术相比，本发明的优点在于：

该检测方法运行在网关上，不会受手机电池耗电量的影响，能有效地并实时地发现蠕虫并且遏制大量蠕虫的传播。而且该检测不受操作系统的限制，可大范围地检测利用包含URL短信传播的蠕虫。

附图说明

以下参照附图对本发明实施例作进一步说明，其中：

图1为手机蠕虫传播示意图；

图2为根据本发明实施例的手机蠕虫检测方法的流程图；

图3为根据本发明实施例的汇聚算法的流程图。

具体实施方式

为了使本发明的目的，技术方案及优点更加清楚明白，以下结合附图通过具体实施例对本发明进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

手机发送和接收短信都是通过短信网关ISMG(Internet Short MessageGateway)进行转发，即从数据库中获取要发送的短信将其发送到短信网关同时将从短信网关上接收到的消息存到数据库中。可见，网关是网络与网络之间的联系纽带，利用网关漏洞同样可以对整个手机网络造成影响使手机的所有服务都不能正常工作甚至可以向范围巨大的手机用户批量发送垃圾信息。因此在手机网关上进行蠕虫检测，能有效实时地遏制蠕虫的快速传播，并减少用户收到恶意短信，提高手机安全性。

本发明提出了一种运行在短信网关ISMG上的针对包含URL的短信传播的手机蠕虫的检测方法。针对上述利用包含URL短信传播的蠕虫，根据短信蠕虫引诱用户点击的传播原理，对包含有URL的短信进行分析，若该发件人已经发送包含URL的短信给多个用户，并且该短信会自动被群发，则将怀疑该URL中包含蠕虫样本。

图2是本发明提供的手机蠕虫检测方法的一个实施例的流程图。其中主要包括以下步骤：从手机短信中找出其中包含URL的短信；利用汇聚算法(如图3所示)分析包含URL的短信是否经常被自动群发从而判断其是否是可疑蠕虫。然后对可疑蠕虫进行分析以检测到真正的手机蠕虫。下面将结合图2和3对该方法进行详细的介绍：

首先，提取短信中含有URL的短信并记录相关信息。如图2所示，实时提取手机短信，判断其中是否含有URL，如果没有含有URL，则放行该短信，继续提取短信；如果含有URL，则将该短信对应的信息存入队列A中或者更新队列A中相关信息，所述信息包括例如但不限于，短信的发件人、收件人、提取的URL、短信发送的时间等。在本实施例中，采用结构体来存储每个含有URL的短信的信息，其数据格式为：<发件人，收件人，URL，时间，重复值>，其中，发件人和收件人分别指发送短信的手机号码和接收短信的手机号码，重复值Count是对重复发件人的计数，遇到相同的发件人，则Count增加1。

Struct Data{

String Snum；//发件人

String Dnum；//收件人

String URL；

Int Time；//短信的发送时间

Int Count；//发件人的重复值

}

队列A初始为空，在创建队列时设置队列长度，并建立索引来对队列进行快速查找。其中，每一个结构体元素所占的空间为16+16+256+4+4＝296字节，队列A的长度可根据服务器内存来设置，例如服务器的内存为8G，其中2G用于cpu运算，可将剩余的6G内存全部或一部分作为队列的存储。在其他实施例中，也可以根据实际需求由用户定义队列A的长度。队列A建立发件人的索引以便快速查找新数据的发件人是否存在于队列A中。队列A如表1所示：

表1

由于蠕虫具有传播性，会给多用户发短信，因此这些重复发件人的短信所对应URL比较可疑。因此，要选取发短信给多个用户的发件人，即查询该队列中重复的发件人，将这些重复发件人对应的相关信息存入另外一个对列B中。

队列A的具体操作步骤如下：

队列A未满或定时器未到时，执行下述步骤：

步骤a-1：对新的带有URL的短信进行时间标记，按时间顺序进队列，查看该发件人号码是否存在于队列A中。若存在，转入步骤a-2。若不存在转入步骤a-3。

步骤a-2：将队列A中所有该发件人数据中的对应的重复值Count加1，将新数据存入队列，其count与队列中已有的该发件人的重复值一致。

步骤a-3：直接将新数据存入队列A中，默认count值为1。

若队列A满或定时器到时，将采取以下步骤：

步骤a-4：查看队列头数据中的重复值count是否大于阈值Sthreshold，若小于阈值，直接转入步骤a-6。若不小于该值，转入步骤a-5。对于发件人的重复值的阈值Sthreshold，其取值越大越精确，算法计算的速度越快。但鉴于可能发生漏报，所以在一些实施例中采用折中的方法，以通常手机里通讯录的条数为依据，一般取200到300之间。但是在本实施例中，由于仅是为了举例说明的作用，所用的示例数据很少，所以将队列A的所有数据都存储到队列B中。

