CN103268448B - 动态检测移动应用的安全性的方法和系统 - Google Patents

Abstract

本发明提供了一种动态检测移动应用的安全性的方法和系统，其使用蜜罐节点技术，动态构造触发条件，能够尽可能多地捕获移动应用中可能存在的恶意行为以避免漏检。所述方法包括：在至少一个移动终端上执行用于诱发恶意行为的控制脚本，并且通过动态监控来生成日志信息；以及，通过对从所述至少一个移动终端收集的日志信息进行分析以识别恶意应用。

Description

动态检测移动应用的安全性的方法和系统

技术领域

本发明涉及移动通信领域，更具体地，涉及动态检测移动应用的安全性的方法和系统。

背景技术

近些年，移动终端的使用越来越普及。各种各样的移动应用应运而生。提供移动应用商城服务的各个企业和运营商期望向用户提供安全可靠的移动应用，因此需要对商城中的应用的安全性进行检测。

现有的病毒检测技术主要依靠被动地查询已知特征码的方式来识别恶意程序，因此能有效地识别已知的恶意程序，但是经常无法及时发现新的恶意程序。

因此，需要一种改进的检测移动应用的安全性的方法，其能够有效地识别已知的和未知的恶意程序。

发明内容

为了实现该目的，本发明提供了一种涉及动态检测移动应用的安全性的方法和系统，其使用蜜罐节点技术，动态构造触发条件，能够尽可能多地捕获移动应用中可能存在的恶意行为，以避免漏检。

根据本发明的第一方面，提供了一种动态检测移动应用的安全性的方法，包括：在至少一个移动终端上执行用于诱发恶意行为的控制脚本，并且通过动态监控来生成日志信息；以及，通过对从所述至少一个移动终端收集的日志信息进行分析以识别恶意应用。

根据本发明的另一方面，提供了一种动态检测移动应用的安全性的系统，包括：至少一个移动终端，其配置为执行用于诱发恶意行为的控制脚本，并且通过动态监控来生成日志信息；以及服务器，其配置为通过对从所述至少一个移动终端收集的日志信息进行分析以识别恶意应用。

根据本发明的一些实施例，所述用于诱发恶意行为的控制脚本包括针对移动终端的下述行为中的至少一个：日期随机改动；时间随机改动；开机和关机；锁屏和解锁屏；开关WIFI；开关蓝牙；开关SD存储卡；开关GPRS和3G数据通讯信号；模拟来电和短信；模拟邮件接收和发送；模拟网站访问；模拟数据读取和写入；修改短信中心号码；安装和卸载安全类应用程序；以及安装和卸载待检测应用程序。

根据本发明的一些实施例，所述动态监控包括下述中的至少一个：监控短信的发送地址、内容以及发起进程；监控彩信的发送地址、内容以及发起进程；监控联网的访问地址、内容以及发起进程；监控安装包的安装、卸载以及发起进程；监控文件读写事件及发起进程；监控短信删除事件及发起进程；监控彩信删除事件及发起进程；监控电话事件及发起进程；监控通讯录访问事件及发起进程；以及监控GPS事件及发起进程。

根据本发明的一些实施例，对日志信息的分析可以使用图像分析、语义分析等技术。

根据本发明的一些实施例，其中对移动应用的动态检测是响应于由安全管控系统发送的动态检测请求来触发的。

附图说明

通过下面结合附图说明本发明的优选实施例，将使本发明的上述及其它目的、特征和优点更加清楚，其中：

图1示意性地示出了根据本发明的自动化动态检测系统100的框图。

图2示意性地示出了根据本发明的自动化动态检测方法200的流程图。

图3示意性示出了根据本发明的另一实施例的自动化动态检测方法300的流程图。

具体实施方式

下面参照附图对本发明的优选实施例进行详细说明，在描述过程中省略了对于本发明来说是不必要的细节和功能，以防止对本发明的理解造成混淆。

本发明提出使用蜜罐节点技术对移动应用的安全性进行动态检测。蜜罐节点是用来诱发病毒实施恶意行为的一个环境。这个环境可以使用一系列物理的移动终端和定制服务器来构造。同时可以通过操作附加控制系统对该蜜罐节点进行控制。

在执行动态检测时，将待测样本(例如，被测移动应用)置于该蜜罐节点形成的动态测试环境中，通过脚本实现多种环境条件的自动触发，这样可以利于快速发现恶意行为。触发条件可以包括：蓝牙的启用或关闭、预定信号、预定日期、SD卡的插入或移除、锁屏、电量变化、wifi的启用或关闭、GPRS的启用或关闭等等。在通过脚本实现多种环境条件的自动触发的同时，通过动态监测及时捕捉被测样本所触发的各种行为，并且生成日志。然后，可以收集所生成的日志，并且对收集的日志信息执行行为策略分析，以判定被测样本的安全性。

