CN103268446A

CN103268446A - 一种基于sd卡驱动的手机恶意代码检测方法及系统

Info

Publication number: CN103268446A
Application number: CN2012105810129A
Authority: CN
Inventors: 马志远; 潘宣辰; 乔伟
Original assignee: Wuhan Antian Information Technology Co Ltd
Current assignee: Wuhan Antian Information Technology Co Ltd
Priority date: 2012-12-28
Filing date: 2012-12-28
Publication date: 2013-08-28

Abstract

本发明公开了一种基于SD卡驱动的手机恶意代码检测方法，包括：在手机中安装守护程序，监控SD卡插入广播；如果监控到所述广播，则根据SD中目录结构及证书信息判断插入的若为检测SD卡，则通过所述守护程序加载检测SD卡中的扫描模块；根据所述扫描模块及配置信息加载检测SD卡中的文件及数据；所述扫描模块的文件及数据加载完成之后启动扫描模块，对手机中的程序、文件、数据进行检测判断其是否具有恶意性。还公开了一种基于SD卡驱动的手机恶意代码检测系统。相比手机中安全应用直接扫描，本发明检测实现了核心检测模块、检测数据与检测与手机物理分离，能够有效防止感染式恶意代码对手机安全软件的攻击，具有较高的安全性。

Description

一种基于SD卡驱动的手机恶意代码检测方法及系统

技术领域

本发明涉及移动终端恶意代码检测、查杀技术，特别是驱动SD卡检测和查杀移动终端恶意代码的方法及系统。

背景技术

随着Android系统等智能手机平台的兴起，移动终端的恶意代码逐渐成为信息安全领域的又一重大威胁。目前，Android中的恶意代码数量正呈现出爆炸式增长的趋势。从传播途径来看，绝大部分恶意代码通过软件下载站、非官方市场、手机论坛等渠道传播。用户从这些渠道下载伪装成正常应用程序的恶意代码到计算机中，然后使用辅助工具软件，通过USB数据线安装到Android手机之中。

除了用户主动下载安装，从当前恶意代码的发展趋势来看，还将出现一种感染式攻击方式，即：用户中了某个病毒后，会在手机中大量扩散，大量复制或产生变种，导致手机中其他应用也感染病毒，甚至导致手机中安全软件也中毒，使安全软件无法正常运行。这种攻击不需要用户交互，具有一定的自动性；安装的恶意代码可以不显示在Android系统的应用程序列表中，用户无法觉察，具有一定的隐蔽性，并且会导致手机中大量感染该病毒。因此，这类攻击方式具有极高的危害。

目前对Android恶意代码检测一般部署在手机之中，即在手机中安装专用杀毒软件或安全保护软件。这类软件在被感染病毒后，将极容易受到攻击，并且病毒可能会利用该杀毒软件检测结果，把所有程序伪装为安全类软件，从而造成用户更难以发觉。

发明内容

本发明从另一个角度，即把核心检测模块及数据资源文件放在SD卡中，由SD卡中模块进行恶意程序的检测。

本发明针对Android平台开发，使用基于SD卡模块，向手机安装守护程序，在插入SD卡时，即可完成对手机中程序应用进行扫描，具体而言：

在手机中安装守护程序，监控SD卡插入广播；

如果监控到所述广播，则根据SD中目录结构及证书信息判断插入的是否为检测SD卡，如果不是则退出，否则继续执行；

通过所述守护程序加载检测SD卡中的扫描模块；

根据所述扫描模块及配置信息加载检测SD卡中的文件及数据；

所述扫描模块的文件及数据加载完成之后启动扫描模块，对手机中的程序、文件、数据进行检测判断其是否具有恶意性。

相应的，本发明还提供了一种基于SD卡驱动的手机恶意代码检测系统，包括灌装了检测模块的的检测SD卡，还包括：客户端守护程序模块，用于监控SD卡插入、判断插入的是否为检测SD卡以及加载检测SD卡中的扫描模块对手机中的程序、文件、数据进行检测判断其是否具有恶意性。