步骤a-5：拷贝队列头数据到第二个队列B，转入步骤a-6。

步骤a-6：删除队列头数据。

这样就可以将所找到的发给多用户的含有URL的短信存储于队列B中。根据上述蠕虫特性，收件人一旦收到短信点击URL，蠕虫样本能自动搜索通讯录然后群发该短信，所以接着应该提取收件人又是群发短信的发件人的记录，即在队列B中查找能被自动转发短信所对应的URL，并将含有该URL的对应的短信信息存入队列C中。

从队列A提取的数据存入队列B中时新建收件人的索引，并去掉队列A中数据的发件人重复值count，并新增计数值num来计数收件人是否是群发发件人。在一些实施例中，队列B可设置为100万条数据的大小。在本实施例中的队列B仅是示例的作用(num值默认为-1)，其具体数据格式如表2所示：

表2

队列B的具体操作如下：

队列B若不满或定时器未到时，执行下述操作：

步骤b-1：查找新数据的发件人是否和已存在队列数据中的收件人相同。若不存在，转入步骤b-2，；若存在，转入步骤b-3。

步骤b-2：直接进队列设置num值为-1。

步骤b-3：查看已存在收件人对应的计数(num)值是否是小于0，若小于0，则表示第一次出现收件人和发件人相同，则将该新数据的num和已存在收件人对应的num都加1。若大于等于0，表示已经不是第一出现发件人和收件人相同，则查找队列中收件人与新数据的发件人相同的短信数据，将它的num值加1，并该num值赋值到新数据的num值。

若队列B满或定时器到时，具体操作如下：

步骤b-4：判断队头数据的计数值num是否大于阈值Rthreshold。若大于转入步骤b-6；若不大于，转入步骤b-5；其中，阈值Rthreshold表示该收件人又是群发的发件人的数据的最大值，其可以设置为群发通讯录条数为200-300之间。这个阈值的相对浮动比较小，对算法性能有一定的影响。

步骤b-5：直接删除该队头数据

步骤b-6：将队头数据存入第三个队列C中

然后，根据上述蠕虫的特性，从队列C中选取重复的URL作为可疑的URL链接。

从队列B提取的数据存入队列C中时新建URL的索引，并去掉队列B计数收件人是否是群发发件人的计数值num值，新增计数URL的重复值Ucount，其是对URL计数，遇到相同的URL+1，并新建URL的索引。

队列C的数据格式如下：

队列C中采用建立URL的索引以便快速查找新数据的URL是否存在于队列C中。因为是循环获取数据，所以可以根据需求来设置队列C的大小，例如可以取50万条数据。

首先判断队列C是否已满；

如果队列C未满或定时器未到时，执行以下步骤：

步骤c-1：判断新数据中的URL是否存在于队列C，若存在，转入步骤c-2，若不存在，转入步骤c-3；

步骤c-2：对应URL数据中的Ucount加1；

步骤c-3：新数据按顺序存入队列；

若队列C满或定时器到时，采取以下步骤：

步骤c-4：判断队头数据的计数值Ucount是否大于阈值Uthreshold；其中这个阈值Uthreshold代表着URL被传播的次数，越大越精确，越大越会漏报。也可采取折中的方法，大致可以取上千的级别，例如1000至10000之间。因为本实施例旨在于在蠕虫在规模传播之前进行遏制，一般可取1000。若大于转入步骤c-6，若不大于，转入步骤c-5

步骤c-5：直接删除该队头数据

步骤c-6：将数据拷贝到新建的线性表，然后，删除队头数据

最终得到的线性表中存储着可疑URL链接。

但真正判定蠕虫需要点击URL所产生的反应来得出是否包含蠕虫样本，且需要对蠕虫样本作进一步的分析，为体现整个检测完整性，还需要手工对可疑链接进行分析并获取蠕虫样本，最后结束蠕虫识别。但手工识别不在本申请讨论范围内，本申请主要是检测可疑的URL链接。另外，本领域普通技术人员应理解在上述实施例中队列A、队列B、队列C的长度或定时器都是可以根据实际情况或用户需求来设置的；判断队列是否满或定时器是否到时只是常用的编程技巧，对本发明的实质内容没有影响。