图1是示意性地示出了根据本发明的自动化动态检测系统100的框图。如图1所示，系统100包括由至少一个移动终端构成的检测平台1、分析服务器2、控制平台3和数据库4。

构成检测平台1的移动终端配置为执行用于诱发恶意行为的控制脚本，并且通过动态监控来生成日志信息。该检测平台1使用了蜜罐技术，因此也称为蜜罐节点。该移动终端包括安装在其中的根据本发明的检测客户端。该客户端可以根据脚本内容操作移动终端进行各种动作，同时调用监控接口动态监测待测移动应用的行为，生成检测日志。该客户端可以以软件或者固件的形式安装在移动终端中。

本发明的检测平台1使用的移动终端可以是各种已知的或未来开发的能够安装被测移动应用的移动终端。尽管图中示出检测平台1是由移动电话构成的，但是取决于被测移动应用的类型，构成检测平台1的移动终端可以是移动电话、个人数字助理(PDA)、膝上型计算机或者其组合，等等。还应该理解，本发明使用的移动终端并不局限于移动终端的具体通信协议，可以包括但不限于2G、3G、4G、5G网络，WCDMA、CDMA2000、TD-SCDMA系统等，不同的移动终端可以采用相同的通信协议，也可以采用不同的通信协议。本发明也不局限于移动终端的具体操作系统，可以包括但不限于iOS、WindowsMobile、Symbian、Android、WindowsPhone、RlackberryOS等，不同的移动终端可以采用相同的操作系统，也可以采用不同的操作系统。此外，尽管在图中示出了6个移动终端，但是该检测平台可以包括比示出的移动终端更多或更少的移动终端。

分析服务器2配置为通过对从检测平台1中的移动终端收集的日志信息进行分析，以识别被测移动应用是否是恶意应用。如果所收集的日志信息指示被测移动应用存在恶意行为，则可以判定该被测移动应用是恶意应用。

控制平台3配置为控制系统100的操作，以执行对一个或多个被测移动应用的动态检测。控制平台3可以响应于动态检测请求来触发测试平台1启动动态检测。该动态检测请求可以来自测试人员，或者优选地来自例如移动应用商城等的安全管控系统。控制平台3还负责在检测平台1、分析服务器2以及数据库之间的控制信令和数据的通信。

数据库4配置为存储程序和数据，包括脚本、被测移动应用、检测日志、分析结果等等。数据库4可以是在系统100本地的，也可以是云端提供的。

为了便于说明，在图1中将分析服务器2、控制平台3和数据库4示出为分开的实体，但是应该理解控制平台3和/或数据库4与分析服务器可以集成在一起。也即，分析服务器2、控制平台3和数据库4或其组合可以实现在单个服务器中或分布在多于两个服务器中。本发明在这点上不受限制。

图2示意性地示出了当测试平台上已经安装了被测移动应用的情况下执行本发明的自动化动态检测方法200的简化流程图。如图2所示，方法200包括步骤S210和S220。当控制平台3接收到对被测移动应用执行动态检测的请求时，方法200开始。

在步骤S210中，在检测平台1的至少一个移动终端上执行用于诱发恶意行为的控制脚本，并且通过动态监控来生成日志信息。

控制脚本可以预先编写好并且存储在数据库4中。在控制平台3接收动态检测请求时，将控制平台3从数据3中检索到相应的控制脚本并且将其传输给检测平台1的部分或全部移动终端上。移动终端的检测客户端在接收到控制脚本后，执行该控制脚本以实现多种环境的自动触发，并且启动监控程序以调用监控接口来动态监测关注的软件行为。在移动终端上的检测操作完成之后，可以停止监控程序，并且生成检测日志。