本发明的有益效果是：

1.相比手机中安全应用直接扫描，本发明检测实现了核心检测模块、检测数据与检测与手机物理分离，能够有效防止感染式恶意代码对手机安全软件的攻击，具有较高的安全性。

2.通过SD卡驱动的方式，能有效验证杀毒软件系统的版权，反正软件系统在传输过程中被恶意篡改。

3.实现了通过SD卡灌装式模式进行杀毒，便于对软件系统进行更新和升级。

附图说明

为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明基于SD卡驱动的手机恶意代码检测方法实施例流程图；

图2为本发明基于SD卡驱动的手机恶意代码检测系统结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明中技术方案作进一步详细的说明。

如图1所示，本发明的方法实施例流程图，包括：

S101：在手机中安装守护程序

在手机端安装名为ScanFromSD的守护程序。该程序安装后会自启动，并常驻Android系统服务中，监控插入SD卡消息。

S102：插入SD卡并判断是否插入检测SD卡

S101中的服务会常驻内存，监控android.intent.action.MEDIA_MOUNTED广播，当接收到该广播的时候，守护程序会对SD卡中检测模块完整性进行验证，并且会通过证书信息验证其合法性，如果都通过验证，则判断已插入检测SD卡。

S103：加载SD卡中检测模块

跟进S102结果，如果判断为检测SD卡，守护程序会对SD卡中加密检测模块scan.apk进行解密，并通过DexClassLoader进行加载。

S104：加载SD卡检测数据

此处加载的数据包括病毒检测的规则文件、启发式规则以及相应的配置文件。

S103中加载的检测模块，会加载SD卡中规则文件、启发式规则文件、配置文件。

S105：扫描手机文件

本步骤中将会对手机中的系统文件、应用文件、数据、配置文件等进行扫描，判断其是否具有恶意性。

以后实施例即阐述明白本发明的方法，当然，还可以进行后续扩展，进一步实施例中可以包含以下步骤：

S106：反馈、处置

将检测文件路径和检测模块检测结果显示，报告给用户。如果存在恶意文件，用户确认后，可对其经行卸载等处置手段。

如图2所示，为本发明系统结构示意图，具体包括：

检测SD卡101，所述101是指灌装了检测模块的检测SD卡；

客户端守护程序模块102，用于监控SD卡插入广播；如果监控到所述广播，则根据SD中目录结构及证书信息判断插入的是否为检测SD卡，如果是则通过所述守护程序加载检测SD卡中的扫描模块；根据所述扫描模块及配置信息加载检测SD卡中的文件及数据；所述扫描模块的文件及数据加载完成之后启动扫描模块，对手机中的程序、文件、数据进行检测判断其是否具有恶意性。

本说明书中方法的实施例方式描述详细，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

虽然通过实施例描绘了本发明，本领域普通技术人员知道，本发明有许多变形和变化而不脱离本发明的精神，希望所附的权利要求包括这些变形和变化而不脱离本发明的精神。

Claims

1.一种基于SD卡驱动的手机恶意代码检测方法，其特征在于，包括：

在手机中安装守护程序，监控SD卡插入广播；

如果监控到所述广播，则根据SD卡中目录结构及证书信息判断插入的是否为检测SD卡，如果不是则退出，否则继续执行；

通过所述守护程序加载检测SD卡中的扫描模块；

2.如权利要求1所述的方法，其特征在于，所述根据SD卡中目录结构及证书信息判断插入的是否为检测SD卡包括：对所述SD卡中检测模块的完整性以及证书信息的合法性进行验证，若通过验证则判断已插入检测SD卡。

3.如权利要求1所述的方法，其特征在于，所述在手机中安装守护程序之后还包括：所述守护程序自动启动并常驻手机系统服务中。

4.一种基于SD卡驱动的手机恶意代码检测系统，包括灌装了检测模块的检测SD卡，其特征在于，还包括：

客户端守护程序模块，用于监控SD卡插入广播；如果监控到所述广播，则根据SD中目录结构及证书信息判断插入的是否为检测SD卡，如果是则通过所述守护程序加载检测SD卡中的扫描模块；根据所述扫描模块及配置信息加载检测SD卡中的文件及数据；所述扫描模块的文件及数据加载完成之后启动扫描模块，对手机中的程序、文件、数据进行检测判断其是否具有恶意性。