尽管在本实施例中，采用了结构体和队列来存储数据并对其进行操作，但本领域普通技术人员应用理解在其他实施例中可以采用其他的数据结构和存储方式来实现本发明所提供的检测方法，例如，栈、数组、数据库、线性表、数据库等。

相对于现有技术，在本发明实施例中所提供的手机蠕虫检测方法，通过提取既是收件人又是重复发件人的所对应短信的URL的来检测可疑蠕虫，算法简单有效且易实现，不受操作系统的限制，可大范围地对上述特性蠕虫的检测。另外，其运行在网关上，不会受手机电池耗电量的影响，能有效地并实时地发现蠕虫并且遏制大量蠕虫的传播。

虽然本发明已经通过优选实施例进行了描述，然而本发明并非局限于这里所描述的实施例，在不脱离本发明范围的情况下还包括所作出的各种改变以及变化。

Claims (7)

1.一种手机蠕虫检测方法，包括以下步骤：

步骤1)在短信网关上提取含有URL的短信信息，所述短信信息包括发送短信的手机号码、接收短信的手机号码、短信中所包含的URL；

步骤2)对在步骤1)所提取的短信信息的集合中每个发送短信的手机号码统计其重复出现的次数，并且选出该次数大于第一阈值的手机号码发送的短信信息；

步骤3)对在步骤2)所选出的短信信息的集合中每个接收短信的手机号码统计其重复出现在该集合中发送短信的手机号码中的次数，并且选出该次数大于第二阈值的手机号码接收的短信信息；

步骤4)对步骤3)所选出的短信信息的集合中每个URL统计其重复出现的次数，将该次数大于第三阈值的URL标记为可疑的手机蠕虫；

其中所述短信信息包括发送短信的手机号码、接收短信的手机号码、短信中所包含的URL和重复值Count，所述步骤2)包括以下步骤：

步骤2-1：如果第一个队列A未满，对新的带有URL的短信，按时间顺序进队列A，查看发送该短信的手机号码是否存在于队列A中，若存在，转入步骤2-2，若不存在转入步骤2-3；

步骤2-2：将队列A中所有该手机号码发送的短信信息中的对应的重复值Count加1，将新的短信信息存入队列，其count值与队列中已有的重复值一致；

步骤2-3：直接将新的短信信息存入队列A中，其重复值count设为1；

步骤2-4：如果队列A已满，则查看位于队列头部的短信信息中的重复值count是否大于第一阈值，若小于第一阈值，删除该短信信息，若不小于该值，将该短信信息输入到第二个队列B，删除该短信信息；

步骤3)包括以下步骤：

步骤3-1：查找要进入队列B的新的短信信息的发送号码是否和已存在队列B中的短信信息中的接收号码相同，若不存在，转入步骤3-2；若存在，转入步骤3-3；

步骤3-2：直接进队列，将该短信信息中的重复值count设置为-1；

步骤3-3：查看该接收号码对应的短信信息中的重复值count是否是小 于0，若小于0，则将该短信信息和新的短信信息中的count都加1；若大于等于0，将队列B中与新短信信息的发送号码相同的接收号码所对应的短信信息中的重复值加1，并将其中一个重复值赋值给新短信信息的重复值；

步骤3-4：如果队列B已满，则查看位于队列头部的短信信息中的重复值count是否大于第二阈值，若小于第二阈值，删除位于该短信信息，否则，将该短信信息输入到第三个队列C，删除该短信信息。

2.根据权利要求1所述的手机蠕虫检测方法，其中所述第一阈值和第二阈值为200至300之间的自然数。

3.根据权利要求1所述的手机蠕虫检测方法，其中所述第三阈值为1000。

4.根据权利要求1所述的手机蠕虫检测方法，根据服务器内存或用户需求来设置所述队列A长度。

5.根据权利要求1所述的手机蠕虫检测方法，根据服务器内存或用户需求来设置所述队列B的长度。

6.根据权利要求1所述的手机蠕虫检测方法，其中步骤4)包括以下步骤：

步骤4-1：判断要进入队列C的新的短信信息中的URL是否存在于队列C，若存在，将队列C中所有包含相同URL的对应短信信息中的重复值加1，若不存在，将新的短信信息按顺序存入队列C，其重复值设为1；

步骤4-2：如果队列C满，则查看位于队列头部的短信信息中的重复值Count是否大于第三阈值；若不大于第三阈值，直接删除该短信信息，否则，将该短信信息拷贝到线性表中，并从队列C中删除该短信信息；所述线性表中存储着可疑URL链接。

7.根据权利要求6所述的手机蠕虫检测方法，根据服务器内存或用户需求来设置所述队列C长度。