优选地，用于诱发恶意(或病毒)行为的脚本操作可以包括针对移动终端的如下操作中的至少一个：

日期随机改动；

时间随机改动；

开机和关机；

锁屏和解锁屏；

开关WIFI；

开关蓝牙；

开关SD存储卡；

开关GPRS和3G数据通讯信号；

模拟来电和短信；

模拟邮件接收和发送；

模拟网站访问；

模拟数据读取和写入；

修改短信中心号码；

安装和卸载安全类应用程序；以及

安装和卸载待检测应用程序。

优选地，通过动态监控可以监测到软件样本的以下行为信息中的至少一个：

监控短信的发送地址、内容以及发起进程；

监控彩信的发送地址、内容以及发起进程；

监控联网的访问地址、内容以及发起进程；

监控安装包的安装、卸载以及发起进程；

监控文件读写事件及发起进程；

监控短信删除事件及发起进程；

监控彩信删除事件及发起进程；

监控电话事件及发起进程；

监控通讯录访问事件及发起进程；以及

监控GPS事件及发起进程。

作为示例，通过动态监测可以对一些敏感应用进行定期拨测，以判断网络的上下行内容是否存在不良信息。特别地，通过自动化拨测环境，可以自动截取图文信息。

在步骤S220中，通过对从检测平台1的移动终端收集的检测日志进行分析以识别恶意应用。例如，在移动终端侧的测试操作结束之后，控制平台1可以收集检测平台1的各个移动终端上生成的检测日志并且将其传输给分析服务器2。分析服务器2可以对所收集的日志进行行为策略分析以判定是否存在恶意行为，从而确定被测移动应用是否安全。在本发明的实施例中，可以通过图像分析、语义分析等技术，从而减少人工工作量。

如果在步骤S220中识别出被测移动应用包括恶意应用，则控制平台3可以通知动态检测请求的发送方，例如移动应用商城等的安全管控系统，以采取进一步的处理。例如，可以将恶意移动应用从商城中下架，等等。

图3示意性示出了当测试平台上还未安装被测移动应用的情况下执行本发明的自动化动态检测方法300的简化流程图。

如图3所示，方法300开始于控制平台3接收到对被测移动应用执行动态检测的请求(步骤S310)。

在步骤S320中，控制平台3获取待测的移动应用(也称为目标程序)，并且将目标程序安装在检测平台1的部分或全部移动终端上。其中，控制平台3可以从数据库4或者指定的下载位置获取待测的移动应用。

在步骤S330中，在检测平台1上的安装了待测移动应用的移动终端上执行用于诱发恶意行为的控制脚本，并且通过动态监控来生成日志信息。步骤S330的操作与方法200的步骤S210的操作类似，在此不再赘述。

在步骤S340中，当完成控制脚本上的操作后，移动终端上的测试操作结束，并且终止移动终端上的监控程序。

在步骤S350中，收集移动终端上生成的检测日志，并且将其传输给分析服务器2。

然后，在步骤S360中，通过对所收集的检测日志进行分析以识别恶意应用。步骤S360的操作与方法200的步骤S220的操作类似，在此不再赘述。

于是，方法300结束，输出分析结果。

下面以两个恶意应用为例，说明本发明的动态检测移动应用的安全性的方案。

第一实施例：短信扣费的恶意应用

短信扣费的恶意应具有下述行为：当移动终端上安装了该恶意应用后，该恶意应用会自动发送扣费短信给运营商，收到运营商的确认短信后第一时间对短信进行拦截并删除，然后再回复一个确认短信给运营商，从而完成私自扣费的过程。

通过本发明的动态检测方法可以容易地检测出包含该短信扣费恶意应用的移动应用是不安全的。

具体地，在方法200的步骤S210或方法300的步骤S330中，检测平台(也即蜜罐节点)的移动终端上的检测客户端根据控制脚本的内容操作移动终端，以诱发该恶意应用进行扣费行为。移动终端上的监控程序捕获到发送短信的日志、截取短信的日志和回复短信的日志。这些日志被收集并被发送到分析服务器2。在方法200的步骤S220或方法300的S360中，分析服务器2通过行为策略分析判断这是一种恶意行为，从而识别出被测移动应用是不安全的。

第二实施例：套餐窃贼的恶意应用

套餐窃贼的恶意应用具有以下行为：联网获取恶意方服务器的指令，然后根据指令内容对移动终端通讯录上的联系人发送广告。

通过本发明的动态检测方法可以容易地检测出包含该套餐窃贼的恶意应用的移动应用是不安全的。

具体地，在方法200的步骤S210或方法300的步骤S330中，检测平台(也即蜜罐节点)的移动终端上的检测客户端根据控制脚本的内容操作移动终端，以诱发该恶意应用的窃取行为。移动终端上的监控程序捕获到联网日志、下载日志、读取通讯录日志、发送短信日志等等。这些日志被收集并被发送到分析服务器2。在方法200的步骤S220或方法300的S360中，分析服务器2通过行为策略分析判断这是一种恶意行为，从而识别出被测移动应用是不安全的。

上文已经结合优选实施例对本发明进行了描述。本领域技术人员可以理解，上面示出的方法和设备仅是示例性的。本发明的方法并不局限于上面示出的步骤和顺序。本发明的移动终端和服务器可以包括比示出的部件更多或更少的部件。本领域技术人员根据所示实施例的教导可以进行许多变化和修改。

本发明的设备及其部件可以由诸如超大规模集成电路或门阵列、诸如逻辑芯片、晶体管等的半导体、或者诸如现场可编程门阵列、可编程逻辑设备等的可编程硬件设备的硬件电路实现，也可以用由各种类型的处理器执行的软件实现，也可以由上述硬件电路和软件的结合实现。

本发明可以实现诸多优点。本发明的检测方案通过在蜜罐节点中实现诱发病毒实施恶意行为的环境，能够有效地检测已知的和未知的恶意程序，从而能够在恶意应用传播前及时发现问题并阻止其对用户权益的侵害。这对于提供移动应用程序商城服务的各个企业和运营商特别有益，通过本发明的使用蜜罐技术的动态检测方案，可以在较低的人力成本投入下，对商城中的应用进行高效的主动动态检测。

本领域技术人员应该理解，尽管通过具体实施例描述了本发明，但是本发明的范围不限于这些具体实施例。本发明的范围由所附权利要求及其任何等同含义限定。

Claims (10)

1.一种动态检测移动应用的安全性的方法，包括：

响应于接收到动态检测请求，检索用于诱发恶意行为的控制脚本并且将所述控制脚本传输给至少一个移动终端；

在所述至少一个移动终端上执行所述控制脚本，并且通过动态监控来生成日志信息；以及

通过对从所述至少一个移动终端收集的日志信息进行分析以识别恶意应用。

2.根据权利要求1所述的方法，其中所述用于诱发恶意行为的控制脚本包括针对移动终端的下述行为中的至少一个：

日期随机改动；

时间随机改动；

开机和关机；

锁屏和解锁屏；

开关WIFI；

开关蓝牙；

开关SD存储卡；

开关GPRS和3G数据通讯信号；

模拟来电和短信；

模拟邮件接收和发送；

模拟网站访问；

模拟数据读取和写入；

修改短信中心号码；

安装和卸载安全类应用程序；以及

安装和卸载待检测应用程序。

3.根据权利要求1所述的方法，其中所述动态监控包括下述中的至少一个：

监控短信的发送地址、内容以及发起进程；

监控彩信的发送地址、内容以及发起进程；

监控联网的访问地址、内容以及发起进程；

监控安装包的安装、卸载以及发起进程；

监控文件读写事件及发起进程；

监控短信删除事件及发起进程；

监控彩信删除事件及发起进程；

监控电话事件及发起进程；

监控通讯录访问事件及发起进程；以及

监控GPS事件及发起进程。

4.根据权利要求1所述的方法，所述分析包括：图像分析、语义分析。

5.根据权利要求1所述的方法，其中：对移动应用的所述动态检测是响应于由安全管控系统发送的动态检测请求来触发的。

6.一种动态检测移动应用的安全性的系统，包括：

至少一个移动终端，其配置为执行用于诱发恶意行为的控制脚本，并且通过动态监控来生成日志信息；

服务器，其配置为通过对从所述至少一个移动终端收集的日志信息进行分析以识别恶意应用；以及

控制平台，其配置为响应于接收到动态检测请求，检索用于诱发恶意行为的控制脚本并且将所述控制脚本传输给所述至少一个移动终端。

7.根据权利要求6所述的系统，其中所述用于诱发恶意行为的控制脚本包括针对移动终端的下述行为中的至少一个：

日期随机改动；

时间随机改动；

开机和关机；

锁屏和解锁屏；

开关WIFI；

开关蓝牙；

开关SD存储卡；

开关GPRS和3G数据通讯信号；

模拟来电和短信；

模拟邮件接收和发送；

模拟网站访问；

模拟数据读取和写入；

修改短信中心号码；

安装和卸载安全类应用程序；以及

安装和卸载待检测应用程序。

8.根据权利要求6所述的系统，其中所述动态监控包括下述中的至少一个：

监控短信的发送地址、内容以及发起进程；

监控彩信的发送地址、内容以及发起进程；

监控联网的访问地址、内容以及发起进程；

监控安装包的安装、卸载以及发起进程；

监控文件读写事件及发起进程；

监控短信删除事件及发起进程；

监控彩信删除事件及发起进程；

监控电话事件及发起进程；

监控通讯录访问事件及发起进程；以及

监控GPS事件及发起进程。

9.根据权利要求6所述的系统，所述分析包括：图像分析、语义分析。

10.根据权利要求6所述的系统，其中，对移动应用的所述动态检测是响应于由安全管控系统发送的动态检测请求来触发的。